Anatel reforça controle sobre SMS corporativo e mira fraudes com códigos curtos

A Agência Nacional de Telecomunicações publicou, em 4 de novembro de 2026, um conjunto de medidas para aumentar a segurança do SMS A2P, modalidade utilizada por empresas e instituições para enviar mensagens automatizadas aos usuários de telefonia móvel. O objetivo central é reduzir a opacidade do ecossistema de mensageria e dificultar que códigos curtos sejam empregados em golpes, falsificação de identidade e campanhas sem origem claramente identificada.

A decisão vai além de um simples cadastro de remetentes. Ela estabelece uma estrutura de governança baseada em identificação, rastreabilidade, monitoramento do tráfego e cooperação entre os diferentes participantes da cadeia. Para empresas que usam SMS em autenticação, recuperação de credenciais, alertas transacionais, cobrança ou atendimento, a mudança exige atenção tanto aos fornecedores contratados quanto aos processos internos.

O que é SMS A2P e por que os códigos curtos importam?

SMS A2P, sigla para Application-to-Person, é a mensagem enviada por uma aplicação para uma pessoa. É o modelo presente, por exemplo, em códigos de uso único, confirmações de pagamento, alertas de movimentação financeira, recuperação de senhas e notificações de atendimento.

Nesse ambiente, o remetente pode ser apresentado por meio de um código curto, também chamado de short code, em vez de um número telefônico convencional. Esse identificador facilita o reconhecimento de mensagens empresariais, mas a ausência de uma associação transparente e uniforme entre código, agregador e marca pode dificultar a apuração da verdadeira origem de uma campanha.

Quais medidas foram determinadas?

Entre as principais mudanças está a adoção de códigos curtos dedicados e padronizados entre as prestadoras. Em regra, empresas diferentes não deverão compartilhar o mesmo identificador. A finalidade é permitir que uma mensagem suspeita seja relacionada com maior precisão ao seu responsável e que o bloqueio de tráfego irregular seja executado sem atingir campanhas legítimas de terceiros.

Também deverá ser implantado um diretório centralizado de códigos curtos, com consulta pública e gratuita. A base reunirá informações sobre identificadores, agregadores e marcas responsáveis pelos envios, enquanto a Anatel terá acesso integral aos registros. Perante a Agência, as prestadoras do Serviço Móvel Pessoal permanecerão responsáveis por identificar o usuário efetivo associado a cada código.

A decisão ainda prevê mecanismos automatizados de monitoramento do tráfego A2P, políticas internas específicas de segurança e controles para impedir mensagens por canais considerados não confiáveis. Esses mecanismos devem apoiar a detecção de padrões anômalos, campanhas potencialmente fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura e falsificação de identidade.

Prazos e responsabilidades

Os marcos de implementação não são idênticos para todas as providências. A tabela resume os principais prazos divulgados e o efeito esperado para cada grupo envolvido.

Os prazos devem ser interpretados conforme o teor integral da decisão e as orientações técnicas que vierem a ser emitidas. A Anatel também determinou a realização de uma Tomada de Subsídios, o que significa que aspectos do ecossistema A2P ainda poderão receber contribuições e resultar em medidas complementares.

A obrigação não termina na operadora

Um dos pontos mais relevantes é o reconhecimento de que a segurança do SMS empresarial depende de toda a cadeia. Originadores, agregadores, brokers e integradores deverão, conforme o papel desempenhado, identificar os responsáveis pelas mensagens, verificar a legitimidade das campanhas, preservar registros e cooperar na prevenção e na apuração de fraudes.

Na prática, uma empresa que terceiriza seus disparos não deve presumir que a conformidade ficou integralmente transferida ao fornecedor. Será necessário conhecer a rota contratada, entender quais intermediários participam da entrega, confirmar como o código curto está registrado e verificar se existem evidências suficientes para reconstruir o caminho de uma mensagem em caso de incidente.

Comunicações críticas exigem tratamento proporcional ao risco

A decisão dedica atenção especial a aplicações usadas para autenticação de usuários, autorização de transações, recuperação de credenciais e confirmação de identidade. Isso não significa que todas as tecnologias precisem adotar mecanismos idênticos, mas reforça a necessidade de controles coerentes com o risco de cada jornada.

Em processos sensíveis, a empresa deve avaliar se o SMS está sendo usado apenas como canal de notificação ou como fator capaz de autorizar uma ação crítica. Essa diferença influencia a arquitetura de segurança, os mecanismos antifraude, o tempo de validade dos códigos, a proteção contra repetição e os procedimentos de recuperação de conta.

O que empresas e integradores devem revisar agora?

1. Mapear todas as jornadas que utilizam SMS, separando mensagens transacionais, autenticação, recuperação de acesso, cobrança, atendimento e marketing.
2. Identificar o originador, o agregador, os eventuais intermediários e as prestadoras envolvidas em cada rota de entrega.
3. Confirmar a titularidade e a exclusividade dos códigos curtos utilizados por cada marca ou unidade de negócio.
4. Revisar os procedimentos de conhecimento do cliente, validação de campanhas e atualização dos dados cadastrais.
5. Verificar quais registros são preservados, por quanto tempo e como podem ser disponibilizados em uma investigação de fraude.
6. Definir critérios de detecção de anomalias, suspensão de campanhas e escalonamento de incidentes entre empresa, integrador e operadora.
7. Atualizar contratos e acordos de nível de serviço para refletir responsabilidades, prazos de resposta e deveres de cooperação.
8. Reavaliar jornadas críticas para reduzir dependência de um único fator e evitar que o recebimento do SMS seja interpretado como garantia absoluta de identidade.

Mais rastreabilidade, mas não uma solução isolada

A criação de uma referência centralizada para códigos curtos tende a melhorar a identificação de remetentes e a capacidade de bloquear campanhas irregulares com maior precisão. O ganho esperado é relevante tanto para o consumidor quanto para empresas legítimas, cuja reputação pode ser afetada quando fraudadores simulam comunicações de marcas conhecidas.

Entretanto, a efetividade dependerá da qualidade dos cadastros, da integração entre prestadoras, da capacidade de monitoramento e da velocidade de resposta aos incidentes. Também será necessário evitar que o novo diretório seja percebido como um selo absoluto de confiança: criminosos podem explorar credenciais comprometidas, contas válidas ou técnicas de engenharia social mesmo em ambientes com maior rastreabilidade.