Anatel manda operadoras bloquearem SMS de códigos curtos sem registro

As operadoras de telefonia móvel terão de barrar mensagens de texto corporativas que partam de códigos curtos sem registro. A determinação é da Agência Nacional de Telecomunicações (Anatel) e foi publicada no Diário Oficial da União em 4 de novembro de 2026. O alvo são os golpes por SMS, que costumam imitar bancos, lojas e órgãos públicos para levar o usuário a clicar em links falsos.

Além do bloqueio, a agência mandou as empresas criarem um diretório centralizado, aberto à consulta de qualquer pessoa, que mostre qual empresa está por trás de cada código. Também ficou proibido, como regra geral, que um mesmo código seja dividido entre empresas diferentes. A ideia é que toda mensagem automática tenha um responsável identificável.

Como funciona o SMS corporativo

As novas exigências valem para o chamado SMS A2P, sigla em inglês para Application-to-Person (da aplicação para a pessoa). É a modalidade usada quando um sistema dispara mensagens automáticas para clientes: códigos de verificação, alertas de compra no cartão, avisos de bancos, confirmação de entregas e recuperação de senhas, entre outras notificações.

Nessas mensagens, quem aparece como remetente não é um número de celular comum, mas um código curto, com poucos dígitos, como o “29222” citado pela Agência Brasil. Para o consumidor, esse formato passa uma impressão de mensagem oficial. É justamente essa confiança que os golpistas exploram.

Segundo reportagem do portal Teletime publicada em janeiro de 2026, a numeração usada nesse tipo de SMS não segue padrão internacional nem era padronizada pela Anatel. Os lotes de códigos eram negociados livremente entre intermediários, conhecidos como brokers ou agregadores, e as empresas que contratam os envios, sem um registro central. Isso dificultava descobrir quem estava por trás de uma mensagem fraudulenta.

O que as operadoras terão de fazer

A decisão do Conselho Diretor da Anatel estabelece prazos contados a partir da publicação no Diário Oficial. De acordo com o Teletime e o Tecnoblog, o cronograma prevê:

• em até 60 dias: garantir que cada código curto pertença a uma única pessoa jurídica, adotar políticas internas de segurança e implantar monitoramento automatizado do tráfego, com possibilidade de prorrogação mediante justificativa;
• em até 90 dias: colocar no ar o diretório público de códigos e passar a bloquear SMS corporativos enviados por códigos fora do cadastro, prazo que pode ser estendido por mais 30 dias;
• também em 90 dias: exigir que empresas de envio e intermediários confirmem a identidade de quem contrata os disparos;
• em 180 dias: apresentação de relatório sobre os resultados do plano de combate às fraudes.

O monitoramento automático deverá identificar volumes anormais de envio, campanhas com indício de fraude, credenciais comprometidas e falsificação de remetente, prática conhecida como spoofing. O Teletime informa que esse acompanhamento terá de obedecer às regras de proteção de dados e ao sigilo das comunicações previsto em lei.

O uso compartilhado de um código só será aceito em situações excepcionais, com justificativa técnica apresentada à Anatel e com todas as empresas envolvidas listadas no cadastro. Os intermediários também deverão manter registros que permitam rastrear cada envio e colaborar nas investigações de fraude, segundo o Tecnoblog. O portal acrescenta que as operadoras deverão fazer campanhas educativas antes da abertura do cadastro.

Um debate que vinha desde 2025

A medida não surgiu de repente. Conforme o Teletime, a Anatel concluiu em agosto de 2025 que era preciso encontrar uma forma de controlar o uso desses números para conter fraudes e envios abusivos. A proposta que ganhou força partiu do próprio setor: entregar à ABR Telecom, entidade do setor de telecomunicações, a manutenção de um cadastro com toda a cadeia de contratos de uso dos códigos, dos brokers aos clientes finais, como bancos, marketplaces e empresas de entrega.

Em janeiro de 2026, a ABR Telecom informou que desenvolveria o sistema por conta própria. Em junho, segundo o mesmo portal, a entidade planejava lançar o registro até o fim deste ano. O Tecnoblog ressalta, porém, que a gestão do diretório pela ABR Telecom ainda não está formalmente definida.

O que a regra não resolve

A cobertura especializada lembra que o bloqueio reduz, mas não elimina, o risco. O Tecnoblog aponta que o smishing, nome dado ao phishing feito por SMS, continua possível. Um dos caminhos usados por criminosos são as estações rádio-base clandestinas, equipamentos que imitam a antena de uma operadora e entregam mensagens diretamente aos celulares próximos, sem passar pelos sistemas das empresas de telefonia.

Esses aparelhos se aproveitam de falhas da rede 2G, que não exige autenticação entre a torre e o telefone. Em julho de 2025, a Anatel e a Polícia Civil desativaram um desses equipamentos instalado em um apartamento na Zona Sul de São Paulo, de acordo com o Tecnoblog. Foi o quinto caso registrado na capital paulista. O golpe disparado por ele avisava sobre pontos de cartão de crédito prestes a vencer e trazia um link malicioso.

Outro ponto de atenção: um código registrado identifica o remetente, mas não transforma automaticamente qualquer mensagem em legítima. O conteúdo continua merecendo cuidado.

Outras ferramentas contra abusos

A nova regra se soma a iniciativas já existentes. A plataforma Não Me Perturbe permite pedir o bloqueio de ligações de telemarketing de empresas de telecomunicações e de instituições financeiras que oferecem crédito consignado. O pedido é feito pelo site da plataforma, com confirmação por um código enviado ao telefone informado, e o bloqueio passa a valer em até 30 dias após a solicitação, segundo a própria página do serviço.

A Anatel também mantém, em seu portal, a seção “Dicas contra Fraudes”, que descreve os golpes mais comuns e explica como se proteger e denunciar. Em outubro de 2025, a agência realizou pelo terceiro ano seguido a campanha #OutubroCiberSeguro, voltada à prevenção de ameaças digitais, conforme a Agência Gov.

Como se proteger de golpes por SMS

Enquanto o diretório não entra em operação, a orientação é manter a desconfiança. A Cartilha de Segurança para Internet do CERT.br, centro mantido pelo NIC.br, reúne recomendações práticas:

• não acesse links sem avaliar e confira o endereço do site antes de abrir; na dúvida, não acesse;
• nunca use link ou aplicativo recebido por mensagem; digite o endereço oficial diretamente no navegador e baixe apps apenas em lojas oficiais;
• não repasse senhas nem códigos de verificação a ninguém e ative a verificação em duas etapas nas contas importantes;
• desconfie até de mensagens enviadas por conhecidos, porque a conta pode ter sido invadida;
• não responda a mensagens com cara de golpe: denuncie pelos recursos das plataformas e bloqueie o remetente.

O Tecnoblog lembra ainda que celulares com Android 12 ou versão mais recente permitem desativar as conexões 2G e que o Android 16 avisa quando o aparelho se conecta a uma rede sem criptografia, o que pode indicar uma antena falsa. Se a mensagem disser que vem de uma empresa, o caminho mais seguro é procurar a instituição pelos canais oficiais que você já conhece, e não pelos contatos indicados no próprio SMS.