A Anatel determinou o bloqueio de SMS de empresas sem cadastro: em até 90 dias, as operadoras móveis terão de barrar todo SMS corporativo disparado por código curto que não esteja num cadastro público com o nome da empresa responsável. A decisão foi publicada no Diário Oficial da União nesta quarta-feira (4).
Adicione ao Google NotíciasNeste artigo
- O que a Anatel decidiu sobre o SMS e quais mensagens entram na regra
- Quando começa o bloqueio de SMS: o que acontece em 60, 90 e 180 dias
- Agregadores, bancos e apps de autenticação também entram na conta
- O bloqueio acaba com o SMS de golpe? O que fica de fora
- Diretório de códigos curtos: quem deve manter o cadastro e os próximos passos
O alvo é o canal preferido do golpe que chega no celular: a mensagem que finge ser do banco, da loja ou de um órgão público e traz um link. Pela nova regra, só quem estiver identificado no diretório poderá usar os números de poucos dígitos, como o 29222, usados por empresas para token, aviso de compra e alerta de transação. O efeito para o usuário, porém, não é imediato.
O que a Anatel decidiu sobre o SMS e quais mensagens entram na regra
O texto é o Despacho Decisório nº 2/SCD, de 3 de novembro de 2026. O Conselho Diretor aprovou a medida por unanimidade na terça-feira (3), em circuito deliberativo, com relatoria do conselheiro Octavio Penna Pieranti.
As obrigações valem para o SMS A2P (Application-to-Person), a mensagem automática que empresas, bancos e plataformas digitais mandam para o consumidor: código de autenticação, aviso de transação, confirmação de compra, alerta bancário e comunicado de serviço público. A conversa entre duas pessoas fica fora. As informações divulgadas sobre o despacho falam apenas em códigos curtos; não há indicação de que o SMS vindo de números comuns de celular, que golpistas também usam, seja barrado.
O núcleo da mudança é um diretório setorial centralizado, mantido pelas operadoras do Serviço Móvel Pessoal, com consulta aberta ao público. Cada código curto terá de estar associado à pessoa jurídica que o usa. Quem não estiver lá terá as mensagens barradas pela operadora. Códigos ligados a agregadores de nível 1 (intermediários entre empresas e redes) contam como cadastrados se entrarem no diretório em até 3 dias depois do início do uso.
A Anatel justifica a medida com o "aumento significativo" de fraudes digitais, citando prejuízo financeiro, dano emocional às vítimas e perda de confiança nos serviços de telecomunicações. O Ministério das Comunicações liga as exigências ao crescimento dos golpes, puxado pela expansão dos serviços digitais e pela adesão da população a eles.
Quando começa o bloqueio de SMS: o que acontece em 60, 90 e 180 dias
Os prazos contam a partir da publicação no DOU, em 4 de novembro. O despacho fala em dias; as datas abaixo são estimativas nossas, feitas sobre essa contagem.
| Prazo | Data estimada | O que precisa estar pronto |
|---|---|---|
| 60 dias | 3/1/2027 | Código curto exclusivo de uma só empresa; políticas internas de segurança; canal setorial de alertas; monitoramento automático do tráfego A2P |
| 90 dias | 2/2/2027 | Diretório público no ar e bloqueio dos códigos não cadastrados; verificação de identidade por agregadores e integradores; regras para plataformas de autenticação |
| 90 + 30 dias | 4/3/2027 | Limite do bloqueio se a operadora pedir prorrogação, com justificativa à Anatel |
| 180 dias | 3/5/2027 | Relatório da Superintendência Executiva ao Conselho Diretor sobre a implementação |
A exigência de exclusividade mira uma brecha conhecida do setor. O compartilhamento de um mesmo código entre vários remetentes, segundo a decisão, dificulta identificar a origem da mensagem e reduz a precisão dos bloqueios. Ele passa a ser exceção, aceito só com justificativa técnica e com todos os usuários listados no diretório. As medidas de 60 dias podem ser prorrogadas por igual período.
O monitoramento automático terá de detectar, segundo o despacho, "padrões anômalos de tráfego, campanhas potencialmente fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura de telecomunicações e falsificação de identidade (identity spoofing)", respeitando a lei de proteção de dados e o sigilo das comunicações. As operadoras enviarão relatórios periódicos ao GT-Seg, o Grupo Técnico de Suporte à Segurança Pública, com a evolução do volume de mensagens bloqueadas e indicadores de efetividade. Antes de a consulta ao diretório abrir, elas também terão de fazer campanhas educativas explicando para que ele serve e como acessá-lo.
Agregadores, bancos e apps de autenticação também entram na conta
A decisão não para nas operadoras. Em 90 dias, agregadores, integradores e originadores de mensagens terão de identificar quem dispara cada campanha e checar se ela é legítima, verificar a identidade de contratantes e responsáveis, manter cadastro atualizado e guardar registros que permitam rastrear as mensagens. Quando formalmente acionados, terão de ajudar operadoras e autoridades a interromper campanhas com indícios consistentes de fraude.
As plataformas digitais que usam SMS para autenticação, recuperação de senha, confirmação de identidade e autorização de transações também ganham obrigações no mesmo prazo: garantir autenticidade do remetente, integridade e rastreabilidade das comunicações e proteção do processo de login. Elas podem trocar o SMS por outra tecnologia, desde que alcancem "resultados de segurança equivalentes aos exigidos para comunicações digitais críticas realizadas por meio de SMS A2P", diz o despacho.
O ponto mais relevante está na divisão de responsabilidade. A Anatel rejeitou a tese de que a operadora responda pelo golpe só por transportar os dados, e também recusou equiparar essas plataformas a prestadoras de telecomunicações. A responsabilidade fica com quem concebe, opera ou controla a função de autenticação.
O bloqueio acaba com o SMS de golpe? O que fica de fora
O SMS é só um dos caminhos do golpe. Na pesquisa "Privacidade e Proteção de Dados Pessoais", divulgada pelo Cetic.br em agosto, 71% dos entrevistados disseram ter sido abordados por golpistas via SMS. O índice empata com sites e apps falsos e fica atrás de aplicativos de mensagens (84%) e ligações (79%). E-mail (69%) e redes sociais (67%) vêm depois.
Há ainda o golpe que nem passa pela operadora. Em janeiro de 2025, a Anatel e a Polícia Civil apreenderam na Zona Sul de São Paulo, perto da Marginal Pinheiros, um equipamento clandestino de disparo de SMS usado em fraudes bancárias; duas pessoas foram presas em flagrante. Esse tipo de equipamento dispara mensagens sem passar pelo sistema das operadoras, e por isso tende a ficar fora do alcance de um diretório de códigos.
A medida também não tem relação com o Não Me Perturbe, que desde setembro de 2025 é obrigatório para todas as operadoras e trata de ligações de telemarketing. Até o bloqueio entrar em vigor, vale a orientação de sempre: não clicar em link recebido por SMS, nunca repassar código de verificação e denunciar a mensagem suspeita à operadora ou à Anatel, pelo 1331.
Diretório de códigos curtos: quem deve manter o cadastro e os próximos passos
O plano responde ao Acórdão nº 201, de 14 de agosto de 2025, em que a Anatel exigiu um plano de ação para reforçar a segurança do SMS. A proposta foi montada com prestadoras, agregadores de mensagens e a ABR Telecom, entidade que deve administrar o diretório. A ABR informou em junho que pretendia lançar o cadastro até o fim de 2026. O endereço da consulta pública ainda não foi divulgado, e as informações tornadas públicas não citam multa específica para quem descumprir os prazos.
Depois da implementação, a Anatel abre uma tomada de subsídios sobre o mercado de SMS A2P e a prevenção a fraudes, e vai avaliar os riscos de migração de comunicações críticas para outros canais. O primeiro balanço oficial vem no relatório de 180 dias, previsto para o início de maio de 2027.
