A Agência Nacional de Telecomunicações (Anatel) determinou que as operadoras de telefonia criem um cadastro público de empresas autorizadas a enviar mensagens de texto (SMS) e bloqueiem aquelas que utilizarem códigos de remetente não registrados.
A medida busca ampliar a rastreabilidade das mensagens e dificultar golpes que simulam comunicações de bancos, empresas e órgãos públicos.
As novas regras constam do Despacho Decisório nº 2/SCD, publicado no Diário Oficial da União (DOU) nesta quarta-feira (4).
A decisão estabelece prazos diferentes para a implementação das exigências: 60 dias para medidas de segurança e monitoramento e 90 dias para a criação do diretório público e o bloqueio de mensagens irregulares. Algumas obrigações admitem prorrogação mediante justificativa à agência.
O despacho trata do SMS A2P (Application-to-Person), modalidade utilizada por empresas e instituições para enviar mensagens automatizadas aos consumidores. É o caso de códigos de autenticação, confirmações de compras, alertas bancários e avisos de serviços públicos.
Na justificativa, a Anatel afirma que o número de golpes digitais aumentou significativamente, impulsionado pela expansão dos serviços digitais e pela adesão da população.
O documento também destaca que o SMS, embora amplamente utilizado por bancos, empresas e serviços públicos, tornou-se um canal explorado por fraudadores.
A agência cita os prejuízos financeiros causados a consumidores e empresas, os impactos emocionais sobre as vítimas e os efeitos dessas práticas sobre a confiança nos serviços de telecomunicações.
Cadastro público identificará empresas responsáveis por SMS
Pelo despacho, as operadoras terão até 90 dias, contados da publicação, para implementar e manter um diretório centralizado de códigos curtos, aberto à consulta pública. A ferramenta deverá identificar as pessoas jurídicas responsáveis pelo encaminhamento das mensagens.
Os códigos curtos são sequências numéricas de poucos dígitos que aparecem no lugar de um número convencional de telefone ou do nome do remetente. Empresas utilizam esses identificadores para enviar mensagens automatizadas em larga escala.
Com a nova regra, o serviço de envio de SMS A2P ficará restrito a pessoas jurídicas identificadas no cadastro.
As operadoras também terão de impedir a entrega de mensagens enviadas por códigos curtos que não constem no diretório. Nesse caso, a Anatel admite uma prorrogação de até 30 dias, mediante justificativa.
Há uma exceção para códigos vinculados a agregadores de mensagens de nível 1. Eles serão considerados cadastrados quando as empresas incluírem as informações no diretório em até três dias do início efetivo de sua utilização.
Antes de disponibilizar a consulta pública, as operadoras deverão promover campanhas educativas para explicar a finalidade do cadastro, suas funcionalidades e as formas de acesso.
Cada código deverá identificar uma única empresa
Outra exigência determina que cada código curto identifique exclusivamente uma pessoa jurídica. As operadoras terão 60 dias para implementar a medida, prazo que poderá ser prorrogado por mais 60 dias mediante justificativa à Anatel.
O compartilhamento de códigos poderá ocorrer excepcionalmente, desde que as empresas apresentem justificativa técnica à agência. Nesses casos, o diretório deverá identificar todos os usuários vinculados ao mesmo código.
No mesmo prazo, as operadoras terão de aprovar e implementar uma Política Interna de Segurança para SMS, com procedimentos de identificação, monitoramento, detecção e prevenção de fraudes e tratamento de incidentes.
A decisão também exige mecanismos automatizados para monitorar o tráfego de mensagens.
Os sistemas deverão identificar padrões anormais de envio, campanhas potencialmente fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura de telecomunicações e falsificação da identidade do remetente (identity spoofing).
As empresas ainda terão de criar um canal setorial para compartilhar alertas, informações sobre incidentes e recomendações de segurança. Também deverão informar à Anatel as medidas adotadas para impedir o uso de canais não confiáveis.
O despacho determina o envio de relatórios periódicos ao Grupo Técnico de Suporte à Segurança Pública (GT-Seg), incluindo a evolução do volume de mensagens bloqueadas e outros indicadores que permitam avaliar a efetividade das medidas.
Agregadores e plataformas digitais também terão obrigações
As novas regras alcançam outros participantes da cadeia de envio de mensagens.
Empresas responsáveis pela originação, contratação, integração e encaminhamento de SMS A2P terão de identificar os remetentes, verificar a legitimidade das campanhas e manter registros que permitam rastrear as mensagens e identificar os responsáveis.
Originadores, agregadores e integradores que utilizam códigos curtos também deverão manter atualizadas as informações cadastrais, verificar a identidade de seus contratantes e colaborar com as operadoras e autoridades na identificação e interrupção de campanhas com indícios consistentes de fraude.
O despacho estende as exigências aos responsáveis por aplicações e plataformas digitais utilizadas para autenticação de usuários, recuperação de senhas, confirmação de identidade e autorização de transações.
Essas empresas terão 90 dias para adotar mecanismos que garantam a identificação e a autenticidade dos remetentes, a integridade e a rastreabilidade das comunicações e a prevenção e mitigação de fraudes.
O documento determina que essas soluções proporcionem “resultados de segurança equivalentes aos exigidos para comunicações digitais críticas realizadas por meio de SMS A2P”, mas ressalva que não precisam utilizar a mesma tecnologia ou arquitetura.
A Anatel também delimita a responsabilidade de cada participante. No caso das plataformas digitais, o cumprimento das exigências caberá às empresas que concebem, operam ou controlam as funcionalidades e os mecanismos de segurança.
As operadoras não assumirão essas responsabilidades apenas por transportar os dados em suas redes.
Anatel acompanhará implementação das medidas
O Conselho Diretor da Anatel aprovou as determinações por unanimidade na terça-feira (3). A relatoria coube ao conselheiro Octavio Penna Pieranti.
A decisão atende a uma determinação anterior do colegiado, formalizada pelo Acórdão nº 201, de 14 de agosto de 2025, que estabeleceu a necessidade de um plano de ação para ampliar a segurança no envio de mensagens SMS.
A Superintendência Executiva da agência acompanhará a implementação das medidas, promoverá discussões técnicas com os participantes do setor e avaliará os resultados.
O órgão terá 180 dias para apresentar um relatório ao Conselho Diretor, com eventuais propostas de encaminhamento às autoridades competentes.
O colegiado também determinou a realização de uma tomada de subsídios para receber contribuições dos agentes do setor sobre o ecossistema de SMS A2P e outras iniciativas relevantes para prevenir fraudes.
Leave a Reply