A Anatel publicou no Diário Oficial da União desta quarta-feira (4) regras que obrigam as operadoras a barrar mensagens de códigos curtos não registrados. A medida atinge diretamente o canal usado por bancos, varejistas e golpistas para alcançar seu celular. O prazo para adequação: 90 dias.
O que muda na prática para quem recebe dezenas de SMS por semana? E por que a regra do “código único por empresa” pode finalmente dificultar a vida de quem clona identidades corporativas?
O fim do “código compartilhado” que facilitava fraudes
Até agora, um mesmo código curto — aqueles números de 5 ou 6 dígitos como 29222 — podia ser usado por várias empresas diferentes. Isso criava um buraco: o destinatário via o código, reconhecia a marca, mas não tinha como saber se a mensagem realmente vinha dela.
Com a nova regra, cada código passa a ser de uso exclusivo de uma única pessoa jurídica. Compartilhamento está vedado. Se uma empresa quer enviar SMS em massa, precisa do seu próprio código, devidamente atrelado ao CNPJ no diretório centralizado que as operadoras terão de manter.
Prazos e obrigações: o que as teles precisam entregar
O Conselho Diretor da Anatel estabeleceu um cronograma de 90 dias a contar da publicação. Nesse período, as prestadoras devem:
- Implementar e manter um diretório setorial centralizado de códigos curtos, acessível para consulta pública
- Garantir que cada código identifique uma única empresa
- Restringir o envio de SMS A2P (Application-to-Person) a pessoas jurídicas devidamente identificadas
- Bloquear mensagens originadas de códigos não registrados no sistema
A modalidade A2P é justamente a usada para envios automatizados: autenticação em dois fatores, avisos de entrega, cobranças, promoções. É também a preferida de golpistas que se passam por bancos e lojas.
Impacto direto para empresas que usam SMS em escala
Para negócios legítimos, a mudança traz custo de adaptação, mas também proteção. Quem hoje aluga código compartilhado de agregadores terá de migrar para código próprio ou provedor que garanta exclusividade. O diretório público permite que qualquer um — inclusive o consumidor — verifique a quem pertence aquele número que aparece na tela.
Especialistas em segurança da informação avaliam que a rastreabilidade obrigatória eleva o risco para fraudadores. Antes, um golpe podia ser disparado por código “emprestado” e a origem se perdia na cadeia de intermediários. Agora, o elo entre código e CNPJ é direto e auditável.
O que ainda não está resolvido
A regra não cobre mensagens enviadas por números longos (MSISDN comum), nem canais como WhatsApp Business ou RCS — este último em expansão no Brasil. Golpes por ligação de voz (vishing) e engenharia social em aplicativos de mensagens seguem fora do escopo.
Além disso, a eficácia depende da fiscalização contínua e da agilidade das teles em atualizar o diretório. Códigos abandonados ou de empresas extintas precisam ser removidos rápido para não virar “fantasmas” reutilizados.
O que observar nos próximos meses
Até fevereiro de 2027, o mercado deve sentir três movimentos: migração em massa para códigos dedicados, surgimento de serviços de verificação de remetente para o consumidor final e, possivelmente, redução no volume de SMS fraudulento relatado em canais de denúncia. Acompanhe a publicação do diretório setorial — ele será o termômetro real da adesão das operadoras.
