A Anatel publicou no Diário Oficial desta quarta-feira (4) uma resolução que obriga operadoras a bloquear todo SMS corporativo originado de códigos não registrados. A medida entra em vigor em 90 dias e atinge diretamente empresas que usam disparos em massa para autenticação, marketing ou cobrança.
O impacto não se limita às teles. Qualquer negócio que dependa de canais de comunicação via A2P (Application-to-Person) precisará adequar sua estrutura ou verá suas mensagens simplesmente não chegarem ao destinatário.
O que muda na prática para quem envia SMS corporativo
A regra central é simples: um código curto, uma única empresa. Compartilhamento de short codes entre diferentes CNPJs passa a ser vedado. Cada sequência numérica — como “29222” ou “28128” — deverá estar atrelada a um único responsável legal, identificável em diretório setorial centralizado de acesso público.
As prestadoras de telefonia móvel terão três meses para:
- Implementar e manter o diretório unificado de códigos curtos
- Restringir o serviço A2P exclusivamente a pessoas jurídicas devidamente identificadas
- Garantir exclusividade de uso de cada código por uma única empresa
- Bloquear automaticamente mensagens de códigos fora do cadastro
Por que a Anatel mirou no modelo A2P
O canal A2P concentra a maior parte dos golpes via SMS no Brasil. Criminosos exploram a fragilidade de códigos compartilhados ou mal fiscalizados para se passar por bancos, órgãos públicos e e-commerces. Ao exigir rastreabilidade total — do código ao CNPJ —, a agência busca cortar a origem do problema sem punir o usuário final.
Dados internos do setor indicam que mais de 60% das tentativas de phishing móvel no país usam SMS como vetor inicial. A nova arquitetura torna economicamente inviável a operação de “fábricas de golpes” que rotacionam códigos para escapar de bloqueios pontuais.
O efeito cascata sobre provedores de disparo e agregadores
Empresas de tecnologia que intermediam o envio — gateways, plataformas de comunicação omnichannel, provedores de CPaaS — tornam-se responsáveis solidários pela conformidade. Se um cliente enviar campanhas fora das regras, o código do agregador pode ser suspenso, derrubando a entrega de todos os demais clientes daquele parceiro.
Isso força uma revisão contratual urgente: cláusulas de compliance, auditoria de base de contatos e monitoramento de reputação de cada short code deixam de ser opcionais e passam a ser condição de continuidade do serviço.
Prazos e marcos para o mercado se preparar
O cronograma é apertado. A contagem dos 90 dias começou na publicação do DOU (04/11/2026). Até 02/02/2027, todas as teles devem ter o diretório centralizado no ar e o bloqueio ativo. Empresas que ainda não registraram seus códigos junto à Anatel ou à entidade gestora designada correm risco real de interrupção.
Recomenda-se às áreas de produto, jurídico e operações:
- Mapear todos os short codes em uso e confirmar titularidade exclusiva
- Verificar se o provedor de SMS já integra o diretório setorial
- Revisar contratos com agregadores exigindo SLA de conformidade
- Testar fluxos de opt-in/opt-out para evitar denúncias de spam
O que observar daqui para frente
A fiscalização deve começar com foco em códigos de alto volume — bancos, fintechs, marketplaces e operadoras de benefícios. Mas a regra é geral: qualquer CNPJ que dispare SMS automatizado entra no escopo. Nos próximos meses, a Anatel deve publicar orientações complementares sobre o formato do diretório público e eventuais sanções para reincidência.
Para o empresário, a mensagem é direta: trate seu código curto como ativo regulado. Quem não fizer a lição de casa verá canais de autenticação, recuperação de carrinho e avisos de pagamento simplesmente silenciarem a partir de fevereiro.
