A Anatel publicou no Diário Oficial desta quarta-feira (4) regras que obrigam operadoras a bloquear mensagens de códigos curtos não registrados — e dão 90 dias para colocar tudo em funcionamento. O alvo direto são os golpes via SMS que usam números falsificados para roubar dados e dinheiro. Mas a mudança mexe na estrutura de como empresas legítimas se comunicam com você.
Cada código curto — aqueles números de poucos dígitos como “29222” — passa a ser de uso exclusivo de uma única empresa. Compartilhamento entre CNPJs diferentes está vedado.
O que muda na prática para quem recebe SMS
As novas exigências valem para o modelo A2P (Application-to-Person), usado por bancos, e-commerces, apps de entrega e órgãos públicos para envios automatizados. Até agora, um mesmo código podia ser “alugado” por várias empresas, dificultando rastrear quem mandou o quê.
Com o diretório setorial centralizado — de consulta pública —, qualquer pessoa poderá verificar qual CNPJ está por trás de um código curto. Se o número não estiver no banco, a operadora tem de bloquear a mensagem.
- Prazo: 90 dias a partir de 4/11/2026 para implementação total
- Escopo: Apenas SMS A2P (mensagens automatizadas empresa→pessoa)
- Penalidade: Bloqueio de tráfego de códigos não cadastrados
- Transparência: Diretório público com vínculo código↔CNPJ
Impacto direto em empresas que usam SMS em massa
Negócios que dependem de disparos em volume — autenticação de dois fatores, confirmações de pedido, avisos de vencimento — precisam garantir que seus códigos estão registrados e exclusivos. Quem usa plataformas terceiras de envio deve confirmar se o provedor já adequou a infraestrutura.
O compartilhamento de short codes, prática comum em gateways SMS de baixo custo, deixa de ser opção. Cada CNPJ terá seu próprio código ou precisará migrar para alternativas como RCS ou WhatsApp Business API.
O efeito nos pequenos negócios e startups
Empresas menores que contratam serviços de “SMS barato” correm risco imediato: se o provedor não registrar o código a tempo, as mensagens param de chegar. Não há período de transição além dos 90 dias.
Especialistas em telecom recomendam auditar agora todos os canais de comunicação transacional. Mapeie quais códigos são usados, valide o CNPJ vinculado e exija do fornecedor comprovação de cadastro no diretório da Anatel.
Por que isso pode reduzir — mas não eliminar — os golpes
A medida fecha a porta principal: códigos fantasmas usados para se passar por bancos, Receita Federal ou plataformas conhecidas. Mas criminosos já migram para outros vetores — WhatsApp, ligações de voz com spoofing, e-mails de phishing e anúncios maliciosos.
O diretor de fiscalização da Anatel sinalizou que o diretório será atualizado em tempo real e que denúncias de códigos suspeitos terão prioridade. Ainda assim, a engenharia social continua sendo o elo mais fraco.
O que observar daqui para frente
Nos próximos 30 dias, as grandes operadoras devem publicar manuais de adequação para clientes corporativos. Fique atento a comunicados do seu provedor de SMS e teste fluxos críticos — recuperação de senha, 2FA, confirmações de pagamento — antes do fim do prazo.
Para o consumidor final, a regra prática é simples: se o SMS vem de um código curto que não aparece no diretório público da Anatel, trate como suspeito. O link para consulta será divulgado nos canais oficiais da agência nas próximas semanas.
