A Anatel publicou no Diário Oficial da União desta quarta-feira (4) regras que tornam obrigatória a identificação única de remetentes de SMS automatizado. A medida atinge em cheio empresas que usam códigos curtos para comunicação em massa e dá 90 dias para operadoras bloquearem qualquer envio irregular.
O alvo é a modalidade A2P (Application-to-Person), usada para disparos automáticos como códigos de verificação, avisos de entrega e ofertas. Até agora, a falta de um cadastro centralizado permitia que golpistas ocultassem a origem por trás de números genéricos.
O que muda na prática para o envio em massa
A principal exigência é o fim do compartilhamento de códigos curtos. Cada sequência numérica — como “29222” — passa a ser vinculada a um único CNPJ. Se uma agência de marketing disparar mensagens para dez clientes diferentes, não poderá mais usar o mesmo código para todos.
As operadoras terão de implementar um diretório setorial centralizado, de acesso público. Nele, qualquer pessoa poderá consultar qual empresa está por trás de determinado remetente. Mensagens originadas de códigos ausentes nessa base serão automaticamente bloqueadas na rede.
Impacto direto para quem contrata disparos
Empresas que dependem de SMS transacional ou promocional precisam auditar seus fornecedores imediatamente. Se a plataforma de disparo utilizar códigos compartilhados ou não registrados, as mensagens simplesmente deixarão de chegar ao destinatário final a partir de julho.
O custo de conformidade tende a subir. Provedores de gateway terão de solicitar códigos dedicados por cliente, o que encarece a infraestrutura para volumes menores. Pequenos negócios que usam serviços de “SMS barato” baseados em pools compartilhados são os mais expostos à interrupção.
O cronograma e as obrigações técnicas
O Conselho Diretor da agência fixou prazo de 90 dias a contar da publicação para que as prestadoras:
- Criem e mantenham o diretório público de códigos curtos;
- Restrinjam o serviço A2P a pessoas jurídicas devidamente identificadas;
- Garantam exclusividade: um código, um CNPJ, sem exceção;
- Bloqueiem tráfego de remetentes não cadastrados.
O não cumprimento sujeita as teles a sanções regulatórias, mas o efeito prático imediato é a indisponibilidade do canal para quem não regularizar a tempo.
Por que isso reduz golpes e phishing
A rastreabilidade direta inibe a engenharia social. Hoje, uma mensagem fraudulenta simulando um banco chega sem identificação clara. Com a regra, o código curto apontará para a entidade real — ou será barrado se não houver registro.
Especialistas em segurança projetam queda nos casos de smishing (phishing via SMS), já que criminosos perdem o anonimato que tornava o canal atrativo. A medida não elimina golpes via WhatsApp ou e-mail, mas fecha uma porta histórica no mobile.
O que observar daqui para frente
Fique atento à publicação do diretório centralizado pelas operadoras — ele será a fonte única de verdade para validar remetentes. Testes de entregabilidade nas próximas semanas revelarão quais parceiros já estão conformes.
Outro ponto: a migração para canais verificados, como RCS e WhatsApp Business API, deve acelerar. Ambos já exigem identidade corporativa verificada e oferecem métricas de leitura superiores. Para volumes críticos — 2FA, alertas de fraude, logística —, a redundância entre canais deixa de ser opcional e vira exigência de continuidade.
