A Anatel publicou em 4 de novembro de 2026 regras que obrigam operadoras a identificarem empresas por trás de mensagens automáticas e bloquearem códigos curtos não cadastrados. A medida ataca o canal mais usado por fraudadores hoje, mas não fecha todas as portas. Entenda o que muda na prática e por que sua atenção continua sendo a melhor defesa.
O que a nova regra exige das operadoras
As determinações miram o SMS corporativo — aquele que chega com números curtos tipo 29222, usado por bancos, e-commerces e apps para códigos de verificação e avisos. A partir de agora, cada código curto precisa estar atrelado a uma única empresa identificada, sem compartilhamento entre organizações diferentes.
Um cadastro centralizado e gratuito será criado para que qualquer consumidor consulte qual companhia está por trás de um remetente suspeito. As operadoras também terão que implementar sistemas de monitoramento para flagrar padrões de fraude.
Prazos e etapas de implementação
- 60 dias (até janeiro de 2027): políticas de segurança e mecanismos de monitoramento ativos
- 90 dias (até fevereiro de 2027): cadastro de códigos curtos operando e bloqueio de mensagens de códigos não registrados
A implementação escalonada dá tempo técnico às teles, mas também abre uma janela de transição que criminosos podem explorar.
O tamanho do problema em números
Pesquisa do Cetic.br divulgada pelo Ministério das Comunicações mostra que 71% dos entrevistados relataram tentativas de golpe por SMS. Mesmo com a popularização do WhatsApp e Telegram, o canal de texto tradicional segue como vetor preferido de ataques — justamente por sua simplicidade e alcance universal.
O smishing (phishing via SMS) costuma usar urgência falsa: encomenda retida na alfândega, conta bancária prestes a ser bloqueada, prêmio a resgatar. O objetivo é levar a vítima a clicar em links maliciosos ou entregar dados sensíveis.
Por que a regra não elimina o risco
As exigências focam no SMS A2P (Application-to-Person), o fluxo automatizado de empresas para clientes. Criminosos ainda podem recorrer a números de celular comuns, contas comprometidas no WhatsApp, e-mail, redes sociais e até ligações de voz.
Além disso, a identificação do remetente não garante legitimidade. Contas corporativas legítimas podem ser sequestradas ou alugadas. A verificação de origem é uma camada extra de proteção, não um atestado de segurança.
A evolução dos golpes: IA e personalização
Ferramentas de inteligência artificial generativa permitem criar mensagens sob medida — com nome da vítima, tom de voz da marca imitada e contexto convincente. Um golpe bem executado deixa de ter erros de português ou formatação suspeita, tornando a detecção visual quase impossível.
Quando um canal fica mais hostil, os fraudadores migram. Já há relatos de smishing migrando para WhatsApp Business falsificado, e-mails com domínios parecidos (typosquatting) e anúncios maliciosos em redes sociais.
O que fazer na prática a partir de agora
A regra básica não mudou: desconfie de qualquer mensagem inesperada que exija ação imediata. Recebeu aviso de entrega pendente? Acesse o app oficial da transportadora. Alerta de banco? Abra o aplicativo da instituição direto, sem clicar no link recebido.
Use o futuro cadastro da Anatel para checar códigos curtos suspeitos. Denuncie mensagens fraudulentas nos canais da operadora e no portal consumidor.gov.br — cada relato alimenta os sistemas de bloqueio.
O que observar nos próximos meses
A eficácia real depende de três fatores: adesão rigorosa das teles aos prazos, agilidade no cadastro e atualização constante de códigos, e capacidade dos sistemas de monitoramento de detectar padrões novos sem gerar falsos positivos que atrapalhem comunicações legítimas.
Se a fiscalização funcionar, veremos queda nos golpes via códigos curtos não registrados. Mas a engenharia social não para — o próximo vetor de ataque provavelmente já está sendo testado. A segurança digital segue sendo responsabilidade compartilhada: regulação, tecnologia e comportamento do usuário.
