BRASILOperadoras deverão bloquear quem dispara SMS irregular
Rafael Bucco
- 3 de novembro de 2026 | 20:18
Operadoras terão até 90 dias para criar diretório público; decisão também exige medidas de segurança de plataformas digitais.
A Anatel determinou que as operadoras móveis implementem, em até 90 dias, um diretório público para identificar as empresas responsáveis pelo envio de mensagens SMS na modalidade A2P, de aplicações para pessoas. A decisão também estabelece o bloqueio de mensagens identificadas por códigos curtos não cadastrados e exige medidas de prevenção a fraudes de agregadores, integradores e responsáveis por plataformas digitais utilizadas em autenticação e autorização de transações.
As obrigações constam de despacho aprovado por unanimidade pelo Conselho Diretor em circuito deliberativo realizado nesta terça-feira, 3 de novembro. A relatoria coube ao conselheiro Octavio Penna Pieranti. Os prazos de implementação são contados da publicação da decisão.
O plano de ação decorre de uma determinação do Conselho Diretor de agosto de 2025 e foi elaborado a partir de discussões com prestadoras, agregadores de mensagens e a ABR Telecom. O objetivo é ampliar a identificação dos remetentes, a rastreabilidade das mensagens e a prevenção de fraudes.
Diretório público e bloqueio de mensagens
As prestadoras do Serviço Móvel Pessoal (SMP) deverão implementar e manter um diretório setorial centralizado de códigos curtos, disponível para consulta pública. A base deverá permitir a identificação das pessoas jurídicas responsáveis pelo encaminhamento das mensagens. O uso do serviço de envio de SMS A2P ficará restrito a empresas devidamente identificadas nesse cadastro.
Em outra determinação, a agência fixou prazo de até 90 dias para que as operadoras impeçam a entrega de mensagens com códigos curtos não cadastrados. Esse prazo poderá ser prorrogado por mais 30 dias, mediante justificativa apresentada à Anatel.
O despacho prevê que serão considerados efetivamente cadastrados os códigos curtos associados a agregadores de mensagens de nível 1 incluídos no diretório em até três dias do início de seu uso efetivo.
Antes de disponibilizar a consulta pública, as operadoras deverão realizar campanhas educativas sobre a finalidade do diretório, suas funcionalidades e formas de acesso.
Código exclusivo e monitoramento automatizado
Em até 60 dias, as prestadoras deverão assegurar que cada código curto utilizado para identificar remetentes seja destinado exclusivamente a uma única pessoa jurídica. O compartilhamento poderá ser admitido excepcionalmente, mediante justificativa técnica à Anatel. Nessas situações, o diretório deverá identificar todos os usuários associados ao código.
Segundo a fundamentação da decisão, o compartilhamento entre remetentes distintos dificulta a identificação da origem das mensagens e reduz a precisão das medidas de bloqueio.
No mesmo prazo, as operadoras deverão aprovar e implementar políticas internas de segurança para SMS, apresentar informações sobre medidas adotadas para impedir o uso de canais não confiáveis e estabelecer um canal setorial para compartilhar alertas, incidentes e recomendações de segurança. O período de 60 dias poderá ser prorrogado por igual prazo, mediante justificativa.
Também será obrigatória a implementação de mecanismos automatizados de monitoramento do tráfego SMS A2P. Esses mecanismos deverão identificar padrões anômalos, campanhas potencialmente fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura e falsificação de identidade, observadas a proteção de dados pessoais e o sigilo das comunicações.
As prestadoras deverão encaminhar relatórios periódicos ao Grupo Técnico de Suporte à Segurança Pública (GT-Seg), incluindo a evolução do volume de mensagens bloqueadas e outros indicadores de efetividade.
Obrigações para agregadores e integradores
A decisão estabelece responsabilidades para agentes envolvidos na originação, contratação, integração e encaminhamento de SMS A2P, conforme suas atividades e os mecanismos sob seu controle.
Entre as exigências estão a identificação dos originadores, a verificação da legitimidade das campanhas, a preservação de registros que permitam rastrear mensagens e a cooperação com prestadoras e autoridades na apuração de fraudes.
Originadores, agregadores e integradores que utilizem códigos curtos deverão manter atualizadas as informações necessárias ao cadastro, verificar a identidade de contratantes e responsáveis pelas campanhas e colaborar, quando regularmente demandados, para identificar e interromper campanhas com indícios consistentes de fraude. O prazo de implementação dessas medidas é de 90 dias.
O despacho ressalva que as obrigações respeitam as competências legais da Anatel e não atribuem às operadoras móveis um dever geral de fiscalização sobre atividades ou plataformas de terceiros.
Segurança também em plataformas digitais
O alcance da decisão inclui responsáveis por aplicações e plataformas digitais utilizadas para autenticação de usuários, recuperação de credenciais, confirmação de identidade e autorização de transações.
Esses agentes terão 90 dias para adotar medidas de identificação e autenticidade dos remetentes, integridade e rastreabilidade das comunicações, prevenção a fraudes e proteção dos processos de autenticação.
O texto exige “resultados de segurança equivalentes aos exigidos para comunicações digitais críticas realizadas por meio de SMS A2P”. Essa equivalência deverá considerar os riscos, a finalidade das comunicações e as características técnicas de cada solução, sem exigir a mesma tecnologia ou arquitetura.
A responsabilidade recairá sobre quem concebe, opera ou controla as funcionalidades e os mecanismos de segurança, dentro das competências legalmente atribuídas à agência. O despacho afasta tanto a transferência dessas responsabilidades às operadoras pelo mero transporte de dados quanto a equiparação das plataformas a prestadoras de telecomunicações.
Tomada de subsídios e acompanhamento
A Superintendência Executiva acompanhará a implementação do plano e deverá apresentar ao Conselho Diretor um relatório em 180 dias. O trabalho incluirá interlocução com os participantes do ecossistema e avaliação dos riscos associados à migração de comunicações críticas entre diferentes canais tecnológicos.
A área também deverá realizar uma tomada de subsídios para receber contribuições sobre o ecossistema de SMS A2P e outras questões relacionadas ao combate e à prevenção de fraudes.
Tags# Anatel# SMS
