SIM swap e OTP por SMS: por que o código de 6 dígitos morreu

O código de seis dígitos que chega por mensagem é, provavelmente, o mecanismo de segurança mais familiar do brasileiro. Também é o mais frágil que continuamos usando em massa — e por um motivo que não tem conserto: o SMS nunca foi um fator de autenticação. Ele é um canal de entrega.

A diferença parece semântica e é estrutural. Um fator de autenticação prova algo sobre você. Um canal apenas transporta uma informação de um ponto a outro, e pode ser desviado, lido ou pedido por alguém que se passe pelo destinatário. Foi sobre essa confusão que a indústria financeira brasileira construiu sua camada de segurança, e é essa confusão que o SIM swap explora.

A tese em uma frase: o problema do OTP por SMS não é a criptografia nem o tamanho do código — é que a posse da linha telefônica é transferível por atendimento humano, e nenhuma tecnologia conserta um processo que pode ser convencido.

Como o SIM swap funciona, sem nenhuma invasão

Vale insistir num ponto que costuma surpreender: em nenhum momento o criminoso invade um sistema.

Ele começa reunindo dados básicos da vítima — CPF, data de nascimento, nome da mãe, endereço. Isso não exige talento: vem de vazamentos antigos, de redes sociais ou de golpes anteriores, e circula em volume industrial. É o efeito de longo prazo de cada incidente mal contido, e o motivo pelo qual a LGPD trata comunicação de vazamento como obrigação, não como cortesia. Depois liga para a operadora ou vai a uma loja física, alega perda ou defeito do chip e pede a segunda via.

Se o atendente aceita os dados apresentados, a linha migra. O celular da vítima perde o sinal — normalmente o único aviso que ela recebe. A partir daí, todo SMS chega ao aparelho do golpista: código de login, código de transferência, código de recuperação de senha.

O resto é rápido. Recuperação de senha do e-mail principal por SMS, e com o e-mail vêm todas as outras contas. Transferências, contratação de crédito, abertura de conta. Tudo em minutos, tudo usando os mecanismos oficiais, tudo "autenticado".

Repare na assimetria: a vítima fez tudo certo — tinha senha forte e segundo fator ativado. Falhou o processo de atendimento de uma terceira empresa sobre a qual ela não tem controle nenhum.

O Brasil já decidiu de quem é a culpa

Aqui há uma diferença relevante em relação a quase todo outro golpe digital, e pouca gente sabe.

O Superior Tribunal de Justiça firmou o entendimento de que a responsabilidade da operadora é objetiva, com base no artigo 14 do Código de Defesa do Consumidor. Responsabilidade objetiva significa que não é preciso provar culpa: basta demonstrar o defeito na prestação do serviço e o dano. Tribunais de pelo menos dez estados já condenaram operadoras por falhas que permitiram esse tipo de fraude.

Isso muda a conversa em dois sentidos. Para a vítima, o caminho judicial é mais previsível do que em golpes de engenharia social comuns, em que a discussão sobre culpa costuma travar tudo. E para a operadora, cria um incentivo econômico real para endurecer o processo de troca de chip — o que ajuda a explicar por que as próprias operadoras passaram a oferecer API de consulta de SIM swap como produto.

Vale registrar o que isso não resolve: indenização não devolve o tempo, não desfaz o crédito contratado em seu nome e não apaga o transtorno de recuperar contas. Prevenção continua valendo mais do que reparação.

O que colocar no lugar

O SMS está sendo substituído por dois caminhos diferentes, que resolvem partes diferentes do problema.

Passkeys: a substituição no mundo web

A passkey é uma credencial criptográfica guardada no dispositivo e desbloqueada por biometria ou PIN. Quando você autentica, o aparelho responde a um desafio criptográfico vinculado ao domínio exato do site.

Essa vinculação é o ponto inteiro. Uma credencial usada num site clonado não funciona — o protocolo se recusa a autenticar em qualquer domínio que não seja o original. Não existe código para interceptar, não existe código para entregar por telefone a um falso funcionário do banco. E como nada depende da linha telefônica, o SIM swap se torna irrelevante para aquela conta.

A direção do mercado é inequívoca. A Microsoft está aposentando MFA por SMS e voz no Entra ID, com passkeys virando o método padrão de login a partir de 1º de setembro de 2026. Normas como NIS2, DORA e PCI DSS 4.0 já exigem MFA resistente a phishing — e SMS e push simples não passam nesse critério. Segundo a FIDO Alliance, que mantém o padrão, a adoção corporativa deixou de ser experimento.

Para quem opera sistemas, o custo típico de retrofit numa stack legada é de 6 a 12 semanas. Não é trivial, mas também não é projeto de ano.

Verificação pela rede: a substituição no mundo telecom

O outro caminho vem das próprias operadoras. Em vez de mandar um código, o sistema pergunta à rede móvel se aquela conexão corresponde ao número informado — e recebe sim ou não.

É a API Number Verification, do Open Gateway, e a GSMA a descreve explicitamente como substituta mais segura do OTP por SMS. Vale lembrar que o Brasil foi um dos pioneiros: Claro, TIM e Vivo lançaram Number Verification, SIM Swap e Device Location em novembro de 2023.

A API de SIM Swap merece destaque nesta discussão porque ataca o golpe de frente. Ela não impede a troca de chip — denuncia a troca recente. O banco pergunta se houve substituição nas últimas 24 ou 72 horas antes de autorizar uma operação sensível e, se houve, exige verificação adicional. É uma janela estreita, e é exatamente na janela que o golpe acontece.

A vantagem sobre a passkey é a fricção zero: o usuário não digita nem toca em nada. A desvantagem é a dependência — só funciona em conexão móvel e só se a sua operadora participar.

O que fazer, hoje

Se você é usuário:

• Migre o e-mail principal para app autenticador ou passkey. O e-mail é a chave-mestra: quem o controla recupera todas as outras contas. É a mudança de maior impacto e leva cinco minutos.
• Peça à operadora uma senha ou PIN para operações na conta. Todas oferecem alguma forma disso, e quase ninguém ativa. É o que obriga o atendente a exigir algo que o golpista não achou num vazamento.
• Se o celular perder sinal do nada, trate como fraude. Ligue para a operadora de outro telefone, avise o banco pelo aplicativo enquanto ainda tem acesso, troque senhas críticas de outro dispositivo. Não espere para ver se volta.
• Reduza o que dá para descobrir sobre você. Data de nascimento e nome da mãe públicos em rede social são, literalmente, as credenciais do atendimento telefônico. O post sobre OSINT mostra o quanto se monta a partir de fonte aberta.

Se você constrói produto:

• Pare de tratar SMS como segundo fator forte. Use como piso onde não há alternativa, nunca como única proteção de operação sensível.
• Ofereça passkey. Não precisa ser obrigatório: começar como opção já move os usuários de maior risco, que costumam ser os primeiros a adotar.
• Consulte SIM swap antes de operação crítica, se o seu setor permite. Transferência alta, troca de dispositivo e alteração de dados cadastrais são os momentos certos — a especificação da API é pública.
• Não use SMS para recuperação de conta. Autenticação por SMS é ruim; recuperação por SMS é pior, porque contorna todo o resto que você construiu.

E continua valendo o básico: nenhuma dessas medidas protege contra o usuário convencido a entregar o acesso voluntariamente, o que é território de phishing e engenharia social. A verificação técnica reduz a superfície; o treinamento cuida do resto.

O ponto que fica

O código de seis dígitos por SMS foi uma boa ideia em 2005, quando a alternativa era só senha. Ele elevou o custo do ataque na época e cumpriu seu papel por quase duas décadas.

Só que a economia mudou de lado. Os dados pessoais de praticamente todos os brasileiros já vazaram; convencer um atendente é barato; e a linha telefônica virou um ativo transferível por conversa. Continuar apoiando a segurança financeira de um país inteiro sobre esse mecanismo é uma escolha, não uma limitação técnica.

A substituição já existe, já funciona e já tem data marcada nas plataformas grandes. A pergunta que sobra é quanto tempo cada banco, cada aplicativo e cada empresa vai levar para tirar o SMS do caminho crítico — e quantas linhas vão ser sequestradas nesse meio-tempo.