Anatel determina criação de cadastro público de remetentes de SMS e bloqueio de mensagens irregulares

A Agência Nacional de Telecomunicações (Anatel) determinou que as operadoras de telefonia criem um cadastro público de empresas autorizadas a enviar mensagens de texto (SMS) e bloqueiem aquelas que utilizarem códigos de remetente não registrados. A medida busca ampliar a rastreabilidade das mensagens e dificultar golpes que simulam comunicações de bancos, empresas e órgãos públicos. As novas regras constam do Despacho Decisório nº 2/SCD, publicado no Diário Oficial da União (DOU) nesta quarta-feira (4).

A decisão estabelece prazos diferentes para a implementação das exigências: 60 dias para medidas de segurança e monitoramento e 90 dias para a criação do diretório público e o bloqueio de mensagens irregulares. Algumas obrigações admitem prorrogação mediante justificativa à agência. O despacho trata do SMS A2P (Application-to-Person), modalidade utilizada por empresas e instituições para enviar mensagens automatizadas aos consumidores, como códigos de autenticação, confirmações de compras, alertas bancários e avisos de serviços públicos.

Na justificativa, a Anatel afirma que o número de golpes digitais aumentou significativamente devido à expansão dos serviços digitais e pela adesão da população. O documento destaca que o SMS tornou-se um canal explorado por fraudadores e cita os prejuízos financeiros aos consumidores e empresas, os impactos emocionais sobre as vítimas e os efeitos sobre a confiança nos serviços de telecomunicações.

Pelo despacho, as operadoras terão até 90 dias para implementar e manter um diretório centralizado de códigos curtos, aberto à consulta pública, que deve identificar as pessoas jurídicas responsáveis pelo encaminhamento das mensagens. Os códigos curtos são sequências numéricas de poucos dígitos que substituem o número convencional ou o nome do remetente em envios automatizados em larga escala. Com a nova regra, o serviço de SMS A2P ficará restrito a pessoas jurídicas identificadas no cadastro e as operadoras deverão impedir a entrega de mensagens enviadas por códigos curtos não listados.

Cada código curto deverá identificar exclusivamente uma pessoa jurídica, com prazo de 60 dias para implementação pelas operadoras, passível de prorrogação por mais 60 dias sob justificativa. O compartilhamento de códigos poderá ocorrer excepcionalmente mediante justificativa técnica à agência. No mesmo período, as operadoras devem implementar uma Política Interna de Segurança para SMS e mecanismos automatizados para monitorar o tráfego, identificar padrões anormais, campanhas fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura e falsificação da identidade do remetente (identity spoofing).

As empresas também deverão criar um canal setorial para compartilhar alertas e informações sobre incidentes, além de informar à Anatel as medidas adotadas para impedir o uso de canais não confiáveis. O despacho determina o envio de relatórios periódicos ao Grupo Técnico de Suporte à Segurança Pública (GT-Seg) com indicadores sobre o volume de mensagens bloqueadas.

As regras também alcançam outros participantes da cadeia, como empresas responsáveis pela originação, contratação e encaminhamento de SMS A2P, que devem identificar remetentes e manter registros para rastreio. Originadores, agregadores e integradores que utilizam códigos curtos devem manter dados cadastrais atualizados e colaborar com as operadoras e autoridades na interrupção de campanhas com indícios de fraude.

O despacho estende exigências a responsáveis por aplicações e plataformas digitais usadas para autenticação, recuperação de senhas e autorização de transações. Essas empresas terão 90 dias para adotar mecanismos que garantam identificação, autenticidade, integridade e rastreabilidade das comunicações. A Anatel ressalta que as operadoras não assumirão responsabilidades por essas plataformas apenas por transportarem os dados em suas redes.

O Conselho Diretor da Anatel aprovou as determinações por unanimidade na terça-feira (3), com relatoria do conselheiro Octavio Penna Pieranti. A decisão atende a uma determinação anterior de 14 de agosto de 2025 para ampliar a segurança no envio de SMS. A Superintendência Executiva da agência acompanhará a implementação e terá 180 dias para apresentar um relatório ao Conselho Diretor com propostas de encaminhamento às autoridades competentes. O colegiado também determinou uma tomada de subsídios para ouvir agentes do setor sobre o ecossistema de SMS A2P.