Anatel exige cadastro para bloquear SMS A2P sem registro
Operadoras terão 60 dias para adotar medidas de segurança e até 90 dias para publicar o diretório de remetentes e barrar códigos não registrados.
Resumo em 30 segundos
A Anatel determinou que operadoras criem um diretório público de empresas autorizadas a enviar SMS A2P e bloqueiem mensagens de códigos não cadastrados. As regras também preveem medidas de segurança, monitoramento e rastreamento, com prazos de 60 e 90 dias. Agregadores, integradores e plataformas digitais terão obrigações próprias.
A Agência Nacional de Telecomunicações (Anatel) determinou que as operadoras criem um cadastro público de empresas autorizadas a enviar SMS A2P e bloqueiem mensagens transmitidas por códigos de remetente não registrados. As regras foram publicadas nesta quarta-feira (4), no Diário Oficial da União, e estabelecem prazos de 60 e 90 dias para a implementação das medidas de segurança, monitoramento e identificação dos responsáveis pelas mensagens.
SMS A2P é a sigla em inglês para “Application-to-Person”, ou “de aplicação para pessoa”. A modalidade abrange mensagens automatizadas enviadas por empresas e instituições a consumidores, como códigos de autenticação, confirmações de compras, alertas bancários e avisos de serviços públicos. Diferentemente de mensagens pessoais trocadas entre usuários, esse tipo de envio costuma ocorrer em grande escala e pode passar por intermediários técnicos.
A decisão busca tornar mais fácil rastrear a origem das mensagens e reduzir fraudes em que criminosos se passam por bancos, empresas ou órgãos públicos. A Anatel aponta que o aumento dos serviços digitais ampliou o uso desse canal e que fraudadores também exploram o SMS. Além dos prejuízos financeiros, a agência cita impactos emocionais para as vítimas e danos à confiança nos serviços de telecomunicações.
Em até 90 dias, as operadoras deverão manter um diretório centralizado, aberto à consulta pública, com os códigos curtos utilizados no envio de SMS A2P e a identificação das pessoas jurídicas responsáveis. Códigos curtos são sequências de poucos dígitos que aparecem no lugar de um número telefônico convencional ou do nome do remetente. O serviço ficará restrito a empresas identificadas no cadastro, e as operadoras deverão bloquear mensagens enviadas por códigos ausentes do diretório.
A regra prevê uma exceção para códigos ligados a agregadores de mensagens de nível 1: eles serão considerados cadastrados se as informações forem incluídas no diretório em até três dias após o início efetivo do uso. A Anatel também permite que o prazo para bloquear códigos não registrados seja prorrogado por até 30 dias, mediante justificativa. Antes de abrir o diretório ao público, as operadoras terão de promover campanhas para explicar a finalidade da ferramenta e como acessá-la.
Cada código curto deverá corresponder a uma única pessoa jurídica. As operadoras terão 60 dias para cumprir essa exigência, com possibilidade de prorrogação por mais 60 dias se apresentarem justificativa à agência. O compartilhamento poderá ser autorizado excepcionalmente, desde que haja justificativa técnica; nesse caso, o cadastro deverá indicar todas as empresas associadas ao código.
No mesmo prazo de 60 dias, as operadoras terão de aprovar políticas internas de segurança para identificar remetentes, monitorar mensagens, detectar e prevenir fraudes e tratar incidentes. Também deverão usar sistemas automatizados para localizar padrões anormais de envio, possíveis campanhas fraudulentas, credenciais comprometidas, uso abusivo da rede e falsificação da identidade do remetente, prática conhecida como “spoofing”.
As empresas de telecomunicações ainda terão de criar um canal para compartilhar alertas e informações sobre incidentes, comunicar à Anatel as medidas contra canais não confiáveis e enviar relatórios periódicos ao Grupo Técnico de Suporte à Segurança Pública (GT-Seg). Os documentos deverão incluir dados como a evolução do volume de mensagens bloqueadas, para permitir a avaliação dos resultados.
As obrigações também alcançam originadores, agregadores e integradores que contratam, conectam ou encaminham mensagens. Eles deverão identificar remetentes, verificar a legitimidade das campanhas e manter registros que permitam rastrear os envios. Também terão de atualizar cadastros, confirmar a identidade dos clientes e colaborar com operadoras e autoridades para identificar e interromper campanhas com indícios consistentes de fraude.
Plataformas digitais usadas para autenticação, recuperação de senhas, confirmação de identidade ou autorização de transações terão 90 dias para garantir a autenticidade dos remetentes, a integridade e a rastreabilidade das comunicações e a prevenção e mitigação de fraudes. A decisão exige resultados de segurança equivalentes aos previstos para SMS A2P, mas não obriga essas empresas a adotar a mesma tecnologia. A responsabilidade cabe às companhias que concebem, operam ou controlam as funcionalidades e os mecanismos de segurança; as operadoras não assumem essas obrigações apenas por transportar dados em suas redes.
O Conselho Diretor da Anatel aprovou as determinações por unanimidade na terça-feira (3), sob relatoria do conselheiro Octavio Penna Pieranti. A decisão dá sequência a uma determinação de 2025 para elaborar um plano de ação sobre a segurança no envio de SMS. A Superintendência Executiva acompanhará a implementação, promoverá discussões técnicas e terá 180 dias para apresentar um relatório ao conselho. Também será realizada uma tomada de subsídios para receber contribuições do setor sobre o ecossistema de SMS A2P e medidas de prevenção a fraudes.
