Anatel determinou o bloqueio de SMS corporativos enviados por códigos curtos não cadastrados.

Operadoras terão até 90 dias para criar um diretório público de remetentes e até 60 dias para reforçar mecanismos de segurança.

Exigências também atingem intermediários de mensagens e plataformas utilizadas em processos de autenticação.

A Anatel determinou que operadoras de telefonia móvel bloqueiem mensagens SMS corporativas enviadas por códigos curtos não cadastrados. A medida busca combater golpes que utilizam identificadores aparentemente legítimos para se passar por bancos, empresas e serviços públicos.

A decisão integra um novo conjunto de regras para combater golpes com mensagens falsas e foi publicado no Diário Oficial da União desta quarta-feira (04/11). As normas também exigem um cadastro público de remetentes e sistemas automáticos para identificar atividades suspeitas. As principais medidas deverão ser implementadas pelas operadoras em até 90 dias.

Quais mensagens serão bloqueadas?

Anatel quer facilitar a identificação de empresas responsáveis por SMS corporativos (foto: Thássius Veloso/Tecnoblog)

A decisão se concentra nos chamados SMS A2P (Application-to-Person), mensagens enviadas por empresas a consumidores. Esse formato é utilizado para encaminhar códigos de verificação, avisos de compras, alertas bancários e outras notificações.

Muitas dessas mensagens chegam por códigos curtos, números com poucos dígitos que aparecem no lugar de um telefone convencional. Pelas novas regras, esses identificadores deverão estar vinculados a empresas cadastradas. As operadoras precisarão impedir a entrega de SMS corporativos enviados por códigos que não constem do registro.

A exigência não representa um bloqueio geral de mensagens entre pessoas. O objetivo é identificar os responsáveis pelos envios corporativos e facilitar o rastreamento de possíveis fraudes.

Como funcionará o cadastro de remetentes?

A gestão do cadastro poderá ficar a cargo da ABR Telecom, entidade que já administra sistemas de portabilidade e roaming. Desde janeiro, a empresa se prepara para centralizar os contratos de numeração usados em serviços de mensagens no Brasil, como informou o Teletime à época.

As novas regras da Anatel preveem a criação de um diretório centralizado, com consulta pública. Nele, os consumidores poderão verificar qual empresa está vinculada a cada código curto usado no envio de SMS.

Golpes podem usar mensagens falsas de bancos (foto: Lucas Braga/Tecnoblog)

Cada identificador deverá ser utilizado por uma pessoa jurídica. O compartilhamento poderá ser admitido em situações excepcionais, mediante justificativa técnica apresentada à Anatel. Nesses casos, todas as empresas envolvidas deverão aparecer no cadastro.

Segundo o TeleSíntese , o uso de um mesmo código por diferentes remetentes dificulta a identificação da origem das mensagens e reduz a eficácia dos bloqueios. As prestadoras também deverão implementar sistemas automáticos para detectar volumes anormais de envios, falsificação de remetentes e possíveis campanhas fraudulentas.

As exigências alcançam ainda empresas que geram ou intermediam mensagens. Elas precisarão verificar a identidade dos contratantes, manter registros que permitam rastrear os envios e colaborar na apuração de fraudes.

Quando começa a valer?

Os prazos são contados a partir de hoje, data da publicação do despacho. Eles devem seguir o seguinte cronograma:

Em até 60 dias , as operadoras deverão garantir códigos exclusivos por empresa, implementar políticas internas de segurança e adotar monitoramento automatizado. O prazo poderá ser prorrogado por mais 60 dias, por justificativa.

Em até 90 dias , o cadastro público deverá estar disponível, e SMS corporativos enviados por códigos curtos não registrados deverão ser bloqueados. O prazo do bloqueio poderá ser prorrogado por 30 dias.

Também em 90 dias , intermediários de mensagens e responsáveis por plataformas utilizadas em autenticação, recuperação de senhas e autorização de transações deverão adotar medidas de segurança compatíveis com suas atividades.

As operadoras também deverão promover campanhas educativas antes da abertura do cadastro, explicando como ele poderá ser consultado.

Limites das novas regras

As medidas podem dificultar fraudes nos sistemas corporativos de mensagens, mas não impedem todas as formas de ataque. Uma delas é o smishing, modalidade de phishing por SMS , em que criminosos tentam convencer vítimas a acessar páginas falsas e fornecer dados pessoais ou bancários.

Também existem golpes que utilizam antenas clandestinas para simular redes de telefonia. Nesses casos, as mensagens podem chegar aos aparelhos sem passar pelos sistemas convencionais de envio de SMS das operadoras. Por isso, a presença de um código curto no cadastro não garante que toda mensagem enviada por ele seja segura.

A Anatel acompanhará a implementação das medidas e deverá receber, em até 180 dias, um relatório sobre os resultados do plano de combate às fraudes.

Anatel decide: operadoras deverão bloquear SMS usado em golpes