A Agência Nacional de Telecomunicações (Anatel) estabeleceu uma nova determinação exigindo que as operadoras de telefonia móvel impeçam o envio de mensagens SMS corporativas que sejam originadas por códigos curtos não registrados. Esta ação visa coibir esquemas fraudulentos que exploram identificadores que parecem legítimos, simulando instituições financeiras, companhias e órgãos governamentais.
Esta resolução faz parte de um novo conjunto de normas criado para enfrentar golpes por meio de mensagens falsas e foi oficializada no Diário Oficial da União nesta quarta-feira, dia 04/11. Além disso, as regulamentações impõem a necessidade de um registro público de remetentes e a utilização de sistemas automatizados para detectar atividades suspeitas. As operadoras terão um prazo de até 90 dias para colocar essas medidas em prática.
O foco principal da decisão recai sobre os chamados SMS A2P (Application-to-Person), que são mensagens enviadas por empresas diretamente aos consumidores. Este formato é amplamente empregado para disparar códigos de confirmação, notificações de compras, alertas bancários e outros tipos de comunicados.
Muitas dessas comunicações chegam utilizando códigos curtos, que são números de poucos dígitos exibidos no lugar de um número de telefone padrão. De acordo com as novas diretrizes, esses identificadores precisam estar obrigatoriamente ligados a empresas devidamente inscritas. Consequentemente, as operadoras deverão barrar a entrega de SMS corporativos provenientes de códigos que não constem no registro oficial.
É importante ressaltar que essa exigência não implica um bloqueio total de mensagens trocadas entre indivíduos. O propósito fundamental é possibilitar a identificação dos responsáveis pelos envios corporativos e agilizar o rastreamento de eventuais fraudes.
A administração desse cadastro pode ser delegada à ABR Telecom, entidade que atualmente gerencia os sistemas de portabilidade e roaming. A própria ABR Telecom já vinha se preparando desde janeiro para centralizar os contratos de numeração utilizados em serviços de mensagens no território brasileiro, conforme noticiado pelo Teletime na ocasião.
As novas regras da Anatel preveem a criação de um diretório centralizado, acessível ao público. Por meio dele, os consumidores poderão consultar qual empresa está associada a cada código curto empregado no envio de SMS. Cada identificador deve ser utilizado por uma pessoa jurídica, embora o compartilhamento possa ser permitido em circunstâncias excepcionais, desde que haja uma justificativa técnica apresentada à Anatel, momento em que todas as empresas envolvidas deverão constar no cadastro.
Segundo informações do TeleSíntese, o fato de um único código ser usado por múltiplos remetentes complica a localização da origem das mensagens e diminui a eficácia dos mecanismos de bloqueio. As prestadoras de serviço também serão obrigadas a implementar sistemas automáticos capazes de identificar volumes incomuns de envio, falsificação de remetentes e potenciais campanhas fraudulentas.
As obrigações estendem-se também às empresas que geram ou intermediam as mensagens. Tais empresas deverão confirmar a identidade de quem contrata o serviço, manter registros que permitam rastrear os envios e cooperar na investigação de fraudes.
Os prazos para cumprimento começam a contar a partir da data de publicação do despacho. Um cronograma específico foi estabelecido, que inclui a promoção de campanhas educativas pelas operadoras antes da abertura do cadastro, visando informar os usuários sobre como realizar a consulta. Embora as medidas possam dificultar ataques nos sistemas corporativos de mensagens, elas não eliminam todas as formas de ameaça. O smishing, que é uma variação de phishing via SMS, permite que criminosos induzam vítimas a acessar páginas falsas para fornecer dados pessoais ou bancários. Ademais, existem golpes que utilizam antenas clandestinas para simular redes de telefonia, fazendo com que as mensagens cheguem aos dispositivos sem passar pelos canais convencionais das operadoras. Por essa razão, a simples inclusão de um código curto no cadastro não assegura que toda mensagem enviada por ele será segura.
A Anatel monitorará a implementação destas providências e deverá receber um relatório detalhado sobre os resultados do plano de combate às fraudes em um prazo máximo de 180 dias.
