Usurpação de número: Por que suas chamadas e SMS não são mais seguros e como a Arcep está reagindo

Introdução: A miragem da identidade digital

Imagine receber uma ligação do seu banco, do seu consultor de seguros ou até mesmo de um parente, com o número exato aparecendo na sua tela. Você atende, confiante, para finalmente perceber que está falando com um golpista baseado do outro lado do mundo. Este cenário, antes reservado a filmes de espionagem, tornou-se uma realidade cotidiana para milhões de pessoas. É o que chamamos de usurpação de número, ou spoofing em inglês.

A identidade telefônica, que consideramos como um identificador único e confiável, é, na verdade, frágil. O protocolo utilizado para encaminhar chamadas e SMS não foi concebido com a segurança como prioridade, deixando a porta aberta para manipulações técnicas simples para mascarar a identidade real do remetente. Diante da explosão dessas fraudes, a Arcep (Autoridade de Regulação das Comunicações Eletrônicas, dos Correios e da Distribuição da Imprensa) decidiu passar à ofensiva, abrindo uma investigação que visa todas as operadoras de telecomunicações.

Por que essa falha persiste em 2026? Como os fraudadores conseguem burlar os sistemas de segurança? E, acima de tudo, o que o regulador pode fazer para forçar as operadoras a sécurizar nossas comunicações?

O mecanismo técnico: Como funciona o spoofing?

Para compreender a usurpação, é preciso entender que o número que aparece no seu telefone não é uma prova de identidade, mas apenas uma "etiqueta" transmitida nos dados de sinalização da chamada.

A falha do protocolo SIP

A maioria das chamadas modernas transita pelo protocolo SIP (Session Initiation Protocol), utilizado para a voz sobre IP (VoIP). O principal problema do SIP é que ele permite que o remetente defina ele mesmo o campo "From" (De) no cabeçalho da mensagem.

Quando um fraudador utiliza um gateway VoIP mal sécurizado ou um software especializado, ele pode injetar qualquer número nesse campo. A rede da operadora recebe a chamada e, sem uma verificação aprofundada da procedência real do sinal, transmite simplesmente a etiqueta solicitada para o telefone do destinatário.

As diferentes formas de usurpação

O spoofing não se limita a chamadas de voz. Distinguem-se principalmente três tipos de ataques:

1. Spoofing corporativo: O fraudador imita o número de uma instituição (Banco, Receita Federal, Saúde) para estabelecer um clima de confiança imediato.
2. Spoofing de proximidade: O atacante utiliza um número com o mesmo código de área da vítima para aumentar as chances de a chamada ser atendida.
3. Spoofing de contato: Mais raro e direcionado, o fraudador usurpa o número de um conhecido para pedir uma transferência urgente (golpe do "falso filho" ou "falso chefe").

A investigação da Arcep: As operadoras diante de suas responsabilidades

Desde o início de 2026, a Arcep intensificou sua vigilância. A investigação aberta não visa os fraudadores — que muitas vezes estão fora do alcance jurídico — mas sim as operadoras. O regulador faz uma pergunta fundamental: Por que as redes móveis permitem a passagem de chamadas cuja identidade é manifestamente falsificada?

A falta de filtragem na entrada

A Arcep aponta a porosidade das interconexões. Quando uma chamada chega de uma operadora estrangeira ou de um pequeno provedor de VoIP para uma grande rede (como Orange, SFR, Bouygues, Free), a filtragem é frequentemente insuficiente. As operadoras aceitam as chamadas confiando nas informações transmitidas pela rede de origem, sem mecanismos de validação cruzada.

Os desafios financeiros e técnicos

Para as operadoras, implementar uma filtragem rigorosa representa um desafio técnico. Verificar a autenticidade de cada chamada recebida em tempo real poderia causar atrasos na conexão ou, pior, bloquear chamadas legítimas (falsos positivos). Além disso, a ausência de um padrão mundial harmonizado torna a luta complexa: uma operadora francesa não pode exigir facilmente garantias de identidade de uma operadora baseada em uma jurisdição permissiva.

Quais soluções para sécurizar nossas comunicações?

A Arcep está pressionando as operadoras a adotarem protocolos de certificação. O objetivo é passar de um sistema de "confiança cega" para um sistema de "confiança verificada".

O padrão STIR/SHAKEN

Já implementado com sucesso na América do Norte, o framework STIR/SHAKEN é a solução técnica preferida. Veja como funciona:

• STIR (Secure Telephone Identity Revisited): Permite adicionar um certificado digital criptografado à chamada.
• SHAKEN (Signature-based Handling of Assertions provided by Tokens): Define como as operadoras devem gerenciar esses certificados.

Em resumo, a operadora do remetente "assina" a chamada. A operadora do destinatário verifica a assinatura. Se a assinatura estiver ausente ou for inválida, o telefone pode exibir a mensagem "Chamada potencialmente fraudulenta" ou bloquear a ligação.

O papel dos filtros inteligentes e da IA

Paralelamente, as operadoras e fabricantes (Apple, Google) integram bancos de dados de números denunciados. A IA agora analisa comportamentos: um número que faz 10.000 chamadas de 10 segundos em uma hora é quase sistematicamente identificado como um robô de spoofing e colocado em uma lista negra.

Guia prático: Como se proteger do spoofing?

Enquanto as medidas da Arcep e das operadoras não estiverem plenamente efetivas, a vigilância continua sendo sua melhor defesa. O spoofing joga com a emoção e a urgência.

Reflexos de segurança a adotar

Situação	Reflexo recomendado
Chamada de banco pedindo código	Desligue imediatamente. Ligue você mesmo para seu consultor através do número oficial.
SMS urgente de parente pedindo dinheiro	Ligue para a pessoa em seu número habitual para verificar.
Chamada de órgão público (Receita, Previdência)	Nunca forneça informações bancárias por telefone. A administração comunica-se prioritariamente via portais seguros.
Dúvida sobre a identidade do interlocutor	Faça uma pergunta pessoal que apenas o interlocutor real saberia responder.

Ferramentas para limitar os riscos

• Aplicativos de filtragem: Ferramentas como Hiya ou Truecaller podem ajudar, mas atenção à privacidade dos seus próprios dados de contatos.
• Bloqueio de números desconhecidos: No Android e iOS, você pode configurar seu telefone para enviar diretamente para a caixa postal todas as chamadas que não estejam em seus contatos.
• Denúncia: Utilize as plataformas oficiais de denúncia de SMS fraudulentos. Isso ajuda as operadoras a identificar ondas de ataques em tempo real.

Conclusão: Rumo a uma identidade telefônica certificada

A usurpação de número é o sintoma de uma rede concebida para a conectividade, mas não para a segurança. Em 2026, chegamos a um ponto de ruptura onde a confiança na exibição do número tornou-se um risco de segurança. A investigação da Arcep é um sinal forte: a responsabilidade da proteção não pode mais recair apenas sobre os ombros do usuário final.

A transição para padrões como STIR/SHAKEN e uma filtragem mais rigorosa nas fronteiras das redes é indispensável. O número de telefone deve voltar a ser o que sempre deveria ter sido: uma prova de identidade confiável e não uma simples máscara utilizada por cibercriminosos. Enquanto isso, lembre-se de que, no mundo digital atual, o número que aparece na tela não é necessariamente quem está falando com você.