L'équipe Texto SMS Gratuit
10 de setembro de 2026 · 13 min de leitura
Introdução: quando a rede desaparece, por vezes já é tarde demais
Numa terça-feira à tarde, em plena cidade, o seu telemóvel mostra «Sem serviço». Não há avaria anunciada e os colegas à sua volta têm rede normalmente. Reinicia o aparelho, retira o cartão SIM, sopra-lhe por superstição. Nada. Duas horas mais tarde, ao chegar a casa, entra na sua conta bancária: três transferências que nunca fez.
Este cenário tem um nome: SIM swap, ou desvio de número. O burlão não pirateou o seu telemóvel. Não quebrou a sua palavra-passe. Limitou-se a convencer alguém — um serviço de apoio ao cliente, um algoritmo de verificação, por vezes um funcionário cúmplice — de que o seu número lhe pertencia. A partir daí, todas as SMS de validação que os seus bancos, as suas caixas de correio e as suas contas online enviam para esse número vão parar às mãos dele.
Em França, o fenómeno foi durante muito tempo considerado marginal. Já não é. A generalização do eSIM, que permite ativar uma linha à distância em poucos minutos, sem envio de um cartão de plástico, encurtou mecanicamente o prazo entre o pedido fraudulento e a tomada de controlo efetiva. O que demorava dois dias úteis demora agora dez minutos.
Este guia explica o funcionamento real do ataque, as proteções concretas a ativar do lado do operador e do lado das contas, e o procedimento exato a seguir se a sua linha já tiver sido desviada.
Como funciona realmente um SIM swap
O ataque desenrola-se quase sempre em três tempos. Compreender esta sequência é a melhor forma de perceber onde a interromper.
Fase 1 — A recolha de informações
O burlão precisa de uma base de dados para se fazer passar por si junto de um operador: nome próprio, apelido, data de nascimento, morada, número da linha e, por vezes, os quatro últimos dígitos de um cartão bancário ou um número de cliente.
Estes elementos provêm de três fontes principais:
- As fugas de dados em larga escala. As grandes brechas que atingiram operadores e empresas do comércio francês nos últimos anos puseram a circular ficheiros com identidades, moradas e números de telefone. A CNIL emitiu por várias vezes chamadas de atenção sobre o assunto, e o serviço governamental Cybermalveillance.gouv.fr faz disso um ponto de entrada recorrente dos seus alertas.
- O phishing dirigido. Uma falsa SMS de entrega, uma falsa mensagem «a sua conta de operador vai ser suspensa», um falso consultor bancário ao telefone. O objetivo nem sempre é roubar uma palavra-passe: por vezes trata-se apenas de fazer confirmar uma data de nascimento ou uma morada.
- As redes sociais. Uma fotografia de aniversário, uma mudança de casa anunciada publicamente, o nome do cão usado como pergunta secreta. Aquilo que publicamos livremente alimenta diretamente os cenários de engenharia social.
Fase 2 — O pedido fraudulento
Existem duas vias, e não se combatem da mesma maneira.
Via A: a substituição do SIM no seu próprio operador. O burlão liga para o apoio ao cliente ou usa a área online fazendo-se passar por si e declara ter perdido o telemóvel. Pede o envio de um novo SIM ou, muito mais rapidamente, a ativação de um eSIM num aparelho que controla. O seu cartão SIM é desativado no mesmo instante: é o momento em que o seu telemóvel perde a rede.
Via B: a portabilidade fraudulenta. O burlão obtém o seu código RIO (o identificador de 12 caracteres da sua linha, obtido marcando o 3179) e depois subscreve um tarifário num operador concorrente pedindo para manter o seu número. A portabilidade executa-se em um a três dias úteis, por vezes menos. A sua linha de origem é então automaticamente rescindida.
A reter: em ambos os casos, a perda súbita e inexplicada da rede móvel não é um incidente técnico. É o sintoma número um do desvio de linha.
Fase 3 — A exploração
Assim que capta o número, o burlão desencadeia procedimentos de «palavra-passe esquecida» nas suas contas. Primeiro o e-mail — porque comanda tudo o resto —, depois o banco, as plataformas de pagamento, as contas de criptomoedas, as redes sociais e, por vezes, a área de cliente do operador, para bloquear a sua recuperação de controlo.
A SMS de validação, durante muito tempo apresentada como a referência da autenticação de dois fatores, torna-se nesse momento a porta de entrada principal. É todo o paradoxo da autenticação por SMS: assenta num canal que o seu operador pode reatribuir por via administrativa.
Porque é que 2026 é um ano decisivo
Três evoluções mudaram a equação.
O eSIM tornou-se a norma. A quase totalidade dos smartphones vendidos em França desde 2023 suporta-o, e a maioria dos operadores permite ativar um perfil online, sem intervenção humana e sem envio postal. Excelente notícia para o utilizador legítimo que muda de operador em três minutos. Excelente notícia, também, para o fraudador.
O mercado concentrou-se e está em movimento. Os movimentos de capital nas telecomunicações francesas, as migrações de carteiras de clientes de um operador para outro e a chegada de novos MVNO — incluindo os promovidos pela grande distribuição — multiplicam os e-mails legítimos que anunciam alterações contratuais. Neste ruído de fundo, uma mensagem fraudulenta passa muito mais facilmente.
Os procedimentos foram acelerados por razões comerciais. A ARCEP pressionou durante muito tempo no sentido de fluidificar a portabilidade para favorecer a concorrência, e isso é bom para a carteira dos consumidores. Mas o atrito retirado do percurso de um cliente honesto é também retirado do percurso de um usurpador.
Os cinco bloqueios a implementar desde já
Nenhuma destas medidas demora mais de dez minutos. Em conjunto, tornam o ataque bastante menos rentável.
Bloqueio 1 — O código confidencial do lado do operador
Todos os operadores franceses propõem, com designações variáveis, uma palavra-passe ou código secreto de apoio ao cliente distinto do da área online. É pedido nas operações sensíveis: mudança de SIM, rescisão, alteração de morada.
Na prática:
- Ligue para o apoio ao cliente ou entre na área de assinante e peça explicitamente a ativação de um código de segurança para qualquer pedido de substituição de SIM ou de eSIM.
- Escolha um código que não seja a sua data de nascimento, nem o seu código postal, nem o final do seu número.
- Anote-o num sítio que não seja um ficheiro «palavras-passe.txt». Um pequeno caderno de palavras-passe guardado numa gaveta continua a ser, paradoxalmente, uma solução robusta face à pirataria à distância.
Bloqueio 2 — O PIN do cartão SIM, realmente ativado
Muitos utilizadores desativaram o código PIN do SIM para não terem de o introduzir em cada reinício. É um erro: em caso de roubo físico do telemóvel, o SIM pode ser extraído e inserido noutro aparelho para receber as suas SMS de validação.
Reative-o nas definições (Definições → Dados móveis → PIN do SIM no iOS, Segurança → Bloqueio do cartão SIM no Android) e mude o código predefinido, muitas vezes 0000 ou 1234.
Bloqueio 3 — Sair da SMS na autenticação de dois fatores crítica
É a medida mais eficaz e a mais negligenciada. Nas suas contas sensíveis — e-mail principal, banco, plataformas de pagamento, área do operador —, substitua a validação por SMS por:
- uma aplicação de autenticação (códigos TOTP de seis dígitos renovados a cada 30 segundos), independente da rede móvel;
- ou, para as contas mais expostas, uma chave de segurança física USB-C que se liga ou aproxima do telemóvel. É hoje o único método que um SIM swap não contorna, uma vez que não tem qualquer ligação ao seu número.
A ANSSI recomenda há muito privilegiar estes métodos em vez da SMS sempre que estejam disponíveis. Muitos bancos franceses impõem ainda a sua própria aplicação móvel de validação: já é melhor do que a SMS, desde que a aplicação esteja associada ao aparelho e não apenas ao número.
Bloqueio 4 — Limpar os números de recuperação
Faça o inventário das contas em que o seu número figura como «meio de recuperação». Muitas vezes descobrem-se umas quinze. Para cada uma, duas perguntas: este número é indispensável aqui? Posso substituí-lo por um endereço de e-mail secundário protegido por TOTP?
Dica pouco conhecida: em vários serviços, eliminar o número de recuperação depois de ativar uma aplicação de autenticação elimina também a via de contorno por SMS. Verifique-o explicitamente nas definições de segurança, porque a mera presença de uma aplicação nem sempre desativa a opção SMS.
Bloqueio 5 — Vigiar o seu código RIO e os e-mails do operador
O código RIO obtém-se marcando o 3179 a partir da sua linha. É uma informação sensível: nunca a comunique a quem lhe telefone, mesmo que se apresente como consultor de um operador concorrente. Um operador nunca lhe pede o RIO por chamada recebida ou por SMS.
Configure também alertas na sua caixa de correio: qualquer mensagem que contenha «portabilidade», «novo SIM», «mudança de titular» ou «rescisão» merece leitura imediata. Estas notificações são muitas vezes o único sinal antes do corte.
Os sinais de alerta a conhecer
| Sinal | Gravidade | Reação |
|---|---|---|
| Perda súbita de rede, sem avaria conhecida | Crítica | Verificar imediatamente através de outro aparelho |
| SMS «o seu pedido de portabilidade foi registado» não solicitada | Crítica | Ligar ao operador a partir de outra linha |
| E-mail de confirmação de encomenda de um eSIM desconhecido | Crítica | Contestar de imediato |
| Vaga de tentativas de início de sessão nas suas contas | Elevada | Mudar as palavras-passe, verificar as sessões ativas |
| Chamada de um «consultor» a pedir um código recebido por SMS | Elevada | Desligar, nunca transmitir códigos |
| Impossibilidade de aceder à sua área de operador | Elevada | Contactar o serviço antifraude |
Um ponto de atenção especial: a perda de rede também pode ter causas banais (SIM oxidado, avaria local, falha de configuração após uma atualização). O critério que distingue é simples: os outros aparelhos à sua volta, no mesmo operador, têm rede normalmente? Se sim, e se o SIM voltar a funcionar noutro telemóvel, trata-se de um problema de hardware. Se a linha não funciona em lado nenhum, considere a hipótese de fraude.
Foi vítima: o procedimento hora a hora
Nos primeiros 30 minutos
- Encontre outro canal. O telemóvel de um familiar, uma linha fixa ou uma ligação Wi-Fi para contactar o apoio ao cliente através do chat da área de assinante.
- Ligue para o apoio ao cliente do seu operador e pronuncie explicitamente as palavras «desvio da minha linha» ou «SIM swap». Peça o bloqueio imediato da linha e de qualquer pedido de portabilidade em curso.
- Proteja o seu e-mail principal antes de mais nada: mudança de palavra-passe, encerramento de todas as sessões, remoção do número como meio de recuperação.
- Ligue para o seu banco e cancele os meios de pagamento. O número de emergência interbancário, o 0 892 705 705, permite cancelar cartões 24 horas por dia.
Nas 24 horas seguintes
- Apresente queixa. Pode fazê-lo numa esquadra ou num posto da gendarmerie, e existe um pré-registo online. Guarde o comprovativo: dele depende tudo o resto.
- Comunique a fraude bancária. Em caso de operação não autorizada, o artigo L133-18 do Código Monetário e Financeiro obriga o banco a reembolsar imediatamente os montantes debitados, salvo prova de negligência grave do cliente. O facto de ter sido vítima de um desvio de linha ocorrido sem o seu conhecimento joga a seu favor.
- Reporte em Cybermalveillance.gouv.fr, que encaminha para os dispositivos adequados, e no Perceval (serviço oficial online) para as fraudes com cartão bancário.
- Peça ao operador um registo escrito do pedido fraudulento: data, canal, elementos de identificação utilizados. Este documento é decisivo se o banco contestar a sua responsabilidade.
Durante a semana
- Reveja todas as contas associadas ao número: redes sociais, plataformas de e-commerce, serviços de armazenamento, contas administrativas (impostos, Ameli, CAF, France Connect).
- Verifique que não foi configurado nenhum reencaminhamento de chamadas nem de SMS na sua linha restabelecida.
- Pondere a inscrição no ficheiro de incidentes do Banque de France se puderem ter sido tentadas aberturas de crédito, e vigie a sua correspondência.
- Se guarda credenciais sensíveis, um gestor de palavras-passe permitir-lhe-á renovar todos os seus acessos sem reutilizar as mesmas combinações.
O que a lei e os operadores devem, ou não, fazer
O enquadramento continua imperfeito. Nenhum texto francês detalha com precisão as verificações que um operador deve efetuar antes de reatribuir uma linha. O Código dos Correios e das Comunicações Eletrónicas regula a portabilidade e os seus prazos, mas deixa as modalidades de autenticação ao critério dos operadores.
Na prática, existem meios de recurso:
- Reclamação escrita ao operador, por carta registada com aviso de receção, invocando o incumprimento da obrigação de segurança do tratamento de dados pessoais (artigo 32.º do RGPD).
- Recurso ao mediador das comunicações eletrónicas se a resposta for insatisfatória ao fim de dois meses.
- Queixa junto da CNIL se os seus dados tiverem sido utilizados ou divulgados de forma indevida.
Uma observação útil: guarde sistematicamente as provas de todas as diligências. Um simples digitalizador portátil de documentos ou uma aplicação de arquivo bastam para constituir um processo bem organizado, muitas vezes determinante perante um departamento jurídico.
Em resumo
O SIM swap não é um ataque técnico sofisticado. É uma falha de procedimento explorada por engenharia social, tornada mais rápida pela desmaterialização do SIM. As proteções eficazes são, também elas, procedimentais:
- ativar um código confidencial junto do operador para qualquer pedido de SIM ou de eSIM;
- reativar e personalizar o PIN do cartão SIM;
- retirar a SMS do circuito de autenticação nas contas críticas;
- nunca transmitir o código RIO nem um código recebido por SMS;
- reagir na hora a qualquer perda de rede inexplicada.
O seu número de telemóvel tornou-se, numa década, a chave-mestra da sua identidade digital. Merece ser tratado como tal: com a mesma seriedade com que trata um molho de chaves, e não como um dado que se distribui em cada formulário.
