Blog

“Compra aprovada de R$ 2.890,00. Não reconhece? Ligue agora.” A mensagem chega de um número de cinco dígitos, como 29222, e parece vir do banco. Até hoje, ninguém conseguia saber, de forma simples, quem estava por trás daquele número. Em 4 de novembro de 2026, isso começou a mudar: a Agência Nacional de Telecomunicações (Anatel) publicou no Diário Oficial da União regras que obrigam as operadoras a criar um cadastro público dos remetentes de SMS e a bloquear mensagens enviadas por códigos curtos sem cadastro.

Nesta postagem, você vai entender o que a regra determina, quando ela passa a valer, o que muda na prática (com exemplos fictícios de antes e depois), o que ela não resolve, quais crimes o golpista comete e o que fazer para não cair no golpe enquanto o novo sistema não chega ao seu celular.

1. Resumo: o que mudou em três linhas

Toda empresa que envia SMS por código curto terá de estar identificada em um diretório nacional aberto à consulta. Cada código terá um único dono. Mensagem vinda de código fora do cadastro não será entregue. Operadoras e empresas que intermedeiam os disparos terão de conferir quem contrata, guardar registros e monitorar campanhas suspeitas.

2. Primeiro, as palavras: o que significa cada termo

• Código curto: o número de poucos dígitos que aparece como remetente da mensagem (por exemplo, 29222), no lugar de um celular completo. É o “nome” que bancos, lojas e aplicativos usam para mandar avisos e códigos de verificação.
• SMS A2P: sigla em inglês para “de aplicação para pessoa”. É a mensagem automática que uma empresa dispara para o cliente. As novas regras valem para esse tipo de SMS, e não para a mensagem que uma pessoa manda para outra.
• Originador, agregador e integrador: as empresas que ficam no meio do caminho entre quem quer mandar a mensagem e a operadora. Elas vendem pacotes de disparo em massa e, até agora, muitas vezes atendiam clientes sem conferir quem eram.
• Diretório (cadastro público): a lista que vai ligar cada código curto à empresa responsável por ele, aberta para qualquer cidadão consultar.
• Smishing: o golpe aplicado por SMS (junção de SMS com phishing, a “pescaria” de dados).
• Spoofing de remetente: o disfarce que faz a mensagem parecer vir de quem não a enviou. Explicamos em detalhes no guia sobre spoofing, o golpe que disfarça o número.
• ERB falsa: uma “antena de celular” clandestina, montada em apartamento ou carro, que imita a rede da operadora e despeja SMS falsos nos celulares próximos, sem passar pela rede oficial.

3. O que a Anatel determinou, e quando

A norma é o Despacho Decisório nº 2/SCD, de 3 de novembro de 2026, aprovado pelo Conselho Diretor da Anatel e publicado no Diário Oficial da União de 4 de novembro de 2026. Segundo o Ministério das Comunicações, a medida responde ao aumento dos golpes digitais. A pesquisa Privacidade e Proteção de Dados Pessoais, do Cetic.br, divulgada em agosto, indicou que 71% dos entrevistados relataram tentativas de golpe por SMS, atrás apenas dos aplicativos de mensagem e das ligações telefônicas.

Na prática, quando? Contando em dias corridos, o prazo de 60 dias termina por volta de 3 de janeiro de 2027, e o de 90 dias, por volta de 2 de fevereiro de 2027. Se a operadora obtiver a prorrogação de 30 dias para o bloqueio, o limite passa para cerca de 4 de março de 2027. São estimativas: a contagem oficial pode variar. Até lá, nada muda no seu celular, e todos os cuidados de sempre continuam valendo.

4. Antes e depois: o quadro comparativo

5. Antes e depois na prática: seis exemplos fictícios

Os exemplos abaixo foram criados para fins didáticos. Nomes, empresas, números e valores são inventados.

Exemplo 1 – Dona Rosa e a “compra aprovada”

Antes: Dona Rosa, 72 anos, recebe do código 27416 o aviso de uma compra de R$ 2.890 que ela não fez, com um número para “cancelar”. Assustada, liga. Um falso atendente pede que ela confirme dados e transfira o saldo para uma “conta de segurança”. Ela perde as economias. O código tinha sido contratado em uma plataforma de disparo que nunca perguntou quem era o cliente.

Depois: se o código 27416 não estiver no diretório, a mensagem nem chega. Se estiver, Dona Rosa (ou o neto) pode consultá-lo e ver que ele pertence a uma “Loja de Cosméticos Fictícia Ltda.”, e não ao banco. A incoerência entre o remetente e o conteúdo vira um sinal de golpe. Lição: mesmo assim, o caminho mais seguro continua sendo desligar e ligar para o banco pelo número do verso do cartão ou abrir o aplicativo por conta própria.

Exemplo 2 – Seu Antônio e o “0800 do banco”

Antes: Seu Antônio recebe SMS de “bloqueio preventivo” com um 0800. Liga, segue as instruções e libera acesso à conta. Na investigação, a polícia descobre que o código curto foi alugado por uma empresa de fachada, aberta com documentos falsos, que pagou o pacote de disparos por meio de um intermediário. O rastro se perde no segundo contrato.

Depois: o intermediário é obrigado a verificar a identidade de quem contrata e a guardar os registros. A empresa de fachada até pode tentar o cadastro, mas deixa pegadas: documentos apresentados, IP de contratação, forma de pagamento, responsáveis pela campanha. A polícia ganha um ponto de partida concreto para requisitar dados e chegar ao autor. Lição: a regra não impede todo golpe, mas encurta o caminho da investigação.

Exemplo 3 – Juliana, dona de uma plataforma de disparos

Antes: a plataforma de Juliana vende pacotes de SMS pela internet. O cadastro pede só nome e e-mail. Um mesmo código é compartilhado por dezenas de clientes, de pizzarias a supostas “centrais de cobrança”. Quando um golpe estoura, ela não sabe dizer qual cliente disparou a mensagem.

Depois: Juliana precisa checar a identidade de cada contratante, manter o cadastro atualizado no diretório, guardar os registros das campanhas e colaborar quando houver indício consistente de fraude. Se descumprir, responde na esfera regulatória. E se, sabendo que o cliente é golpista, continuar vendendo os disparos, pode responder criminalmente como partícipe da fraude eletrônica (art. 171, § 2º-A, c/c art. 29 do Código Penal). Lição: a regra transforma o intermediário em primeira barreira, e não mais em ponto cego.

Exemplo 4 – Marcos e o carro que “espalha” SMS

Antes: Marcos está no trânsito parado da avenida quando recebe SMS de “pontos do cartão expirando hoje”, com link. O celular, por alguns segundos, ficou conectado a uma antena falsa instalada em um carro que circulava devagar pela via.

Depois: nada muda para esse tipo de golpe. A antena clandestina entrega a mensagem direto ao aparelho, sem passar pela rede da operadora, onde o filtro do diretório atua. O combate continua dependendo da fiscalização da Anatel e da polícia. Lição: não clicar em link de SMS continua sendo a regra de ouro.

Exemplo 5 – Carla e o remetente “verificado”

Antes e depois: Carla recebe SMS de um código que, no diretório, pertence de verdade a uma rede de farmácias da qual ela é cliente. A mensagem oferece um “cupom” com link. Só que criminosos invadiram a conta da farmácia na plataforma de disparos, e o link leva a uma página falsa que pede os dados do cartão. Lição: o diretório diz quem contratou o código, não que a mensagem é segura. Remetente verificado não substitui desconfiança de links e pedidos de dados.

Exemplo 6 – Fábio e a “multa do Detran” vinda de um celular

Antes e depois: Fábio recebe de um número com DDD e nove dígitos um aviso de “multa com desconto de 40% só hoje”, com link de pagamento por Pix. Mensagens de pessoa para pessoa ficam fora da nova regra, então ela continuará chegando. Lição: órgão público e empresa séria não mandam cobrança por número de celular comum. Consulte multas apenas no site ou aplicativo oficial do Detran ou da Senatran.

6. O que a nova regra não resolve

• Antenas falsas (ERB falsa): as mensagens não passam pela rede oficial.
• SMS de celular comum: a regra vale para o SMS corporativo (A2P), não para mensagens entre pessoas.
• Conta de empresa legítima invadida: o golpe chega com remetente cadastrado.
• WhatsApp, Telegram, e-mail e redes sociais: continuam sendo os canais preferidos do golpista e não são alcançados pelo diretório de códigos curtos.
• Dados vazados: o golpista que já tem seu nome, CPF e endereço continua podendo usá-los em mensagens convincentes, como vimos no caso do SMS falso dos Correios que sabia o CPF da vítima.

7. Como funciona o golpe por SMS (modus operandi)

A descrição é conceitual, suficiente para você reconhecer o golpe:

1. Abordagem: a mensagem chega em nome de banco, loja, transportadora, órgão público ou aplicativo, muitas vezes com dados reais da vítima obtidos em vazamentos.
2. Gatilho emocional: compra suspeita, conta bloqueada, encomenda retida, multa com desconto, pontos que vão expirar.
3. Execução: a vítima clica em um link disfarçado que leva a uma página falsa, liga para uma falsa central ou responde com dados e códigos.
4. Monetização: o golpista usa os dados para entrar na conta, pede um Pix “de segurança”, faz compras com o cartão ou abre contas e empréstimos em nome da vítima. O dinheiro passa rapidamente por contas de laranjas.

8. Gatilhos psicológicos explorados

• Medo: “compra não reconhecida”, “conta será bloqueada”.
• Urgência: “responda em até 30 minutos”, “só hoje”.
• Autoridade: nome do banco, da Receita, do Detran, dos Correios, de um tribunal.
• Ganância: pontos, cashback, prêmios, restituição “liberada”.
• Familiaridade: a mensagem aparece na mesma conversa onde chegam os avisos verdadeiros do banco, o que reduz a desconfiança.

9. Crimes praticados e capitulação penal

O Despacho da Anatel é uma norma regulatória: não cria crimes nem penas. Ele cria deveres para operadoras e intermediários, cujo descumprimento é tratado na esfera administrativa. A responsabilidade penal de quem aplica o golpe continua no Código Penal e nas leis especiais:

Observações práticas, úteis também para quem estuda para concursos:

• Estelionato ou furto? O divisor de águas é a vontade da vítima. Se ela, enganada, entrega o dinheiro (faz o Pix), há fraude eletrônica. Se a fraude serve só para baixar a guarda e o criminoso retira os valores sem que ela perceba, há furto mediante fraude eletrônica. Nas duas hipóteses a pena-base é a mesma, mas a distinção importa para a correta capitulação, para a ação penal e para a prova. A diferença entre o estelionato comum e a fraude eletrônica está explicada na postagem Nem todo golpe pela internet é fraude eletrônica.
• Ação penal. Desde 4 de maio de 2026, com a Lei 15.397/2026, o estelionato voltou a ser, em regra, de ação penal pública incondicionada; para fatos anteriores, a representação da vítima continua exigida. O furto mediante fraude é de ação pública incondicionada. A invasão de dispositivo depende de representação, salvo contra a administração pública ou concessionárias (art. 154-B do CP).
• Competência. No estelionato praticado mediante transferência de valores, a competência é do foro do domicílio da vítima (art. 70, § 4º, do CPP, incluído pela Lei 14.155/2021). O crime do art. 183 da Lei Geral de Telecomunicações, por atingir serviço de competência da União, é em regra julgado pela Justiça Federal.
• ERB falsa e insignificância. A Súmula 606 do STJ afasta o princípio da insignificância na transmissão clandestina de sinal de internet por radiofrequência, enquadrada no art. 183 da Lei 9.472/1997. A lógica reforça a gravidade da antena clandestina usada para golpes.
• E a empresa intermediária negligente? Não há forma culposa de estelionato. A plataforma que vende disparos sem conferir o cliente responde, em regra, nas esferas regulatória e civil. Só responde criminalmente se agir com dolo, por exemplo, sabendo que o cliente é golpista e continuando a atendê-lo (participação, art. 29 do CP).
• Quem cede a conta. Quem vende, aluga ou empresta a conta para receber o dinheiro responde pelo crime de cessão de conta laranja (art. 171, § 2º, VII, do Código Penal), com pena de 1 a 5 anos. As quatro situações possíveis estão na postagem Vendeu, alugou, emprestou ou só fez um favor?

10. Os crimes que vêm depois do clique

1. Abertura de contas, empréstimos e compras em seu nome com os dados digitados na página falsa (fraude eletrônica, falsidade ideológica e falsa identidade – arts. 299 e 307 do CP).
2. Sequestro do WhatsApp com o código de verificação capturado, seguido de pedidos de dinheiro aos seus contatos.
3. Troca do chip (SIM swap) para receber seus códigos de segurança, tema do guia Verificação em duas etapas por SMS: por que ela não basta.
4. Revenda dos dados em mercados clandestinos, alimentando novos golpes ainda mais personalizados.
5. Extorsão, quando o programa espião instalado pelo link captura fotos, conversas ou arquivos íntimos.

11. Casos reais

Operação Mão Fantasma (PCGO, agosto de 2026): o SMS falso dentro da conversa do banco

Em 12 de agosto de 2026, a Polícia Civil de Goiás, com apoio do Laboratório de Operações Cibernéticas do Ministério da Justiça (CIBERLAB) e da Polícia Civil do Rio de Janeiro, cumpriu 11 mandados de prisão temporária e 11 de busca e apreensão em Niterói, São Gonçalo e Itaboraí, além de ordens de bloqueio de bens. Segundo a investigação, o grupo mascarava o SMS fraudulento para que ele aparecesse no mesmo histórico de mensagens verdadeiras do banco. A vítima clicava no link, entregava dados ou códigos e perdia o controle da conta; o dinheiro era pulverizado em dezenas de contas de laranjas em poucos minutos. O caso começou com uma idosa de Goiânia que teve prejuízo inicial de cerca de R$ 32 mil. Os investigados são apontados por furto qualificado mediante fraude eletrônica contra pessoa idosa, associação criminosa e lavagem de dinheiro. Não confundir com o golpe do acesso remoto que o site explica em Golpe da Mão Fantasma, que tem o mesmo apelido, mas outra mecânica.

Operação Linha Fantasma (PF, junho de 2026): SMS em massa e falsa central 0800

Em 2 de junho de 2026, a Polícia Federal deflagrou a Operação Linha Fantasma contra um grupo que enviava SMS com alertas de compra suspeita e um número 0800 para a vítima “falar com o banco”. Foram cumpridos três mandados de busca, dois de prisão e houve duas prisões em flagrante, em Feira de Santana (BA) e São Paulo (SP). A investigação começou com informações de operadoras que identificaram o envio em massa de mensagens fraudulentas, e a PF relatou o uso de empresas formalmente constituídas e de infraestrutura tecnológica para dar aparência de legitimidade às fraudes. Os investigados podem responder por fraude eletrônica, associação criminosa e lavagem de dinheiro. É exatamente o tipo de esquema que as novas exigências de cadastro e verificação de contratantes buscam dificultar. O golpe da falsa central está detalhado em Golpe da Falsa Central: o número do banco na tela pode ser fraude.

ERB falsa em São Paulo (janeiro de 2025): o golpe que a nova regra não alcança

Em 23 de janeiro de 2025, fiscais da Anatel acompanharam operação da Polícia Civil de São Paulo que apreendeu equipamentos que simulavam uma estação rádio-base em um apartamento na Zona Sul da capital, próximo à Marginal Pinheiros. Duas pessoas foram detidas em flagrante. A localização foi possível após quase um mês de apuração, iniciada com o registro de interferência feito por uma operadora, e com monitoramento do espectro, drones e medições em campo. Segundo a Anatel, era a terceira apreensão do tipo na Grande São Paulo em pouco mais de seis meses, e a conduta configura atividade clandestina de telecomunicações. O caso mostra por que o diretório de códigos curtos, sozinho, não basta.

12. Sinais de alerta (checklist)

• SMS com link para “regularizar”, “cancelar”, “desbloquear” ou “resgatar”.
• Pedido de senha, código de verificação, dados do cartão ou Pix “de segurança”. Banco não pede nada disso por mensagem.
• Número de telefone na mensagem para você “ligar para o banco”.
• Prazo curtíssimo, ameaça de bloqueio ou prêmio bom demais.
• Cobrança de órgão público ou empresa vinda de celular comum.
• Depois que o diretório estiver no ar: código curto que pertence a uma empresa diferente da que a mensagem diz ser.
• Celular que perde o 4G ou o 5G e cai para 2G de repente em locais movimentados, logo antes de chegar o SMS: pode ser sinal de antena falsa.

13. Prevenção

Para você e sua família

• Não clique em links de SMS. Abra o aplicativo do banco ou da loja por conta própria.
• Nunca ligue para o número que veio na mensagem. Use o telefone do verso do cartão ou do site oficial.
• Não repasse códigos de verificação a ninguém, nem a quem diz ser do banco.
• Quando o diretório estiver no ar, use-o como verificação extra, sem confiar cegamente: remetente cadastrado não garante mensagem segura.
• Ative a verificação em duas etapas por aplicativo autenticador, e não só por SMS, no e-mail, no WhatsApp e no banco.
• Defina limites de Pix menores para a noite e para transferências a contas novas.
• Em aparelhos que permitem, considere desativar a rede 2G nas configurações, o que reduz a exposição a antenas falsas.

Para empresas que enviam SMS aos clientes

• Confira se o seu código curto estará cadastrado e exclusivo dentro do prazo, ou suas mensagens legítimas poderão ser bloqueadas.
• Exija do fornecedor de disparos as garantias de verificação e guarda de registros previstas na regra, e proteja o acesso à plataforma com verificação em duas etapas.
• Divulgue aos clientes qual é o seu código oficial e o que você nunca pede por SMS.
• Evite links em mensagens; prefira orientar o cliente a abrir o aplicativo.

14. Já fui vítima: o que fazer

1. Ligue imediatamente para o banco pelo canal oficial, bloqueie cartões e acessos e, se fez Pix, peça a abertura do MED (Mecanismo Especial de Devolução). Quanto mais rápido, maior a chance de bloquear o dinheiro.
2. Não apague o SMS nem as conversas. Faça prints mostrando o código remetente, o texto, o link, a data e a hora. Guarde comprovantes de transferência. Veja como fazer isso do jeito certo em Caí num golpe: como guardar as provas.
3. Registre boletim de ocorrência na delegacia, de preferência especializada em crimes cibernéticos, ou na delegacia virtual do seu estado.
4. Denuncie a mensagem à sua operadora pelos canais oficiais de atendimento.
5. Troque senhas e reative a verificação em duas etapas, começando pelo e-mail.
6. Consulte o Registrato, do Banco Central, para ver se abriram contas ou empréstimos em seu nome.
7. Se o banco ou a operadora não resolverem, registre reclamação no consumidor.gov.br e, no caso da operadora, também na Anatel.

15. Públicos mais vulneráveis

• Idosos: confiam no SMS como canal “oficial” e são alvo preferencial da falsa central. Combine com seus pais e avós uma regra simples: “banco não manda link, eu ligo pelo número do cartão”.
• Quem faz muitas compras online: recebe tantos avisos de entrega que o falso passa despercebido.
• Pequenos empresários: recebem falsas cobranças de “maquininha”, “boleto” e “nota fiscal”.
• Moradores de grandes centros: são os mais expostos às antenas falsas em vias congestionadas.

16. Repressão: o que muda para a investigação

• Um endereço certo para requisitar dados: com o diretório, a autoridade policial sabe qual empresa usa cada código e, a partir dela, qual intermediário e qual contratante dispararam a campanha.
• Registros preservados: o dever de guardar informações que levem ao responsável dá base às requisições e às ordens judiciais de afastamento de sigilo.
• Colaboração obrigatória: intermediários devem ajudar a identificar e interromper campanhas com indícios consistentes de fraude, quando regularmente demandados.
• Prova digital íntegra: o print feito pela vítima, os registros das operadoras e a cadeia de custódia (arts. 158-A a 158-F do CPP) passam a se completar.
• Integração com a fiscalização: as antenas falsas continuam dependendo da parceria entre Anatel e polícias, que localizam o sinal clandestino e fazem o flagrante.

Fontes

• Despacho Decisório nº 2/SCD, de 3 de novembro de 2026 – Anatel, Diário Oficial da União, 04/11/2026.
• Ministério das Comunicações destaca novas medidas para combater golpes por SMS e proteger consumidores – Ministério das Comunicações, 04/11/2026.
• Governo cria novas regras para combater golpes por SMS; veja o que muda – g1 (perfil @portalg1 no Instagram), 04/11/2026.
• Anatel define regras para combate a fraudes e golpes via SMS – Poder360, 04/11/2026.
• Anatel decide: operadoras deverão bloquear SMS usado em golpes – Tecnoblog, 04/11/2026.
• Operadoras deverão bloquear quem dispara SMS irregular – TeleSíntese, 03/11/2026.
• Golpes por SMS: Anatel manda barrar remetente sem cadastro – ANTI/HYPE, 04/11/2026.
• Operação Mão Fantasma: PCGO mira grupo que aplicava golpe do falso SMS bancário no Rio de Janeiro – O Hoje, 13/08/2026.
• Linha Fantasma: PF faz operação contra golpes que fingem ser centrais de banco – Canaltech, 02/06/2026.
• SMS: golpe da falsa ERB mobiliza operações e pauta Anatel – Mobile Time, 23/01/2025.
• Código Penal (Decreto-Lei 2.848/1940) – Planalto.
• Lei Geral de Telecomunicações (Lei 9.472/1997) – Planalto.
• Lei 14.155/2021 (fraude eletrônica) – Planalto.

Leia também

• Caso Explicado – O SMS sabia seu nome, seu CPF e o código da sua encomenda. Mesmo assim, era golpe.
• O número na tela não prova nada: o guia completo do spoofing
• Golpe da Falsa Central: o número do banco na tela pode ser fraude
• Link disfarçado: 9 formas de esconder a armadilha que toma o seu WhatsApp, o seu celular e a sua conta bancária
• Verificação em duas etapas por SMS: por que ela não basta e como blindar suas contas contra o SIM swap
• Site falso: os sinais de alerta, os truques no endereço e como conferir antes de pagar

Chamada para Mentoria

Fraude eletrônica ou furto mediante fraude? Atividade clandestina de telecomunicações e a Súmula 606 do STJ, competência pelo domicílio da vítima, ação penal depois da Lei 15.397/2026, cessão de conta laranja e lavagem: um único golpe por SMS reúne temas que as bancas cobram nas provas objetivas, discursivas, práticas e orais para Delegado de Polícia. Saber fazer a capitulação certa e indicar as diligências cabíveis é o que separa o aprovado dos demais.

Se você quer se preparar com quem investiga esses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.