SEI/ANATEL - 16533580 - Despacho Decisório

O CONSELHO DIRETOR DA AGÊNCIA NACIONAL DE TELECOMUNICAÇÕES, no uso de suas competências, consoante o disposto no art. 22 da Lei nº 9.472, de 16 de julho de 1997, e no art. 35 do Regulamento da Agência Nacional de Telecomunicações, aprovado pelo Decreto nº 2.338, de 7 de outubro de 1997,

CONSIDERANDO que o número de golpes digitais tem aumentado significativamente, impulsionado pela expansão de serviços digitais e alta adesão pela sociedade;

CONSIDERANDO que o serviço de mensagens curtas SMS - Short Message Service é canal de comunicação amplamente utilizado por bancos, empresas, serviços públicos e serviços digitais, e que tem sido utilizado para aplicação de fraudes e golpes;

CONSIDERANDO a importância do acesso a informações claras e confiáveis sobre os remetentes das mensagens e sobre as medidas de prevenção a fraudes, de modo a reduzir a exposição dos usuários a golpes;

CONSIDERANDO os prejuízos financeiros causados a consumidores e empresas, os impactos emocionais sobre as vítimas e os efeitos dessas práticas sobre a confiança nos serviços de telecomunicações;

CONSIDERANDO que golpes via SMS representam um desafio crescente para autoridades reguladoras e operadoras de telecomunicações, o que requer ações coordenadas e contínuas de prevenção por parte de todo o ecossistema envolvido com esse serviço;

CONSIDERANDO a necessidade de ampliar a transparência sobre a utilização de códigos curtos, permitindo a identificação de seus usuários e contribuindo para a apuração de responsabilidades pelo envio de mensagens fraudulentas;

CONSIDERANDO que, de acordo com o art. 137 do Regulamento Geral de Serviços de Telecomunicações - RGST, aprovado pela Resolução nº 777, de 28 de abril de 2025, as prestadoras devem adotar as medidas técnicas e administrativas necessárias para prevenir e mitigar a ocorrência de fraudes relacionadas à prestação do serviço e ao uso das redes de telecomunicações;

CONSIDERANDO o inteiro teor do Processo nº 53500.104806/2025-68, no qual se registra inclusive a discussão institucional com atores do ecossistema de mensagens SMS, nos termos do Informe nº 31/2026/SUE (SEI 15368833),

Art. 1º DETERMINAR às prestadoras do Serviço Móvel Pessoal que, no prazo de até 90 (noventa) dias, contado da publicação desta decisão, adotem as seguintes medidas relativas ao envio de mensagens SMS - Short Message Service na modalidade A2P - Application-to-Person:

I - implementação e manutenção de diretório setorial centralizado de códigos curtos, disponível para consulta pública, que permita identificar as pessoas jurídicas responsáveis pelo encaminhamento das mensagens;

II - restrição do uso do serviço de envio de mensagens SMS A2P a pessoas jurídicas devidamente identificadas no diretório centralizado de que trata o inciso I.

Art. 2º DETERMINAR às prestadoras do Serviço Móvel Pessoal - SMP que, no prazo de até 60 (sessenta) dias, contado da publicação desta decisão e prorrogável, por igual período, mediante justificativa a ser apresentada à Anatel, adotem as seguintes medidas relativas ao envio de mensagens SMS na modalidade A2P:

I - que assegurem que cada código curto utilizado para identificar os remetentes das mensagens seja destinado ao uso exclusivo de uma única pessoa jurídica, vedado seu compartilhamento, ressalvadas as hipóteses previstas no § 1º;

II - que aprovem e implementem, individualmente, Política Interna de Segurança para SMS, abrangendo mecanismos de identificação, monitoramento, detecção e prevenção a fraudes e tratamento de incidentes, mediante a manutenção e o aperfeiçoamento das capacidades técnicas e operacionais existentes, observados os requisitos técnicos e operacionais aplicáveis estabelecidos pela Agência e consideradas as medidas descritas no Informe nº 31/2026/SUE (SEI nº 15368833);

III - que apresentem à Anatel informações sobre as medidas adotadas para impedir o uso de canais não confiáveis;

IV - que estabeleçam canal de comunicação setorial destinado ao compartilhamento de alertas, informações sobre incidentes e recomendações de segurança relacionados ao envio de mensagens SMS A2P; e,

V - que implementem mecanismos automatizados de monitoramento do tráfego SMS A2P, capazes de identificar padrões anômalos de tráfego, campanhas potencialmente fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura de telecomunicações, falsificação de identidade (identity spoofing) e outros eventos capazes de comprometer a segurança das comunicações, observadas as características técnicas das redes, os riscos envolvidos e a legislação aplicável à proteção de dados pessoais e ao sigilo das comunicações.

§ 1º Poderão ser admitidas exceções à vedação de compartilhamento prevista no inciso I, mediante justificativa técnica a ser apresentada à Anatel.

§ 2º Nas hipóteses de compartilhamento autorizado, o diretório centralizado deverá identificar todos os usuários associados ao respectivo código curto.

§ 3º As prestadoras deverão encaminhar ao Grupo Técnico de Suporte à Segurança Pública - GT-Seg relatórios periódicos sobre as ações desenvolvidas no âmbito da cooperação setorial prevista no inciso IV e os resultados alcançados, incluindo a evolução do volume de mensagens SMS bloqueadas e outros indicadores que permitam avaliar a efetividade das medidas implementadas.

Art. 3º DETERMINAR às prestadoras do Serviço Móvel Pessoal - SMP que, no prazo de até 90 (noventa) dias, contado da publicação desta decisão e prorrogável por 30 (trinta dias), mediante justificativa a ser apresentada à Anatel, impeçam a entrega a seus usuários de mensagens SMS A2P identificadas por códigos curtos que não estejam devidamente cadastrados no diretório centralizado.

Parágrafo único. Serão considerados efetivamente cadastrados no diretório centralizado de que trata o inciso I os códigos curtos associados a agregadores de mensagens de nível 1 que tiverem sido incluídos em até 3 (três) dias do início de seu uso efetivo.

Art. 4º DETERMINAR às prestadoras do Serviço Móvel Pessoal - SMP que realizem, previamente à disponibilização do diretório centralizado para consulta pública, campanhas educativas e de conscientização sobre sua finalidade, suas funcionalidades e suas formas de acesso e utilização.

Art. 5º DETERMINAR aos agentes envolvidos na originação, contratação, integração e encaminhamento de mensagens SMS A2P que adotem, no âmbito das atividades que efetivamente desempenhem e dos mecanismos sob seu controle, medidas destinadas a assegurar:

I - a identificação dos originadores e a legitimidade das campanhas de mensageria;

II - a integridade e a autenticidade das informações relativas às mensagens encaminhadas;

III - a manutenção de registros que permitam a rastreabilidade das mensagens e a identificação dos responsáveis; e,

IV - a cooperação com as prestadoras do SMP e com as autoridades competentes na prevenção, identificação e apuração de fraudes.

Parágrafo único. As obrigações previstas neste artigo observarão a natureza das atividades desempenhadas por cada agente e os limites das competências legais da Agência, não implicando ampliação das obrigações impostas às prestadoras do SMP nos arts. 1º a 4º nem atribuição de dever geral de fiscalização sobre atividades ou plataformas de terceiros.

Art. 6º DETERMINAR aos agentes que, na condição de originadores, agregadores ou integradores, utilizem códigos curtos e participem da cadeia de envio de SMS A2P cursado nas redes do SMP que, no âmbito de suas respectivas atividades e relações contratuais:

I - mantenham atualizadas as informações de identificação necessárias ao cadastramento dos códigos curtos no diretório setorial;

II - adotem procedimentos de verificação da identidade de seus contratantes e dos responsáveis pela originação das campanhas, proporcionais aos riscos envolvidos;

III - preservem, nos termos da legislação aplicável, os registros sob seu controle necessários à identificação do originador e à apuração de incidentes e fraudes; e,

IV - cooperem, quando regularmente demandados, com a identificação e a interrupção de campanhas com indícios consistentes de fraude.

Parágrafo único. As medidas previstas neste artigo serão exigidas exclusivamente na extensão em que as atividades dos agentes estejam relacionadas ao tráfego SMS A2P e se encontrem abrangidas pelas competências legais da Agência, sem prejuízo da atuação das demais autoridades competentes.

Art. 7º DETERMINAR aos responsáveis por aplicações e plataformas digitais utilizadas para autenticação de usuários, recuperação de credenciais, confirmação de identidade e autorização de transações que adotem, no âmbito das atividades que desempenhem e dos mecanismos técnicos sob seu controle, medidas destinadas a:

I - assegurar a identificação e a autenticidade dos remetentes das comunicações;

II - preservar a integridade e a rastreabilidade das comunicações utilizadas nos processos de autenticação e verificação de identidade;

III - implementar mecanismos de prevenção, detecção e mitigação de fraudes; e,

IV - preservar a segurança dos processos de autenticação e a proteção dos usuários, consideradas as características das tecnologias empregadas.

§ 1º As medidas previstas neste artigo deverão proporcionar resultados de segurança equivalentes aos exigidos para comunicações digitais críticas realizadas por meio de SMS A2P, considerados os riscos envolvidos, a finalidade das comunicações e as características técnicas de cada solução, sem exigir identidade de tecnologia, arquitetura ou mecanismos de implementação.

§ 2º A responsabilidade pelo cumprimento das medidas previstas neste artigo caberá aos agentes que concebam, operem ou controlem as respectivas funcionalidades e mecanismos de segurança, no âmbito de suas atividades e das competências legalmente atribuídas à Agência, não se transferindo tais responsabilidades às prestadoras do Serviço Móvel Pessoal - SMP pelo mero transporte de dados, nem implicando a equiparação dos responsáveis por aplicações e plataformas digitais às prestadoras de serviços de telecomunicações.

Art. 8º DETERMINAR à Superintendência Executiva - SUE que, no âmbito dos trabalhos de acompanhamento do Plano de Ação e sem prejuízo das competências de outros órgãos e entidades:

I - promova interlocução técnica com originadores, agregadores, integradores e responsáveis por aplicações e plataformas digitais utilizadas em comunicações de autenticação e outras comunicações críticas, inclusive plataformas distintas do SMS;

II - identifique riscos relevantes associados à identificação de remetentes, à integridade das comunicações, à prevenção a fraudes e à migração de comunicações críticas entre diferentes canais tecnológicos;

III - avalie a efetividade das medidas de prevenção, detecção e mitigação de fraudes implementadas no âmbito do Plano de Ação, inclusive dos mecanismos de monitoramento do tráfego SMS A2P, bem como os mecanismos de cooperação e as boas práticas de segurança aplicáveis aos diferentes participantes do ecossistema, respeitadas as especificidades técnicas e jurídicas de cada atividade; e,

IV - apresente ao Conselho Diretor, no prazo de 180 (cento e oitenta) dias, relatório com os resultados dessas atividades e, quando cabível, propostas de encaminhamento às autoridades competentes.

Art. 9º As medidas previstas nos arts. 5º a 7º deverão ser implementadas no prazo de 90 (noventa) dias, contado da publicação deste Despacho, sem prejuízo dos prazos e das obrigações expressamente estabelecidos nos arts. 1º a 4º e do prazo específico previsto no art. 8º, inciso IV, observadas as competências legalmente atribuídas à Anatel e a legislação aplicável à proteção de dados pessoais.

Documento assinado eletronicamente por Carlos Manuel Baigorri, Presidente, em 03/11/2026, às 18:35, conforme horário oficial de Brasília, com fundamento no art. 4º, inciso I, da Lei nº 14.063/2020 c/c art. 4º, inciso I e § 3º, do Decreto nº 10.543/2020.

A autenticidade deste documento pode ser conferida em https://www.anatel.gov.br/autenticidade, informando o código verificador 16533580 e o código CRC 29ADCC4A.