# Fraude de troca de SIM: como funciona a apropriação de contas e porque o SMS OTP sozinho não é suficiente

> A fraude de troca de SIM sequestra o número da vítima para que palavras-passe de uso único enviadas por SMS cheguem ao atacante. Como funciona a apropriação de contas — e como a deteção de SNA e troca de SIM a impede.

- URL canônico: https://www.broadnet.me/pt/blog/sim-swap-fraud-sms-otp-defense
- Idioma: pt
- Última atualização: 2026-10-20
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-08-03
- Autor: BroadNet Editorial Team

A fraude de troca de SIM é um ataque de apropriação de conta no qual um criminoso transfere o número de telemóvel da vítima para um SIM que ele controla — por meio de engenharia social da operadora ou de uma portabilidade interna — de forma que qualquer palavra-passe de uso único (OTP) enviada por SMS para esse número chegue ao dispositivo do atacante. Como o número de telefone está a ser usado como segundo fator de autenticação, um SMS com OTP sozinho não consegue impedir o ataque.

> Este é um estudo aprofundado sobre como derrotar a troca de SIM. Para a verificação de rede sem atrito que fundamenta a maior parte da defesa, leia o nosso guia sobre [autenticação de rede silenciosa](https://www.broadnet.me/blog/silent-network-authentication-2026) — esta publicação mostra como ela se encaixa ao lado da deteção de troca de SIM e da autenticação em camadas.

## Como funciona na prática a troca de SIM

A troca de SIM (também chamada de sequestro de SIM ou portabilidade não autorizada) não ataca os seus servidores diretamente — ela ataca o processo de recuperação de conta da operadora móvel. O criminoso primeiro recolhe dados pessoais suficientes da vítima para se passar por ela: nome, data de nascimento, endereço, últimos números discados ou documentos de identidade expostos. Em seguida, ele entra em contacto com a operadora da vítima, alega ter perdido ou danificado o SIM e pede que o número seja transferido para um novo SIM que ele possua ou para outra operadora.

O reaprovisionamento às vezes é realizado por meio de um funcionário subornado ou coagido numa loja de retalho ou central de atendimento, razão pela qual os controlos técnicos mais rigorosos ainda precisam pressupor que a portabilidade seja bem-sucedida. No momento em que o número é redirecionado, o aparelho real da vítima perde o serviço silenciosamente, e todas as chamadas e mensagens de texto — incluindo palavras-passe de uso único (OTPs), links de redefinição de palavra-passe e alertas de transação — são encaminhadas para o invasor. A partir daí, a sequência é rápida e mecânica:

1. Acione uma redefinição de palavra-passe ou login numa conta alvo (banco, carteira digital, e-mail, corretora) que utilize o número de telefone para recuperação ou autenticação de dois fatores (2FA).
2. Receba a palavra-passe de uso único por SMS no cartão SIM trocado e conclua o desafio.
3. Assuma o controlo da conta, altere os dados de recuperação e bloqueie o acesso do proprietário legítimo.
4. Esvazie fundos, autorize pagamentos ou redirecione para outras contas que partilhem o mesmo número de recuperação.

## Porque o SMS OTP sozinho não é suficiente

O SMS OTP considera o controlo do número de telefone como prova de posse. Essa premissa se mantém válida até que o número seja transferido — e uma troca de SIM o transfere. O código em si não apresenta problemas; o problema é que ele é enviado, em texto não encriptado, para quem estiver com o SIM no momento, e a operadora acabou de entregar o SIM ao atacante. Nada na mensagem, no comprimento do código ou no prazo de validade altera quem o recebe.

É por isso que os órgãos de padronização agora tratam o SMS como um canal de menor garantia, em vez de um segundo fator robusto. O NIST classifica a autenticação fora de banda baseada em SMS como um autenticador "restrito" na publicação SP 800-63B e espera que os verificadores detetem indicadores como uma troca recente de SIM ou portabilidade numérica antes de confiarem nela. A interpretação prática para uma equipa de segurança ou de produto é direta: o OTP por SMS é aceitável como um sinal num design em camadas, mas nunca deve ser o único fator que protege uma redefinição de palavra-passe ou uma ação de alto valor. Veja como estruturamos essa estrutura em camadas na visão geral de segurança.

## Defesas, em profundidade

Nenhum controlo isolado impede a troca de SIM, pois o ataque abrange dois sistemas que você não controla totalmente: o processo de aprovisionamento da operadora e o dispositivo do utilizador. A solução duradoura é a defesa em profundidade: verificar a posse de um SIM de uma forma que a troca não possa garantir, detetar quando uma troca acabou de ocorrer, vincular as sessões a dispositivos conhecidos e intensificar as ações quando o risco aumentar. Cada camada abaixo impede o ataque num ponto diferente.

### Autenticação de rede silenciosa e verificação do número da operadora

A autenticação silenciosa de rede (SNA) confirma a posse do SIM verificando diretamente com a operadora móvel durante a sessão de dados ativa, sem enviar nenhum código. Como não há um código OTP em trânsito, não há nada que um SIM trocado possa intercetar — e, crucialmente, a verificação está vinculada à conexão de rede ativa, refletindo, portanto, o SIM que está realmente conectado no momento. As APIs de verificação de número da operadora, padronizadas pela iniciativa GSMA Open Gateway, são o que tornam isso disponível em todas as redes. Coloque a SNA no topo da cascata, com o SMS OTP abaixo dela para maior alcance — os detalhes completos estão no nosso guia sobre autenticação silenciosa de rede.

### Deteção de troca/alteração de SIM

A resposta mais direta é fazer uma pergunta simples à rede antes de confiar num código OTP: quando este SIM foi trocado pela última vez? A sinalização da operadora pode devolver o registo de data e hora da última troca de SIM ou portabilidade de um número. Se essa troca ocorreu dentro de um período de risco — geralmente nas últimas 24 a 72 horas — você considera o número como de alto risco e se recusa a aceitar um código OTP por SMS ou qualquer ação sensível relacionada a ele. Em vez de autenticar, você retém o acesso, encaminha o caso para uma instância superior ou o reporta para análise. Isso transforma o próprio evento em que o atacante se baseia no sinal que o impede.

### Ligação de dispositivos

Vincule a conta aos dispositivos que ela normalmente usa. Quando uma credencial ou sessão está vinculada a um dispositivo conhecido — por meio de uma chave de hardware, uma palavra-passe ou uma impressão digital de dispositivo verificada — um invasor que possua apenas o número ainda estará num dispositivo não reconhecido. O login a partir do novo dispositivo se torna uma anomalia visível em vez de um sucesso silencioso e pode ser forçado a passar por verificações adicionais antes que qualquer confiança seja concedida.

### Autenticação reforçada com base no risco e no valor.

Ajuste a dificuldade da verificação de segurança ao risco envolvido. Um login simples de leitura pode ser tolerado com facilidade; adicionar um beneficiário, alterar um número de recuperação ou movimentar dinheiro deve exigir um nível de segurança mais elevado — um fator de segurança contra phishing, uma aprovação na aplicação ou uma nova verificação de rede. Quando uma troca recente de SIM, um novo dispositivo ou uma localização incomum coincidirem com uma ação de alto valor, essa combinação deve sempre acionar uma verificação mais rigorosa do que um código SMS.

### Considere os fatores em camadas — o OTP é apenas um sinal, não a fechadura inteira.

O princípio unificador é impedir que qualquer sinal isolado de posse de número seja suficiente. Combine uma verificação de posse confirmada pela rede, sinais de troca de SIM e de dispositivo, e um fator de resistência a phishing para os fluxos de maior valor, mantendo o SMS OTP como o recurso universal de segurança para o alcance. Mapeado para o ataque, as camadas o interrompem em cada etapa:

| Passo de ataque | O que o atacante ganha | Controlo que o destrói |
|---|---|---|
| Transfira o número para um novo SIM. | SMS e chamadas recebidas | Deteção de troca de SIM com base no carimbo de data/hora da última alteração. |
| Acione um SMS com um código OTP. | O código único no dispositivo deles | Autenticação de rede silenciosa (nenhum código é enviado) |
| Iniciar sessão a partir de um novo dispositivo | Uma sessão na conta alvo | Vinculação de dispositivo mais autenticação em etapas |
| Transferir dinheiro ou alterar dados | Pagamento ou aquisição total | Autenticação em camadas: OTP é um fator, nunca o único. |

## A perspetiva bancária do Médio Oriente e Norte de África (MENA) e do Conselho de Cooperação do Golfo (CCG)

Este não é um risco abstrato no Golfo. O Conselho de Cooperação do Golfo (CCG) está entre os mercados com maior penetração de smartphones e adoção de serviços bancários móveis do mundo, segundo o relatório Mobile Economy da GSMA, e carteiras digitais e sistemas de pagamento instantâneo já são comuns nos Emirados Árabes Unidos, Arábia Saudita e Egito. Onde o telefone é o principal canal para serviços bancários e identificação governamental, o número de telefone se torna um alvo excecionalmente valioso — e uma troca bem-sucedida tem um impacto financeiro imediato. Consequentemente, os reguladores e bancos regionais estão a reforçar os requisitos para transferências de alto valor e alterações de beneficiários.

Para bancos e fintechs da região, a postura defensável é a descrita acima, em camadas, implementada por meio de infraestrutura direta da operadora. Uma verificação de posse na rede e uma consulta de troca de SIM dependem de relações de sinalização reais com as operadoras de destino — a mesma infraestrutura de rotas diretas que torna a entrega A2P confiável é o que torna a deteção de troca de SIM precisa. Rotas cinzentas não podem fornecer um registo de data e hora confiável da última troca de SIM.

> A pilha de [OTP e verificação](https://www.broadnet.me/products/otp) da BroadNet executa primeiro a autenticação silenciosa de rede, verifica alterações recentes no SIM antes de aceitar um código e recorre apenas a SMS para contacto — portanto, um SIM trocado falha na verificação de posse em vez de passar nela. Para um widget de verificação pronto para uso com fallback de voz construído na mesma rede da operadora, consulte [MyOTP](https://www.broadnet.me/products/myotp).

## Perguntas frequentes

### O que é fraude de troca de SIM?

A fraude de troca de SIM é uma técnica de apropriação de conta na qual um criminoso convence uma operadora de telefonia móvel a transferir o número de telefone da vítima para um SIM que ele controla — por meio de engenharia social, dados de identidade roubados ou um funcionário da operadora. Uma vez que o número é transferido, chamadas e mensagens de texto, incluindo palavras-passe de uso único por SMS, chegam ao dispositivo do invasor, permitindo que ele burle a autenticação baseada em telefone e assuma o controlo das contas.

### É possível trocar o SIM e ignorar o SMS OTP?

Sim. Essa é a principal vulnerabilidade explorada por uma troca de SIM. O SMS OTP pressupõe o controlo do número, comprovando a posse, mas uma troca redireciona o número para o SIM do atacante, de modo que o código é entregue diretamente a ele. A defesa não consiste num código melhor, mas numa verificação diferente: autenticação silenciosa de rede, uma consulta de troca de SIM antes de validar o OTP, vinculação de dispositivo e autenticação em duas etapas para ações de alto valor.

### Como os bancos previnem ataques de troca de SIM?

Os principais bancos utilizam diversas camadas de controlo. Eles consultam a rede para obter o registo de data e hora da última troca de SIM e recusam palavras-passe de uso único (OTP) ou transações de alto valor quando a troca é recente; usam autenticação de rede silenciosa para que nenhum código interceptável seja enviado; vinculam as sessões a dispositivos conhecidos; e implementam um fator de segurança contra phishing para movimentação de dinheiro e alterações de beneficiários. O SMS com OTP é mantido como um sinal entre muitos, e não como o único mecanismo de controlo.

## Referências

- NIST — SP 800-63B Diretrizes de Identidade Digital (orientação sobre autenticação e comunicação fora de banda): [nist.gov](https://pages.nist.gov/800-63-3/sp800-63b.html)
- GSMA — APIs Open Gateway, Number Verification e SIM Swap: [gsma.com](https://www.gsma.com/solutions-and-impact/gsma-open-gateway/)
- BroadNet — [OTP e verificação](https://www.broadnet.me/products/otp) e a visão geral de [segurança](https://www.broadnet.me/security).
- BroadNet — [Autenticação silenciosa de rede em 2026](https://www.broadnet.me/blog/silent-network-authentication-2026).