Blog

SIM swap: o ataque que transforma o SMS em prova fraca

UNIFOKAL6 min de leituraAntifraude

Anatomia da troca de chip, por que o código por SMS prova posse do número e não da pessoa, o que o NIST SP 800-63B classifica como restrito e como combinar canais sem matar a conversão.

O código de seis dígitos por SMS virou o gesto universal do "prove que é você". Ele é barato, quase todo mundo tem celular e a taxa de conclusão é alta. O problema é a premissa silenciosa embutida no desenho: a de que o número de telefone e a pessoa são a mesma coisa. O SIM swap, a troca de chip, existe para quebrar exatamente essa premissa.

Este artigo desmonta o ataque, delimita o que um código por SMS de fato prova, mostra por que a principal referência técnica de autenticação digital trata o canal como restrito e fecha com o desenho que aproveita o que o SMS tem de bom sem apostar a decisão inteira nele.

Anatomia da troca de chip

A troca de chip e a portabilidade existem por razões legítimas: chip perdido, roubado, danificado, migração de operadora. O ataque abusa do processo de recuperação. O fraudador convence a operadora, numa loja ou num canal de atendimento, de que é o titular da linha, usando dados pessoais vazados, documento falsificado ou, nos casos piores, um atendente cooptado. Aprovada a troca, o número passa a viver no chip do atacante: o aparelho da vítima perde o sinal, e todo SMS destinado àquele número, incluindo códigos de verificação e de recuperação de senha, passa a chegar na mão errada.

Repare no que o ataque não exige: nenhum contato com a vítima, nenhum malware no aparelho dela, nenhuma invasão ao sistema da empresa que envia o código. O elo atacado é o processo de atendimento da operadora, que está inteiramente fora do controle de quem confia no SMS. No direito penal brasileiro, usar esse acesso para obter vantagem ilícita cai na fraude eletrônica que a Lei 14.155/2021 inseriu no Código Penal (Decreto-Lei 2.848/1940): o artigo 171, parágrafo 2º-A, comina reclusão de quatro a oito anos e multa para o estelionato cometido com informação fornecida pela vítima ou por terceiro induzido a erro por meio eletrônico.

O que o código prova, elo por elo

Quando o usuário digita o código recebido, o sistema comprova uma coisa só: quem digitou tinha acesso, naquele instante, às mensagens daquele número. Para que isso signifique "é a pessoa", quatro elos precisam segurar ao mesmo tempo:

  • o número pertence de fato à pessoa, o que depende do cadastro na operadora;
  • o número está no chip da pessoa, e é este elo que o SIM swap rompe;
  • o chip está no aparelho da pessoa, elo que o furto de celular desbloqueado rompe;
  • só a pessoa lê as mensagens do aparelho, elo que a pré-visualização na tela bloqueada corrói.

Nenhum desses elos é verificado pelo envio do código; todos são presumidos. Em onboarding, a presunção é ainda mais frágil: o número foi informado segundos antes pelo próprio solicitante, então o código prova posse de um canal que o eventual fraudador escolheu e controla. É por isso que a verificação por OTP de e-mail e SMS confirma canal de contato, não identidade: papel útil, mas diferente. Quem monta cadastro com dados vazados de terceiro informa o próprio telefone e passa no OTP com louvor, como o artigo sobre fraude com CPF de terceiro detalha.

Por que "restrito" na régua do NIST

O NIST, instituto de padrões e tecnologia do governo dos Estados Unidos, mantém na publicação especial 800-63B a referência técnica mais citada sobre autenticação digital. A seção 5.1.3.3 trata da autenticação fora de banda pela rede telefônica, SMS e voz, e a classifica como restrita: o uso não é proibido, mas a organização precisa avaliar o risco do canal, oferecer ao usuário pelo menos um autenticador alternativo não restrito e preparar um plano de migração para o caso de o canal se tornar inaceitável. A razão de fundo é a deste artigo: o número pode ser transferido ou interceptado sem que o dispositivo do titular seja tocado, o que quebra a premissa de posse que sustentaria o fator.

Restrito não significa inútil. Significa que o SMS, sozinho, não sustenta decisão de valor: abrir conta, trocar o cadastro de recebimento, elevar limite, autorizar transferência atípica.

Desenho: o SMS como um fator, nunca o único

A resposta ao SIM swap não é abolir o SMS, é tirar dele o peso que ele não aguenta. Três regras práticas:

  • Combinar famílias de prova. Documento com biometria facial responde quem é a pessoa; o OTP responde se o canal declarado funciona; sinais de dispositivo e comportamento respondem como o cadastro está sendo feito. O SIM swap derrota a segunda família, e é exatamente para isso que as outras existem. Na UNIFOKAL, por exemplo, o OTP por SMS e e-mail é um módulo do fluxo ao lado de documento, biometria e prova de vida: confirma o canal de contato declarado, enquanto a identidade é sustentada pelos outros módulos.
  • Nunca deixar o SMS como único caminho de recuperação de conta. A recuperação é a porta favorita do atacante, porque converte posse do número em posse da conta em um passo. Recuperação séria exige reapresentar prova de identidade, não só receber um código.
  • Endurecer o canal quando houver sinal. Idade do chip e portabilidade recente são dados que algumas operadoras expõem a parceiros; quando disponíveis, valem como sinal de risco na hora de decidir se o SMS basta. Quando não disponíveis, a honestidade de desenho é assumir que não se sabe, e não fingir cobertura que a fonte não dá.

Vale ainda vigiar o próprio uso do canal: rajadas de códigos para o mesmo número, ou de números diferentes para o mesmo dispositivo, são assinatura de automação e de teste de cadastro em massa.

O resumo cabe numa frase: o código por SMS prova que alguém segura o telefone certo, e o SIM swap prova que segurar o telefone certo não exige ser a pessoa certa. Tratado como um fator entre vários, o SMS segue útil, barato e conveniente. Tratado como prova de identidade, ele é uma porta com a chave debaixo do tapete, e o fraudador sabe onde fica o tapete.

Fontes citadas