DESPACHO DECISÓRIO Nº 2/SCD, DE 3 DE NOVEMBRO DE 2026

DESPACHO DECISÓRIO Nº 2/SCD, DE 3 DE NOVEMBRO DE 2026
PROCESSO Nº 53500.104806/2025-68
Interessado: AGÊNCIA NACIONAL DE TELECOMUNICAÇÕES - ANATE
Ementa: Estabelece medidas relativas ao envio de mensagens de texto SMS - Short
Message Service, voltadas à rastreabilidade e prevenção de fraudes.
O CONSELHO DIRETOR DA AGÊNCIA NACIONAL DE TELECOMUNICAÇÕES, no uso
de suas competências, consoante o disposto no art. 22 da Lei nº 9.472, de 16 de julho de
1997, e no art. 35 do Regulamento da Agência Nacional de Telecomunicações, aprovado
pelo Decreto nº 2.338, de 7 de outubro de 1997,
CONSIDERANDO que o número de golpes digitais tem aumentado
significativamente, impulsionado pela expansão de serviços digitais e alta adesão pela
sociedade;
CONSIDERANDO que o serviço de mensagens curtas SMS - Short Message
Service é canal de comunicação amplamente utilizado por bancos, empresas, serviços
públicos e serviços digitais, e que tem sido utilizado para aplicação de fraudes e
golpes;
CONSIDERANDO a importância do acesso a informações claras e confiáveis
sobre os remetentes das mensagens e sobre as medidas de prevenção a fraudes, de modo
a reduzir a exposição dos usuários a golpes;
CONSIDERANDO os prejuízos financeiros causados a consumidores e empresas,
os impactos emocionais sobre as vítimas e os efeitos dessas práticas sobre a confiança nos
serviços de telecomunicações;
CONSIDERANDO que golpes via SMS representam um desafio crescente para
autoridades reguladoras e operadoras de telecomunicações, o que requer ações
coordenadas e contínuas de prevenção por parte de todo o ecossistema envolvido com
esse serviço;
CONSIDERANDO a necessidade de ampliar a transparência sobre a utilização de
códigos curtos, permitindo a identificação de seus usuários e contribuindo para a apuração
de responsabilidades pelo envio de mensagens fraudulentas;
CONSIDERANDO que, de acordo com o art. 137 do Regulamento Geral de
Serviços de Telecomunicações - RGST, aprovado pela Resolução nº 777, de 28 de abril de
2025, as prestadoras devem adotar as medidas técnicas e administrativas necessárias para
prevenir e mitigar a ocorrência de fraudes relacionadas à prestação do serviço e ao uso
das redes de telecomunicações;
CONSIDERANDO o inteiro teor do Processo nº 53500.104806/2025-68, no qual
se registra inclusive a discussão institucional com atores do ecossistema de mensagens
SMS, nos termos do Informe nº 31/2026/SUE (SEI 15368833), resolve:
Art. 1º DETERMINAR às prestadoras do Serviço Móvel Pessoal que, no prazo de
até 90 (noventa) dias, contado da publicação desta decisão, adotem as seguintes medidas
relativas ao envio de mensagens SMS - Short Message Service na modalidade A2P -
Application-to-Person:
I - implementação e manutenção de diretório setorial centralizado de códigos
curtos, disponível para consulta pública, que permita identificar as pessoas jurídicas
responsáveis pelo encaminhamento das mensagens;
II - restrição do uso do serviço de envio de mensagens SMS A2P a pessoas
jurídicas devidamente identificadas no diretório centralizado de que trata o inciso I.
Art. 2º DETERMINAR às prestadoras do Serviço Móvel Pessoal - SMP que, no
prazo de até 60 (sessenta) dias, contado da publicação desta decisão e prorrogável, por
igual período, mediante justificativa a ser apresentada à Anatel, adotem as seguintes
medidas relativas ao envio de mensagens SMS na modalidade A2P:
I - que assegurem que cada código curto utilizado para identificar os
remetentes das mensagens seja destinado ao uso exclusivo de uma única pessoa jurídica,
vedado seu compartilhamento, ressalvadas as hipóteses previstas no § 1º;
II - que aprovem e implementem, individualmente, Política Interna de
Segurança para SMS, abrangendo mecanismos de identificação, monitoramento, detecção
e prevenção a fraudes e tratamento de incidentes, mediante a manutenção e o
aperfeiçoamento das capacidades técnicas e operacionais existentes, observados os
requisitos técnicos e operacionais aplicáveis estabelecidos pela Agência e consideradas as
medidas descritas no Informe nº 31/2026/SUE (SEI nº 15368833);
III - que apresentem à Anatel informações sobre as medidas adotadas para
impedir o uso de canais não confiáveis;
IV - que estabeleçam canal de comunicação setorial destinado ao
compartilhamento de alertas, informações sobre incidentes e recomendações de
segurança relacionados ao envio de mensagens SMS A2P; e,
V - que implementem mecanismos automatizados de monitoramento do
tráfego SMS A2P, capazes de identificar padrões anômalos de tráfego, campanhas
potencialmente fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura de
telecomunicações, falsificação de identidade (identity spoofing) e outros eventos capazes
de comprometer a segurança das comunicações, observadas as características técnicas das
redes, os riscos envolvidos e a legislação aplicável à proteção de dados pessoais e ao sigilo
das comunicações.
§ 1º Poderão ser admitidas exceções à vedação de compartilhamento prevista
no inciso I, mediante justificativa técnica a ser apresentada à Anatel.
§ 2º Nas hipóteses de compartilhamento autorizado, o diretório centralizado
deverá identificar todos os usuários associados ao respectivo código curto.
§ 3º As prestadoras deverão encaminhar ao Grupo Técnico de Suporte à
Segurança Pública - GT-Seg relatórios periódicos sobre as ações desenvolvidas no âmbito
da cooperação setorial prevista no inciso IV e os resultados alcançados, incluindo a
evolução do volume de mensagens SMS bloqueadas e outros indicadores que permitam
avaliar a efetividade das medidas implementadas.
Art. 3º DETERMINAR às prestadoras do Serviço Móvel Pessoal - SMP que, no
prazo de até 90 (noventa) dias, contado da publicação desta decisão e prorrogável por 30
(trinta dias), mediante justificativa a ser apresentada à Anatel, impeçam a entrega a seus
usuários de mensagens SMS A2P identificadas por códigos curtos que não estejam
devidamente cadastrados no diretório centralizado.
Parágrafo único. Serão considerados efetivamente cadastrados no diretório
centralizado de que trata o inciso I os códigos curtos associados a agregadores de
mensagens de nível 1 que tiverem sido incluídos em até 3 (três) dias do início de seu uso
efetivo.
Art. 4º DETERMINAR às prestadoras do Serviço Móvel Pessoal - SMP que
realizem, previamente à disponibilização do diretório centralizado para consulta pública,
campanhas educativas e de conscientização sobre sua finalidade, suas funcionalidades e
suas formas de acesso e utilização.
Art. 5º DETERMINAR aos agentes envolvidos na originação, contratação,
integração e encaminhamento de mensagens SMS A2P que adotem, no âmbito das
atividades que efetivamente desempenhem e dos mecanismos sob seu controle, medidas
destinadas a assegurar:
I - a identificação dos originadores e a legitimidade das campanhas de
mensageria;
II - a integridade e a autenticidade das informações relativas às mensagens
encaminhadas;
III - a manutenção de registros que permitam a rastreabilidade das mensagens
e a identificação dos responsáveis; e,
IV - a cooperação com as prestadoras do SMP e com as autoridades
competentes na prevenção, identificação e apuração de fraudes.
Parágrafo único. As obrigações previstas neste artigo observarão a natureza das
atividades desempenhadas por cada agente e os limites das competências legais da
Agência, não implicando ampliação das obrigações impostas às prestadoras do SMP nos
arts. 1º a 4º nem atribuição de dever geral de fiscalização sobre atividades ou plataformas
de terceiros.
Art. 6º DETERMINAR aos agentes que, na condição de originadores,
agregadores ou integradores, utilizem códigos curtos e participem da cadeia de envio de
SMS A2P cursado nas redes do SMP que, no âmbito de suas respectivas atividades e
relações contratuais:
I - mantenham atualizadas as informações de identificação necessárias ao
cadastramento dos códigos curtos no diretório setorial;
II - adotem procedimentos de verificação da identidade de seus contratantes e
dos responsáveis pela originação das campanhas, proporcionais aos riscos envolvidos;
III - preservem, nos termos da legislação aplicável, os registros sob seu controle
necessários à identificação do originador e à apuração de incidentes e fraudes; e,
IV - cooperem, quando regularmente demandados, com a identificação e a
interrupção de campanhas com indícios consistentes de fraude.
Parágrafo único. As medidas previstas neste artigo serão exigidas
exclusivamente na extensão em que as atividades dos agentes estejam relacionadas ao
tráfego SMS A2P e se encontrem abrangidas pelas competências legais da Agência, sem
prejuízo da atuação das demais autoridades competentes.
Art. 7º DETERMINAR aos responsáveis por aplicações e plataformas digitais
utilizadas para autenticação de usuários, recuperação de credenciais, confirmação de
identidade e autorização de transações que adotem, no âmbito das atividades que
desempenhem e dos mecanismos técnicos sob seu controle, medidas destinadas a:
I - assegurar a identificação e a autenticidade dos remetentes das
comunicações;
II - preservar a integridade e a rastreabilidade das comunicações utilizadas nos
processos de autenticação e verificação de identidade;
III - implementar mecanismos de prevenção, detecção e mitigação de fraudes; e,
IV - preservar a segurança dos processos de autenticação e a proteção dos
usuários, consideradas as características das tecnologias empregadas.
§ 1º As medidas previstas neste artigo deverão proporcionar resultados de
segurança equivalentes aos exigidos para comunicações digitais críticas realizadas por meio
de SMS A2P, considerados os riscos envolvidos, a finalidade das comunicações e as
características técnicas de cada solução, sem exigir identidade de tecnologia, arquitetura
ou mecanismos de implementação.
§ 2º A responsabilidade pelo cumprimento das medidas previstas neste artigo
caberá aos agentes que concebam, operem ou controlem as respectivas funcionalidades e
mecanismos de segurança, no âmbito de suas atividades e das competências legalmente
atribuídas à Agência, não se transferindo tais responsabilidades às prestadoras do Serviço
Móvel Pessoal - SMP pelo mero transporte de dados, nem implicando a equiparação dos
responsáveis por aplicações e plataformas digitais às prestadoras de serviços de
telecomunicações.
Art. 8º DETERMINAR à Superintendência Executiva - SUE que, no âmbito dos
trabalhos de acompanhamento do Plano de Ação e sem prejuízo das competências de
outros órgãos e entidades:
I - promova interlocução técnica com originadores, agregadores, integradores e
responsáveis por aplicações e plataformas digitais utilizadas em comunicações de
autenticação e outras comunicações críticas, inclusive plataformas distintas do SMS;
II - identifique riscos relevantes associados à identificação de remetentes, à
integridade das comunicações, à prevenção a fraudes e à migração de comunicações
críticas entre diferentes canais tecnológicos;
III - avalie a efetividade das medidas de prevenção, detecção e mitigação de
fraudes implementadas no âmbito do Plano de Ação, inclusive dos mecanismos de
monitoramento do tráfego SMS A2P, bem como os mecanismos de cooperação e as boas
práticas de segurança aplicáveis aos diferentes participantes do ecossistema, respeitadas
as especificidades técnicas e jurídicas de cada atividade; e,
IV - apresente ao Conselho Diretor, no prazo de 180 (cento e oitenta) dias,
relatório com os resultados dessas atividades e, quando cabível, propostas de
encaminhamento às autoridades competentes.
Art. 9º As medidas previstas nos arts. 5º a 7º deverão ser implementadas no
prazo de 90 (noventa) dias, contado da publicação deste Despacho, sem prejuízo dos
prazos e das obrigações expressamente estabelecidos nos arts. 1º a 4º e do prazo
específico previsto no art. 8º, inciso IV, observadas as competências legalmente atribuídas
à Anatel e a legislação aplicável à proteção de dados pessoais.
CARLOS MANUEL BAIGORRI
Presidente do Conselho
SUPERINTENDÊNCIA DE FISCALIZAÇÃO
GERÊNCIA REGIONAL NOS ESTADOS DO PARANÁ E SANTA CATARINA
ATOS DE 3 DE NOVEMBRO DE 2026
Extinguir, por cassação, a autorização no SERVIÇO DE INTERESSE RESTRITO
outorgada aos abaixo identificados, por perda das condições indispensáveis à manutenção
da autorização:
Nº 13.615 - Processo nº 53516.005087/2026-13: HELEODORO MURARA, CPF nº
***.478.929-**.
Nº 13.616 - Processo nº 53516.005128/2026-63: MARIO KOVALCZUK, CPF nº ***.896.619-**.
ALEXANDRE ATAIDE GONÇALVES OLIVEIRA
Gerente