Modus operandi

SIM swap: o telefone virou documento de identidade sem ninguém ter decidido isso

O número sustenta o código por SMS, a recuperação de conta e a chave Pix. Quem toma a linha toma os três, e a prova não está no celular da vítima.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 30 de março de 2027

O único aviso é o celular ficar sem sinal.

Não trava nada, não aparece nada, não chega mensagem nenhuma. A barra de sinal some e o aparelho passa a funcionar só no wi-fi. Quem está em casa nem percebe, porque o wi-fi cobre tudo. Quem percebe acha que é problema de rede, reinicia o aparelho, tira e põe o chip, decide resolver de manhã.

Essas horas são exatamente o orçamento que a fraude precisa.

O que acontece com a linha, e são dois caminhos diferentes

Vale separar, porque quase toda cobertura mistura os dois e eles deixam registro em lugares diferentes.

Segunda via de chip. O número continua na mesma operadora e passa a funcionar num SIM novo. Alguém pede a segunda via se passando pelo titular, em loja, no aplicativo, na central ou numa revenda.

Portabilidade fraudulenta. O número muda de operadora. É o caminho mais chamativo e também o mais vigiado hoje, porque desde 28 de agosto de 2023 a portabilidade tem uma confirmação a mais: o titular recebe um SMS na própria linha e precisa responder SIM em até seis horas. Sem resposta, ou com resposta negativa, o pedido cai.

Repare no efeito dessa assimetria. Os dois caminhos levam ao mesmo lugar, mas não têm a mesma proteção, e a primeira pergunta de qualquer apuração séria é qual deles foi usado. A resposta muda o conjunto de registros que existe para pedir.

Por que o número virou documento

Ninguém decidiu isso numa reunião. Foi acontecendo.

Três coisas passaram a se apoiar no número de telefone, cada uma por um motivo razoável na época:

1. O código por SMS, como segundo fator de autenticação
2. A recuperação de conta, no e-mail, no WhatsApp e em quase todo serviço
3. A chave Pix, que no Brasil pode ser o próprio número

Quem toma a linha não toma um canal. Toma os três de uma vez. E o terceiro tem uma particularidade que quase ninguém liga ao assunto.

A chave Pix é o ponto que quase ninguém conecta

Em 6 de março de 2025, o Banco Central publicou a Resolução BCB 457, que deu ao art. 71 do Regulamento do Pix uma redação de uma linha só:

A reivindicação de posse pode ser solicitada somente para as chaves Pix número de telefone celular.

Os incisos que previam as outras hipóteses foram revogados, e a regra passou a produzir efeitos em 1º de abril de 2025, não na data da publicação.

A razão é boa, e é a que o próprio Banco Central deu ao anunciar a mudança: número de celular pré-pago muda de dono de verdade. Quem cancela a linha e a vê ser reaproveitada por outra pessoa precisa de um mecanismo para que a chave acompanhe quem passou a ter a linha. Sem isso, o Pix acumularia chaves órfãs apontando para a conta de quem não usa mais aquele número.

Ou seja: entre todos os tipos de chave Pix, o número de telefone é o único em que a chave segue a posse da linha, por desenho. Não é falha. É escolha deliberada, com motivo legítimo.

O problema aparece quando alguém toma a linha.

E aqui está a parte que dói. No pedido de reivindicação, o titular atual é notificado e tem sete dias corridos para responder, confirmando a posse ou abrindo mão dela. Só que o efeito do silêncio é o oposto do que acontece na portabilidade de chave. Na portabilidade, quem não responde fica com a chave onde ela está. Na reivindicação, quem não responde perde: a chave é desvinculada e transferida para quem reivindicou.

Junte as duas coisas e o desenho fica desconfortável. A pessoa que está fora do ar justamente porque a linha dela foi tomada é a pessoa com menos chance de ver a notificação. O mesmo evento que autoriza o pedido é o que retira a capacidade de responder a ele.

Na prática as instituições notificam também pelo aplicativo e por e-mail, e algumas implementam uma janela adicional de conferência, o que empurra o prazo total para algo em torno de catorze dias. Isso ajuda, mas não muda a direção do padrão: o silêncio joga contra quem tem a chave.

Daí sai uma instrução prática que não aparece em lugar nenhum: depois de recuperar a linha, confira suas chaves Pix e se existe reivindicação aberta. O Banco Central disponibiliza relatório das chaves vinculadas ao CPF, e essa conferência leva dois minutos.

O segundo fator por SMS, chamado pelo nome certo

Dizer que SMS é fraco vira opinião contra opinião. Existe uma formulação melhor e ela é citável.

Em julho de 2025 o NIST publicou a versão final da SP 800-63B-4, e ali o código enviado por SMS ou por rede telefônica deixou de ser apenas desaconselhado e passou a ter uma categoria própria: autenticador restrito. Não é proibido. É de segunda classe, e vem com obrigações para quem continua usando. Quem adota precisa avaliar e aceitar formalmente o risco, oferecer ao usuário uma alternativa não restrita, avisar o usuário da limitação e manter um plano de migração.

Isso muda a pergunta que se faz à instituição. Não é “por que vocês usam SMS”, que ela responde com facilidade falando de conveniência e alcance. É: vocês usam um método que o padrão de referência classifica como restrito, então mostrem a avaliação de risco, a alternativa que vocês oferecem e o aviso que vocês deram.

Uma pergunta é reclamação. A outra pede documento.

Vale saber, ainda, que tomar a linha não é o único jeito de chegar no código. Existe o caminho em que o criminoso nem precisa da sua linha, porque retransmite a sua sessão em tempo real, e ele está em kit de phishing.

Onde está a prova, e não é no celular da vítima

O aparelho da vítima não tem quase nada para contar. Ele ficou sem sinal. Isso é tudo.

A prova está na operadora, e ela é registro comercial e de atendimento, não registro de conexão. Vale insistir nessa distinção, porque os prazos de guarda são outros e o pedido precisa ser específico:

• Qual procedimento foi executado, segunda via de chip ou portabilidade
• Por qual canal chegou o pedido: loja própria, revenda, aplicativo, central telefônica
• Qual identificação de atendente ou de acesso executou a operação, e em qual unidade
• Que verificação de identidade foi feita e qual foi o resultado dela
• Se houve biometria, o escore, o limiar aplicado e se houve prova de vivacidade
• Em qual ICCID e em qual aparelho o número passou a funcionar, e a partir de que horário exato

Esse último item é o que costuma amarrar o caso, porque o horário da ativação precisa ser comparado com o horário das operações no banco. Se a transferência sai minutos depois da ativação do chip novo, a coincidência para de ser coincidência.

Do lado do banco, as perguntas que importam estão organizadas em quesitos para perícia, e três merecem destaque aqui: houve troca de dispositivo registrada na mesma janela, a instituição consulta algum indicador de troca recente de chip antes de aceitar código por SMS, e desde quando ela faz isso.

Três polos de responsabilidade, e é isso que distingue este caso

Em quase tudo que este site trata, a discussão tem dois lados. Aqui tem três, e a diferença é estrutural.

A operadora, que executou a transferência da linha. O eixo é o art. 14 do Código de Defesa do Consumidor, e a discussão corre pela lógica do defeito na prestação do serviço, que não ofereceu a segurança legitimamente esperada. Decisões estaduais vêm caminhando nessa direção, tratando a fraude praticada contra o procedimento da operadora como risco do próprio negócio. Um exemplo noticiado pelo próprio tribunal: em novembro de 2024, a 3ª Turma Recursal dos Juizados Especiais do Distrito Federal condenou uma operadora por falha na prestação do serviço que permitiu a transferência irregular da linha, nos autos 0707143-30.2024.8.07.0020, em decisão unânime. É caso de juizado, com valor pequeno, e serve como direção, não como precedente vinculante.

O banco, que aceitou um código enviado para uma linha que tinha acabado de mudar de mão. Aqui o ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, aprovada em 2012, pela qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. O que a súmula resolve e o que ela não resolve está em responsabilidade do banco.

A vítima, que contratou os dois separadamente e não tem contrato nenhum ligando um ao outro.

É essa terceira observação que trava o caso na prática. O banco aponta para a operadora, dizendo que a falha foi lá. A operadora aponta para o banco, dizendo que ela não moveu dinheiro nenhum. Cada um tem razão sobre o outro e nenhum dos dois tem razão sobre si.

A saída não é escolher um culpado. É separar as perguntas, porque elas são mesmo diferentes. A operadora responde por como a linha se moveu. O banco responde por ter tratado uma linha recém-movida como se nada tivesse acontecido. São falhas distintas, com provas distintas, e uma não absolve a outra.

O controle que está vindo, e o que já foi derrotado antes de chegar

Convém ser preciso sobre o que existe hoje, porque circula muita informação de que a exigência de biometria já está valendo, e não está.

O projeto de lei. A Câmara aprovou em 28 de outubro de 2025 o PL 352/2025, que estabelece medidas de segurança na identificação de chamadas e na ativação de chips, com validação por mecanismo seguro, como reconhecimento facial ou biometria digital. O texto seguiu para o Senado, onde tramita como PL 2052/2026. Se for sancionado, ainda há prazo de adaptação de 360 dias. Somando tudo, é um controle para depois de amanhã, não para hoje.

O Anatel Protege. Anunciado como estudo em setembro de 2026, permitiria ao cidadão bloquear a abertura de novas linhas com o CPF dele, com autenticação pelo gov.br. É útil e resolve um problema real, mas vale notar que é outro problema: impedir que abram linha nova no seu nome não é o mesmo que impedir que tomem a linha que você já tem.

E o que já aconteceu com a biometria. Em agosto de 2026, a Polícia Civil do Piauí deflagrou a segunda fase da Operação Chip Falso, com prejuízo apurado em torno de R$ 500 mil. Segundo a investigação, o grupo acessava sistemas de operadoras e usava documentos falsificados e selfies biométricas manipuladas para alterar a titularidade das linhas.

Leia isso de novo com calma: a verificação biométrica já estava sendo derrotada antes de virar obrigatória.

A conclusão é a mesma de clonagem de voz, e ela vale repetir porque é contraintuitiva. O valor da checagem biométrica não é a certeza que ela dá. É o registro que ela deixa. Uma verificação que rodou e passou produz escore, horário, imagem e canal, e é justamente esse conjunto que permite demonstrar depois que ela não deveria ter passado. Por isso o quesito certo nunca é “vocês usaram biometria”. É “mostrem o que a biometria produziu”.

O enquadramento penal, e ele não é o do texto anterior

Vale um contraste, porque a diferença é fina e importa.

Em infostealer, o art. 154-A do Código Penal se aplica porque houve invasão de dispositivo informático da vítima. Aqui não. Nada do que pertence à vítima foi invadido. O enganado é a operadora, e o dispositivo dela não foi violado: o procedimento dela foi usado como desenhado, com uma identificação falsa na entrada.

Por isso o art. 154-A normalmente não cabe no SIM swap em si. A fraude posterior segue sendo estelionato por fraude eletrônica, do art. 171, §2º-A. E a tomada da linha costuma aparecer como falsidade ideológica, do art. 299, ou uso de documento falso, do art. 304, conforme o meio empregado. Quando há participação de alguém de dentro da operadora, o quadro muda outra vez, e vale o que está em fraude interna.

O ponto prático é o mesmo de sempre: são fatos distintos e a ocorrência precisa descrever os dois.

O que fazer

Antes, e aqui tem uma coisa que quase ninguém sabe que existe:

1. Cadastre senha de portabilidade e de segunda via na sua operadora. Claro, Vivo, TIM e Oi oferecem isso. Cadastrada a senha, ela passa a ser exigida em qualquer pedido de troca de chip ou portabilidade, inclusive em loja física. É gratuito, leva alguns minutos e é de longe a medida mais eficaz da lista.
2. Ative o PIN do SIM, que é a senha pedida quando o chip é colocado em outro aparelho.
3. Tire o segundo fator do SMS onde o serviço permitir, trocando por aplicativo autenticador.
4. Ligue a verificação em duas etapas do WhatsApp. Sem esse PIN, ter o número é suficiente para assumir a conta.
5. Saiba quais chaves Pix estão no seu CPF. Se você não sabe, o momento de descobrir não é o da fraude.

Na hora, quando o sinal some do nada:

1. Trate perda de sinal sem explicação como evento de segurança, não como problema de rede. De outro telefone, ligue para o seu número e veja o que acontece.
2. Fale com a operadora de outra linha e pergunte, com essas palavras, se houve pedido de segunda via de chip ou de portabilidade. Registre protocolo. O número do protocolo é prova.
3. De outro aparelho, encerre as sessões ativas e depois troque as senhas do banco, do e-mail e do WhatsApp. A ordem importa, pelo motivo explicado em infostealer.
4. Avise o banco que a linha foi tomada e peça registro disso. O relógio do MED é curto e começa a correr sozinho.
5. Confira as chaves Pix e se existe reivindicação aberta.

O roteiro completo das primeiras horas está em primeiras 48 horas da vítima.

Se você opera a instituição:

1. Código enviado por SMS para uma linha que trocou de chip há pouco não é a mesma coisa que código enviado para uma linha estável. Se você não consulta isso, você não sabe qual dos dois enviou.
2. Troca de dispositivo, credencial recém-usada e beneficiário novo na mesma janela formam um conjunto, e ele está disponível no momento da operação, não depois.
3. Guarde o vínculo entre o código enviado, a linha, o aparelho e a sessão. É exatamente isso que vão pedir daqui a seis meses.

O número de telefone virou documento de identidade sem que ninguém tenha decidido emitir esse documento. E o pior de um documento que ninguém decidiu emitir é que também ninguém decidiu quem responde quando ele é falsificado.