A Anatel publicou em 4 de novembro de 2026 o Despacho Decisório nº 2/2026/SCD, com medidas de identificação de remetentes e prevenção de fraudes em SMS A2P, as mensagens enviadas de aplicações para pessoas. O ato estabelece entregas diferentes para prestadoras móveis, participantes da cadeia de mensageria e responsáveis por aplicações de autenticação.
Para o provedor, a primeira providência é identificar quais dessas funções exerce. Oferecer banda larga, representar uma operadora móvel, contratar disparos de SMS e controlar o sistema de acesso do cliente são situações que precisam ser analisadas separadamente. A publicação do despacho não comprova que o diretório previsto pela agência já esteja disponível.
Prestadoras móveis têm entregas de 60 e 90 dias
O artigo 1º determina às prestadoras do Serviço Móvel Pessoal (SMP), em até 90 dias contados da publicação da decisão, a implementação e manutenção de um diretório setorial centralizado de códigos curtos, aberto à consulta pública. A base deverá identificar as pessoas jurídicas responsáveis pelo encaminhamento das mensagens. O uso do serviço de envio de SMS A2P ficará restrito a pessoas jurídicas identificadas nesse diretório.
O artigo 2º estabelece outro conjunto de medidas, com prazo de até 60 dias desde a publicação, prorrogável por igual período mediante justificativa apresentada à Anatel:
1. Destinar cada código curto ao uso exclusivo de uma pessoa jurídica. Exceções à proibição de compartilhamento poderão ser admitidas mediante justificativa técnica apresentada à Anatel. Quando o compartilhamento for autorizado, o diretório deverá identificar todos os usuários do código.
2. Aprovar e implementar política interna de segurança para SMS, com identificação, monitoramento, prevenção de fraudes e tratamento de incidentes.
3. Informar à agência as medidas contra o uso de canais não confiáveis.
4. Estabelecer canal setorial para alertas, incidentes e recomendações de segurança.
5. Implementar monitoramento automatizado do tráfego SMS A2P para detectar situações como padrões anômalos, campanhas potencialmente fraudulentas, credenciais comprometidas e falsificação de identidade, respeitando a proteção de dados e o sigilo das comunicações.
As prestadoras também deverão encaminhar ao GT-Seg relatórios periódicos sobre a cooperação setorial e seus resultados, incluindo a evolução do volume de SMS bloqueadas e outros indicadores de efetividade. O despacho não fixa, nesse dispositivo, a periodicidade dos relatórios.
O bloqueio tem condição específica
O artigo 3º determina que as prestadoras SMP impeçam a entrega de SMS A2P identificados por códigos curtos não cadastrados. O prazo é de até 90 dias desde a publicação, prorrogável por mais 30 dias mediante justificativa à Anatel.
Há uma regra específica para códigos associados a agregadores de mensagens de nível 1: serão considerados cadastrados se incluídos no diretório em até três dias do início de seu uso efetivo. Antes de disponibilizar a consulta pública, as prestadoras deverão realizar campanhas educativas sobre a base e suas formas de uso.
Esses requisitos não devem ser convertidos em uma ordem genérica para bloquear toda mensagem suspeita ou toda comunicação enviada por um cliente. O despacho trata de condições e participantes definidos. As possibilidades de prorrogação também não autorizam o provedor a presumir que ganhou mais prazo.
Quem origina ou integra SMS também precisa conferir seu papel
Os artigos 5º e 6º alcançam agentes envolvidos na originação, contratação, integração e encaminhamento de SMS A2P, conforme as atividades que desempenham e os mecanismos sob seu controle.
Entre as medidas estão identificar originadores, verificar a legitimidade das campanhas, preservar a autenticidade das informações e manter registros que permitam rastrear mensagens e responsáveis. Para originadores, agregadores e integradores que utilizam códigos curtos, o ato também exige atualização das informações cadastrais, verificação proporcional ao risco da identidade de contratantes e cooperação na interrupção de campanhas com indícios consistentes de fraude, quando regularmente demandados.
O artigo 9º fixa 90 dias desde a publicação para as medidas dos artigos 5º a 7º. O texto limita sua aplicação às competências legais da Anatel e não atribui às operadoras um dever geral de fiscalizar atividades ou plataformas de terceiros.
Autenticação exige uma análise própria
O artigo 7º trata dos responsáveis por aplicações e plataformas usadas para autenticar usuários, recuperar credenciais, confirmar identidade e autorizar transações. As medidas incluem autenticidade dos remetentes, integridade e rastreabilidade das comunicações, prevenção de fraudes e proteção dos processos de autenticação.
O objetivo é obter resultados de segurança equivalentes aos exigidos para comunicações digitais críticas por SMS A2P, considerados os riscos e as características de cada solução. O ato não exige que todas adotem a mesma tecnologia ou arquitetura.
A responsabilidade é de quem concebe, opera ou controla as funcionalidades e os mecanismos de segurança, dentro das atividades exercidas e das competências da agência. O despacho afasta sua transferência à prestadora SMP pelo mero transporte de dados e não equipara plataformas a prestadoras de telecomunicações.
Um roteiro para o ISP
Como recomendação editorial de preparação, reúna regulação, TI, atendimento, cobrança e comercial para mapear:
- Quais fluxos usam SMS A2P e códigos curtos, com qual fornecedor e qual pessoa jurídica identificada.
- Quem origina, contrata, integra e encaminha cada mensagem e onde ficam os registros necessários à apuração de incidentes.
- Quais aplicações controlam autenticação, recuperação de acesso e confirmação de transações.
- Quem acompanha os atos da Anatel, as orientações dos fornecedores e as entregas de cada participante.
Quem oferece apenas SCM não deve assumir que precisa criar um diretório setorial de SMS por prestar banda larga. Deve, porém, verificar se também participa das atividades de mensageria ou controla aplicações abrangidas. Para quem tem oferta móvel por rede virtual, a divisão de execução com a prestadora de origem precisa ser conferida conforme o modelo e os instrumentos aplicáveis, sem presumir isenção ou transferência de responsabilidade.
Este despacho é distinto da regra de chamadas abusivas por voz. Limites de volume de ligações, duração das chamadas, bloqueio por 15 dias e entrada em vigor em 12 de novembro pertencem a outro ato e não devem ser transportados para o SMS A2P.
Os prazos de 60 e 90 dias citados são contados da publicação do despacho. Antes de fechar o calendário de adequação, confira a contagem aplicável, eventuais prorrogações e orientações oficiais. Não foram examinados contratos ou sistemas de um provedor específico.
Fonte primária: Despacho Decisório nº 2/2026/SCD, SEI nº 16533580, publicado no Boletim de Serviço Eletrônico e no DOU de 4 de novembro de 2026, seção 1, página 8: https://sei.anatel.gov.br/sei/publicacoes/controlador_publicacoes.php?acao=publicacao_visualizar&id_documento=18534553&id_orgao_publicacao=0
