São 14h12 e vai no metro. O seu telemóvel indica «Sem serviço». Não é a primeira vez, aquela linha é caprichosa. Sobe à superfície: continua sem nada. Reinicia o aparelho, retira o cartão SIM, sopra nele como numa cassete de consola antiga. Nada.
Entretanto, a trinta quilómetros dali, alguém está a receber as suas SMS. Incluindo a do seu banco, com o código de validação de uma transferência de 4 800 euros.
O SIM swap — literalmente «troca de cartão SIM» — é um dos raros ataques móveis em que o criminoso nunca toca no seu telemóvel. Não instala qualquer software espião, não lhe envia nenhum link armadilhado no momento do ataque, não adivinha o código de desbloqueio. Faz algo bem mais simples: pede educadamente ao seu operador que passe o seu número para um cartão que ele detém. E consegue-o.
O seu número passou a ser uma chave, não uma morada
Durante vinte anos, um número de telefone servia apenas para uma coisa: para que o pudessem contactar. Hoje, tornou-se o molho de chaves mestras da sua vida digital.
Pense no que passa por SMS ou por chamada na sua linha:
- os códigos de validação de transferências do seu banco;
- os códigos de recuperação de conta Google, Apple, Microsoft, Facebook, Instagram;
- as confirmações de acesso ao portal das finanças, ao seguro, ao subsistema de saúde;
- os links de reposição de palavra-passe de metade dos serviços que utiliza.
Um atacante que controle o seu número não rouba um contacto: rouba o procedimento de recuperação de todas as suas contas. É por isso que o SIM swap continua a ser, apesar de antigo, um dos ataques mais rentáveis do panorama da fraude móvel. O Cybermalveillance.gouv.fr e a ANSSI colocam aliás o desvio de linha móvel entre os vetores de comprometimento de identidade mais destrutivos para os particulares, precisamente porque dá acesso a tudo o resto numa única operação.
Como um burlão obtém a sua linha em três etapas
Etapa 1: a recolha prévia
O SIM swap nunca começa no operador. Começa em si, ou melhor, nos seus dados públicos e nos dados que fugiram. O atacante monta um dossiê: nome próprio, apelido, data de nascimento, morada, número de telefone e, por vezes, os quatro últimos dígitos de um cartão bancário ou um número de cliente.
Estas informações provêm de três fontes principais:
- as fugas de dados massivas em operadores, transportadoras ou lojas online — houve várias vagas ruidosas desde 2024;
- as redes sociais, onde se publica sem pensar uma data de nascimento, uma cidade, o nome de solteira da mãe, o nome de um animal de estimação;
- o smishing preparatório, uma falsa SMS de operador ou de serviço de entregas que serve apenas para preencher as casas em falta do dossiê.
Este trabalho preparatório é invisível. É isso que torna o SIM swap tão desconcertante: a vítima não se lembra de nenhum clique infeliz, porque não houve nenhum no momento decisivo.
Etapa 2: o pedido de segunda via
Munido deste dossiê, o atacante contacta o operador — na loja, por telefone ou através da área de cliente, se a palavra-passe também tiver fugido. O pretexto é banal, universal, nunca suspeito:
«Boa tarde, roubaram-me o telemóvel ontem à noite no comboio. Já comprei um aparelho novo, precisava de um SIM novo com o meu número.»
Não há nada de anormal neste pedido. Milhares de clientes honestos fazem-no todos os dias. O assistente coloca perguntas de verificação — que o atacante preparou. A segunda via é emitida, ou o eSIM é enviado por e-mail sob a forma de um código QR para digitalizar.
Etapa 3: a comutação
No segundo em que o novo cartão é ativado, o seu é desativado. É uma regra técnica incontornável: um número só pode estar associado a um único SIM ativo. O seu telemóvel perde a rede. As chamadas e as SMS destinadas à sua linha passam a chegar ao atacante.
A janela de exploração é curta — muitas vezes menos de uma hora — mas é largamente suficiente. Reposição da palavra-passe do e-mail, depois a do banco, depois a validação das transferências com os códigos que agora aparecem no ecrã dele.
O eSIM mudou a geografia do ataque
Até há pouco tempo, o SIM swap tinha um constrangimento físico: era preciso levantar um cartão de plástico, ou seja, deslocar-se a uma loja ou esperar por correio. Esse atrito protegia um pouco.
O eSIM eliminou esse atrito. Um cartão SIM desmaterializado ativa-se à distância, em poucos minutos, com um simples código QR recebido por e-mail. Para o utilizador legítimo, é um progresso real: sem prazos de espera, sem cortar cartões, mudança de aparelho instantânea. Para o atacante, é um atalho.
Os operadores reagiram endurecendo os procedimentos: envio de um código de confirmação para a linha existente, período de carência de 24 a 72 horas antes da ativação, notificação sistemática por e-mail. Estas salvaguardas funcionam — desde que leia as notificações. Um e-mail «O seu pedido de eSIM foi registado» que não pediu é o sinal de alarme mais importante de todo este artigo.
Se receber uma SMS ou um e-mail a confirmar um pedido de segunda via do SIM que não iniciou: ligue imediatamente ao seu operador a partir de outro telefone. Talvez tenha algumas horas de avanço sobre o atacante.
Os sinais que o devem alertar
O SIM swap é barulhento, ao contrário de um software espião. Produz sintomas muito reconhecíveis, desde que não os atribua a uma simples avaria.
| Sinal observado | Interpretação ingénua | Interpretação a reter |
|---|---|---|
| Perda total de rede sem razão | «Avaria do operador» | Linha potencialmente desativada |
| SMS de um serviço que não solicitou | «Spam» | Tentativa de reposição em curso |
| E-mail «o seu eSIM está pronto» | «Erro do operador» | Pedido fraudulento em curso |
| Familiares dizem que já não conseguem contactá-lo | «Problema de rede» | As suas chamadas estão desviadas |
| Desconexão súbita das suas contas | «Bug da aplicação» | Tomada de controlo em curso |
O reflexo salvador cabe numa frase: uma perda de rede isolada, quando as pessoas à sua volta têm sinal normalmente, nunca é banal. Pergunte a um vizinho no comboio, olhe para o telemóvel de um colega. Se toda a gente tem rede exceto você, não é a rede, é a sua linha.
Bloquear a linha antes do ataque: as seis medidas úteis
1. Ative o código PIN do cartão SIM
É a medida mais elementar e a mais negligenciada. Muitos utilizadores desativam o código PIN para poupar três segundos ao arrancar. Este código não protege contra o SIM swap em si, mas impede a exploração imediata de um SIM físico roubado juntamente com o telemóvel — um cenário frequente. Sobretudo, mude o código predefinido (0000, 1234) fornecido pelo operador.
2. Retire a SMS da autenticação bancária e das contas críticas
É a defesa estrutural. Enquanto a SMS continuar a ser o seu segundo fator, a sua segurança depende de um assistente telefónico que não conhece. Prefira:
- a aplicação do seu banco com validação por impressão digital ou reconhecimento facial (o dispositivo «Sécur'Pass» ou equivalente, consoante a instituição);
- uma aplicação de autenticação que gera códigos offline para as suas contas Google, Microsoft ou redes sociais;
- uma chave de segurança física USB-C ou NFC para as contas verdadeiramente sensíveis: é o único fator que um atacante à distância não consegue intercetar, independentemente do controlo que tenha sobre o seu número.
3. Peça o bloqueio da linha ao seu operador
Todos os operadores propõem, com designações diferentes, mecanismos de proteção: palavra-passe adicional na conta, pergunta secreta, bloqueio dos pedidos de segunda via à distância, obrigação de comparecer na loja com um documento de identificação. Estas opções quase nunca estão ativas por predefinição. Uma chamada de dez minutos para o apoio ao cliente basta para as ativar — é o melhor retorno sobre o tempo investido de todo este artigo.
4. Limpe aquilo que o seu número conta sobre si
Cada formulário de fidelização, cada passatempo, cada subscrição de newsletter aumenta a superfície de ataque. Verifique regularmente se a sua morada e o seu número aparecem em fugas conhecidas através do serviço Have I Been Pwned e exerça o seu direito ao apagamento junto dos sites em causa — a CNIL detalha o procedimento e as vias de recurso em caso de recusa.
Pelo mesmo princípio, reserve o seu número principal para utilizações sérias. Para uma loja online consultada uma única vez, um anúncio classificado ou uma inscrição pontual, um cartão SIM pré-pago sem fidelização dedicado aos formulários evita disseminar a linha associada ao seu banco.
5. Proteja o elo ao lado: o seu endereço de e-mail
O SIM swap só funciona plenamente quando combinado com o acesso ao seu e-mail. Um endereço protegido por uma palavra-passe única, longa, guardada num gestor de palavras-passe, fecha metade do cenário de ataque. Se prefere o papel, um caderno de palavras-passe seguro guardado em casa continua a ser infinitamente mais seguro do que um ficheiro «códigos.txt» no ambiente de trabalho.
6. Prepare um plano B material
Em caso de perda da linha, terá de ligar ao seu operador e ao seu banco sem usar o seu número. Muitos lares já não têm qualquer alternativa. Guardar um telemóvel básico de reserva, carregado, com um SIM pré-pago de outro operador, transforma uma situação de pânico num simples contratempo. É também o que lhe permitirá ligar para os números de emergência se o aparelho principal estiver fora de serviço.
O que fazer na hora seguinte
Se constatar uma perda de linha suspeita, a ordem das operações conta mais do que a rapidez.
- Ligue ao seu operador a partir de outro telefone. Comunique a suspeita de uma segunda via fraudulenta e peça a suspensão imediata da linha. É a ação que corta o acesso do atacante.
- Ligue ao seu banco — número de oposição indicado no verso do cartão, e não um número encontrado numa SMS. Mande bloquear as transferências e comunique o comprometimento do seu segundo fator.
- Mude a palavra-passe do seu e-mail principal a partir de um computador e verifique as regras de reencaminhamento automático: os atacantes criam-nas frequentemente para continuar a intercetar as mensagens depois do ataque.
- Termine todas as sessões ativas nas suas contas Google, Apple, Microsoft e redes sociais.
- Apresente queixa junto das autoridades policiais. No caso de uma fraude bancária, a queixa condiciona a aplicação do artigo L133-18 do Code monétaire et financier, que prevê o reembolso das operações não autorizadas.
- Denuncie a SMS ou a mensagem fraudulenta ao 33700, se existir alguma na sequência dos acontecimentos, e reporte o incidente em Cybermalveillance.gouv.fr para obter acompanhamento.
O reembolso não é automático — mas é possível
É o ponto que mais inquieta as vítimas. A regra de princípio é favorável ao cliente: uma operação de pagamento não autorizada deve ser reembolsada pelo banco, salvo negligência grave por parte do titular.
Tudo se joga, portanto, nessa noção de «negligência grave». A Cour de cassation proferiu várias decisões importantes, recordando que o simples facto de ter comunicado um código recebido por SMS não basta, por si só, para caracterizar uma negligência grave quando a vítima foi enganada por um dispositivo credível. No caso de um SIM swap, o argumento é ainda mais forte: não comunicou absolutamente nada, o atacante obteve os códigos diretamente.
Guarde tudo: capturas de ecrã da perda de rede, e-mails do operador, histórico das chamadas para o apoio ao cliente, comprovativo da queixa. Em caso de recusa, recorra ao mediador bancário e depois, se necessário, ao banco central.
O que esta burla nos ensina
O SIM swap diz pouco sobre a sua prudência individual. Diz sobretudo que transformámos uma infraestrutura concebida para a conversa — a rede telefónica — na base de identidade de toda a vida digital.
Enquanto essa base puder ser administrada por um assistente ao telefone, com base em informações que já circulam em ficheiros roubados, continuará a ser atacável. A boa notícia é que a defesa está inteiramente nas suas mãos: cada conta que desliga da SMS é uma conta que o SIM swap já não consegue alcançar.
Comece pelo mais importante — o seu e-mail e o seu banco — e faça-o esta semana, não «um dia destes». Demora vinte minutos. O roubo demora cinco.
