Golpe do chip clonado: quando o SMS do banco chega para outra pessoa

Como a sua linha vai parar em outro chip

O seu número não mora no pedacinho de plástico que fica dentro do celular. Ele é um registro na operadora, e esse registro pode ser transferido para outro chip. É assim que funciona quando você perde o aparelho e pede uma segunda via, ou quando muda de operadora e leva o número junto.

O golpe usa exatamente esse caminho. A Anatel chama isso de sequestro da linha e descreve o efeito em uma frase: a sua linha telefônica passa a funcionar em um novo chip, controlado pelo criminoso. A agência explica que isso pode acontecer com documentos falsos apresentados no atendimento ou pela exploração do procedimento de portabilidade.

Quem tenta a troca não chega ao balcão de mãos vazias. Ele costuma já ter nome completo, CPF, data de nascimento, endereço e nome da mãe, informações que circulam em vazamentos de dados e em cadastros vendidos entre criminosos. Com isso ele responde às perguntas do atendimento sem hesitar e passa por titular da linha.

Vale dizer isso com todas as letras: a falha está na checagem de identidade feita no atendimento, e o culpado é quem fraudou o pedido. Não existe cuidado do lado de quem usa o celular que impeça um terceiro de pedir a troca em uma loja.

Por que o número vale tanto para o golpista

Muita conta importante ainda usa o telefone como chave de entrada. O banco manda o código de confirmação por SMS, o e-mail oferece recuperar a senha por mensagem de texto, o aplicativo de mensagens confirma a instalação com um código enviado para o número. Quando a linha muda de dono, todos esses caminhos mudam de dono junto.

Com o número na mão, o golpista pede a recuperação de senha das contas e recebe o código sem precisar saber nenhuma senha sua. O aplicativo de mensagens costuma ser o primeiro alvo, porque ele abre a porta para o segundo golpe: falar com a sua família e com os seus contatos como se fosse você, contar uma emergência e pedir um Pix.

O fascículo de autenticação do CERT.br é direto sobre isso e recomenda: prefira chave de segurança física ou geradores de códigos de verificação por aplicativo de celular, e use SMS apenas se não houver outras opções. É a diferença entre um segundo fator que viaja pela linha telefônica e um que fica guardado dentro de um aparelho que você tem na mão.

Os primeiros sinais

O sinal mais comum não parece golpe, parece defeito. O celular para de fazer e receber ligações, para de receber mensagens e fica sem dados móveis, normalmente sem nenhum aviso. Como o Wi-Fi continua funcionando em casa e no trabalho, a sensação é de que a operadora está com problema.

Outros sinais que aparecem por perto:

• uma mensagem perguntando se você pediu portabilidade do seu número, sem que você tenha pedido nada;
• e-mails de código de acesso ou de troca de senha em contas que você não estava usando;
• parentes e amigos dizendo que receberam mensagem sua pedindo dinheiro;
• aviso de novo login em uma conta, vindo de um aparelho que não é seu.

Quando a linha cai sozinha e a internet do Wi-Fi continua normal, vale tratar como possibilidade e checar em vez de esperar voltar. Um jeito rápido: peça para alguém ligar para o seu número. Se a ligação completa e chama em outro lugar, a linha está funcionando, só não está no seu aparelho.

O que fazer na primeira hora

A ordem aqui importa mais do que a pressa. O objetivo é cortar o acesso antes que ele vire dinheiro.

• Fale com a operadora por um canal oficial. A orientação da Anatel é comunicar imediatamente a prestadora pelos canais oficiais de atendimento. Ligue de outro telefone ou use o aplicativo da operadora pelo Wi-Fi, e anote o número do protocolo.
• Comece pelo e-mail, não pelo banco. De um computador ou de outro aparelho, troque a senha da conta de e-mail principal. É ela que controla a recuperação de quase todo o resto.
• Tire o telefone da recuperação das contas importantes e encerre as sessões abertas em outros aparelhos. A maioria dos serviços tem uma tela de aparelhos conectados.
• Avise o banco. Use o telefone impresso no cartão ou o aplicativo, nunca um número que chegou por mensagem. Peça o bloqueio do acesso pelo celular e o registro da ocorrência.
• Se houve Pix, peça a devolução no aplicativo do banco. O Mecanismo Especial de Devolução do Banco Central existe justamente para isso. Pela orientação do Banco Central, o pedido deve ser registrado na sua instituição em até 80 dias da data em que o Pix foi feito, quando a pessoa foi vítima de fraude, golpe ou crime. Faça logo, e não no último dia.
• Avise a família por outro caminho. Ligação, grupo de outro aplicativo, recado presencial. Enquanto o número estiver com o golpista, a mensagem que chega em nome dele é a que as pessoas vão acreditar.
• Registre boletim de ocorrência. A Anatel orienta o registro na Polícia Civil do seu estado, e vários estados aceitam o pedido pela internet, pelo serviço de registro de ocorrência policial online do gov.br.

Como recuperar a linha e dificultar a próxima tentativa

Recuperar a linha é um pedido de segunda via feito por você, com documento, no atendimento da operadora. Leve o número do protocolo da primeira ligação e o boletim de ocorrência, se já tiver.

Depois que o número voltar, vale perguntar à operadora quais travas ela oferece na sua conta. As opções variam de empresa para empresa, mas costumam existir em alguma forma:

• senha ou código de atendimento, exigido para qualquer alteração no cadastro;
• bloqueio de pedidos feitos fora dos canais que você usa;
• aviso por e-mail sempre que houver mudança de chip ou de plano.

Peça também uma revisão do cadastro: endereço de correspondência trocado, e-mail alternativo desconhecido, linha adicional criada em seu nome. Essas alterações costumam ser feitas na mesma visita em que a linha foi tomada e ficam lá depois.

Guarde todos os protocolos. Eles são o que faz a reclamação andar se a operadora não resolver.

Tire as contas que importam da dependência do SMS

Essa é a parte que muda o resultado da próxima vez. Enquanto o código de acesso viajar por SMS, quem tiver o número tem a conta.

• Troque o segundo fator por um aplicativo gerador de códigos nas contas que aceitarem, principalmente e-mail, redes sociais e serviços de pagamento. O código passa a ser gerado dentro do aparelho, sem passar pela operadora.
• Onde houver chave de segurança física, ela é a opção mais forte, e o CERT.br a coloca à frente das demais.
• Gere os códigos de reserva que os serviços oferecem e guarde fora do celular, impressos ou em um gerenciador de senhas. São eles que devolvem o acesso quando o telefone some.
• Ative a confirmação em duas etapas do aplicativo de mensagens. Ela pede um código só seu na hora de instalar a conta em um aparelho novo, e é o que impede que o número sozinho seja suficiente.
• Use senhas diferentes em cada conta. O CERT.br insiste nesse ponto pelo motivo simples de que uma senha repetida transforma um vazamento em vários.

Se o banco não oferecer alternativa ao SMS, o que dá para fazer é reduzir o estrago: ative os avisos de transação, confira os limites do Pix e reveja quais aparelhos estão autorizados no aplicativo.

O que já mudou nas regras

A Anatel mexeu no procedimento que os golpistas mais usavam. Segundo a própria agência, foi determinada a inclusão de segundo fator de autenticação no procedimento de portabilidade: antes de o pedido ser processado, chega uma mensagem no número pedindo confirmação.

Na prática, isso vira um cuidado seu. Se chegar uma mensagem perguntando se você pediu portabilidade e você não pediu, responda negando, guarde a mensagem e ligue para a operadora para registrar. Esse SMS é um aviso de que alguém está tentando, e é a única chance de barrar antes.

O que essa regra não cobre: pedido de segunda via de chip dentro da mesma operadora é outro procedimento, com regras próprias de atendimento. Por isso a trava de cadastro que você pede na operadora continua valendo a pena.

Circulam notícias sobre exigência de biometria para qualquer pedido de segunda via de chip. Não encontramos uma publicação da Anatel confirmando essa regra, então esta página não afirma que ela existe. Se a sua operadora oferecer validação por biometria, ative.

Onde registrar e o que esperar depois

A ordem que a própria Anatel recomenda começa dentro da operadora e só depois sobe.

• Operadora. A página de reclamação da agência é explícita: fale primeiro com a sua operadora e anote e guarde o protocolo de atendimento que ela lhe fornecer.
• Ouvidoria da operadora, se o atendimento comum não resolver. Anote o protocolo de novo.
• Anatel. Aí sim, registre a reclamação no Anatel Consumidor ou ligue para a central da agência, no 1331, que funciona em dias úteis das 8h às 20h e é gratuita. A operadora tem dez dias corridos para dar uma resposta ou solução.
• Polícia. O boletim de ocorrência é o documento que o banco e a Justiça vão pedir depois.
• Banco. Conteste por escrito cada operação que não foi você quem fez e peça o número do protocolo de cada contestação.
• Consumidor.gov.br. A plataforma consumidor.gov.br é pública e gratuita, e serve para registrar a reclamação contra a empresa quando os canais dela não resolveram.

Sobre o dinheiro: não existe garantia de devolução, e quem disser o contrário está vendendo alguma coisa. O que existe é caminho. O pedido de devolução do Pix tem prazo, de até 80 dias da data da transferência, e quanto antes for feito, melhor. A contestação de compras no cartão passa pelo emissor. E o histórico de protocolos é o que sustenta o pedido de responsabilização da operadora, quando a troca de chip foi autorizada sem a checagem devida.

Uma última coisa, porque ela costuma pesar mais do que o prejuízo: o golpe do chip é construído para funcionar sem nenhum erro da pessoa atingida. Não houve link clicado, senha entregue nem descuido. Houve um pedido fraudulento aceito no balcão.

Perguntas frequentes