A Agência Nacional de Telecomunicações (Anatel) publicou uma série de medidas para combater e rastrear fraudes por SMS. As novas regras preveem a criação de um diretório setorial para identificar os responsáveis pelo envio e o bloqueio de SMS enviados por códigos não cadastradas. As medidas deverão ser implementadas em até 90 dias, prazo que poderá ser reduzido ou prorrogado em situações específicas.

As regras constam em decreto publicado no Diário Oficial da União (DOU) desta quarta-feira (dia4). Segundo a Anatel, as medidas foram adotadas diante do crescimento das fraudes digitais, “impulsionado pela expansão de serviços digitais e alta adesão pela sociedade”.

As novas exigências se aplicam ao SMS na modalidade A2P (Application-to-Person), utilizada por empresas para enviar mensagens automatizadas aos usuários. Nesse modelo, o remetente é identificado por um código curto, geralmente composto por poucos dígitos, como “29222”, em vez de um número de celular convencional.

O decreto estabelece as seguintes obrigações para as prestadoras de serviços móveis:

Em até 90 dias:

• Implementar um diretório setorial de códigos curtos, com informações que permitam identificar as empresas responsáveis pelas mensagens e consulta pública.
• Restringir o envio de SMS a pessoas jurídicas devidamente identificadas no diretório centralizado.
• Impedir a entrega de mensagens enviadas por códigos curtos que não estejam cadastrados no diretório. O prazo para cumprimento dessa obrigação poderá ser prorrogado por mais 30 dias.

Em até 60 dias, prorrogáveis por igual período:

• Garantir que cada código curto seja destinado exclusivamente a uma única pessoa jurídica.
• Aprovar e implementar uma Política Interna de Segurança para SMS, com mecanismos de identificação, monitoramento, detecção e prevenção de fraudes, além de procedimentos para o tratamento de incidentes.
• Apresentar à Anatel informações sobre as medidas adotadas para impedir o uso de canais não confiáveis.
• Estabelecer um canal de comunicação setorial para compartilhar alertas, informações sobre incidentes e recomendações de segurança relacionadas ao envio de SMS.
• Implementar mecanismos automatizados de monitoramento do tráfego de mensagens, capazes de identificar padrões anômalos, campanhas fraudulentas, credenciais comprometidas, uso abusivo da infraestrutura de telecomunicações, falsificação de identidade e outros eventos que possam comprometer a segurança das comunicações.

Outras medidas

O decreto estabelece responsabilidades para além das prestadoras de serviços móveis e que incluem os demais agentes que participam da cadeia de envio das mensagens. Para essas obrigações, o prazo para o cumprimento é de 90 dias.

No caso de originadores, agregadores e integradores que utilizem códigos curtos, deverão manter atualizadas as informações necessárias à identificação das empresas no diretório setorial. Terão ainda que adotar procedimentos de verificação de identidade dos contratantes e dos responsáveis pela origem das campanhas, preservar registros necessários a identificação do originador e à apuração de incidentes e fraudes, além de cooperar com a identificação e a interrupção de campanhas com indícios de fraude, quando solicitados.

Já os responsáveis por aplicações e plataformas digitais utilizadas em processos de autenticação de usuários, recuperação de credenciais, confirmação de identidade e autorização de transações deverão adotar medidas para garantir a identificação e a autenticidade dos remetentes, preservar a integridade e a rastreabilidade das comunicações usadas nos processos de autenticação e verificação de identidade.

As plataformas também terão que implementar mecanismos de prevenção, detecção e combate a fraudes, além de assegurar a proteção dos usuários e a segurança dos processos de autenticação.

A Superintendência Executiva da Anatel, por sua vez, deverá acompanhar a implementação das medidas. Também ficará encarregada de identificar riscos e de avaliar a eficácia dos mecanismos de segurança e monitoramento adotados. Em até 180 dias, deverá apresentar ao Conselho Diretor um relatório com os resultados desse trabalho e, se necessário, propostas de encaminhamento às autoridades competentes.