SIM swapping: o que você deve saber para ficar protegido

Seu número de telefone é mais poderoso do que você imagina — ele é a chave para recuperar o acesso à sua conta bancária, e-mail, carteira de criptomoedas e redes sociais. Mas essa conveniência tem um lado negativo: criminosos podem roubar seu número sem sequer tocar no seu aparelho e, em seguida, invadir contas que dependem de códigos de mensagens de texto para login ou recuperação. Eles podem redefinir suas senhas, acessar suas contas e bloquear o acesso à sua própria identidade.

Essa tática, chamada de SIM swapping (troca de SIM), custou aos americanos quase US$ 49 milhões somente em 2023. Também foi revelado recentemente que um dos maiores roubos de criptomoedas da história foi realizado usando SIM swapping: US$ 400 milhões em ativos foram roubados da corretora de criptomoedas FTX.

Este guia explica o que é SIM swapping, como funciona, como identificar os sinais de alerta e, principalmente, como evitá-lo. Quer já esteja lidando com atividades suspeitas ou apenas tentando permanecer seguro, você encontrará conselhos claros e práticos para seguir em frente.

O que é cartão SIM e como funciona?

Um SIM (módulo de identidade do assinante) é um chip do tamanho de uma unha que informa à sua rede quem você é por meio do seguinte:

1. Identidade e localização: o SIM armazena sua identidade internacional de assinante móvel (IMSI) e um identificador de cartão de circuito integrado (ICCID). O IMSI identifica sua assinatura à rede, enquanto o ICCID é o ID exclusivo do cartão SIM. Juntos, esses identificadores permitem que sua rede móvel autentique e gerencie sua conexão.
2. Chaves de segurança: o SIM carrega chaves criptográficas usadas para autenticar seu dispositivo com a rede móvel antes do início de uma chamada, mensagem de texto ou sessão de dados. Essas chaves funcionam como um segredo compartilhado entre seu SIM e a rede, usado para comprovar sua identidade com segurança. Essa "troca de senhas" acontece nos bastidores sempre que seu telefone interage com a rede, para garantir que apenas dispositivos autorizados possam acessar os serviços móveis.

Sem um perfil de SIM válido, sua operadora não encaminhará chamadas, mensagens de texto ou dados. Ao transferir seu cartão SIM para um novo celular, sua identidade também o acompanha. Com os eSIMs, seu número pode ser transferido digitalmente por meio da sua operadora para um novo dispositivo sem a necessidade de um cartão SIM físico. Essa facilidade de transferência é o que torna o SIM swapping tão disruptivo.

SIM swap: o que é?

Às vezes chamado de SIM swap, SIM jacking ou SIM porting, ele ocorre quando um invasor engana ou suborna uma operadora para transferir seu número de telefone para um SIM que ele controla.

Assim que a transferência é concluída, todas as chamadas de voz e códigos de texto destinados a você são enviados para o aparelho dele. Com essas senhas de uso único, o invasor pode redefinir senhas, esvaziar carteiras ou comprar criptomoedas em seu nome.

Não é preciso muito para se tornar um alvo. Números de telefone estão vinculados a mais contas do que a maioria das pessoas imagina. Se um golpista obtiver acesso, ele não estará apenas sequestrando seu número, mas roubando sua identidade digital. Vamos explicar.

Como funciona o SIM?

Os invasores geralmente seguem um processo de quatro etapas:

1. Mineração de dados: eles vasculham postagens públicas em mídias sociais, enviam e-mails de phishing ou usam informações expostas em vazamentos de dados para coletar sua data de nascimento, endereço e respostas a perguntas comuns de segurança.
2. Contato com a operadora: usando esses dados, eles se passam por você em um chat online ou call center e afirmam o seguinte: "Meu telefone foi roubado; preciso de um SIM substituto". Enganar a operadora com sucesso neste estágio geralmente envolve ignorar os procedimentos de verificação de identidade, que podem variar de país para país, especialmente dependendo de quão rigorosas são as leis locais de registro de cartões SIM.
3. Transferência do número: se o representante aceitar a história, ele transferirá seu número de telefone para um novo perfil SIM ou eSIM, cortando o serviço do seu dispositivo. Nesse momento, todas as suas chamadas e mensagens de texto serão enviadas para o invasor.
4. Tomada de conta: se as suas contas usam autenticação de dois fatores (2FA) via mensagem de texto, os invasores podem usar esses códigos para redefinir senhas, esvaziar carteiras ou comprar criptomoedas em seu nome.

Em alguns casos mais raros, o SIM swapping é executado por um insider — um funcionário da operadora subornado para fazer a troca. Independentemente do método, o resultado é o mesmo: sua vida digital é redirecionada para o bolso de outra pessoa.

💡Dica: seja proativo. Se você estiver nos EUA, o serviço de remoção de dados da ExpressVPN, parte da suíte Identity Defender, pode ajudar a limitar a quantidade de suas informações pessoais disponíveis para corretores de dados, tornando mais difícil para os invasores coletarem informações sobre você em primeiro lugar.

Sinais de que você pode ser vítima de SIM swapping

Aqui está uma análise de como saber se você caiu no golpe do SIM swapping.

Você perde o serviço de celular repentinamente

O sinal mais imediato e óbvio é uma perda repentina do serviço de celular. Seu telefone diz "Sem serviço" ou "Apenas chamadas de emergência", mesmo que você esteja em uma área de cobertura forte e sua conta esteja paga. Se reiniciar o telefone não ajudar, isso pode ser um sinal de que seu número foi transferido para outro SIM.

Você não pode enviar ou receber mensagens de texto ou chamadas

Se o seu celular ficar sem sinal, você não poderá fazer chamadas nem enviar ou receber mensagens SMS padrão. Isso acontecerá independentemente de você estar conectado a uma rede Wi-Fi ou não, pois chamadas e mensagens dependem da sua rede móvel, que é desativada durante o SIM swapping.

Atividade suspeita em contas bancárias ou de redes sociais

Os autores do golpe de SIM swapping são rápidos. Assim que obtêm seu número, eles tentam acessar contas que dependem de códigos de segurança por SMS. Você pode receber e-mails de redefinição de senha em massa, novos logins de dispositivos ou locais desconhecidos ou um alerta financeiro sinalizando uma transferência que você não iniciou.

Você é alertado de que seu número está em um novo dispositivo

Em alguns países, as operadoras de celular agora enviam alertas como "Troca de SIM pendente" ou um SMS confirmando que seu número de telefone foi ativado em um novo dispositivo. Se você receber esse tipo de notificação e não tiver solicitado a troca, seu número pode estar sob ataque. Lembre-se: nunca aprove uma solicitação que você não iniciou.

O que fazer se o seu SIM for trocado

A velocidade é a sua melhor defesa. Assim que notar perda de sinal ou atividade desconhecida, siga os passos abaixo e anote tudo:

1. Ligue para sua operadora de celular

Use um telefone diferente para entrar em contato com o suporte e relatar a suspeita de troca de SIM. Peça ao representante para suspender o novo SIM e restaurar seu número para um perfil de SIM ou eSIM sob seu controle. Anote a data, a hora e o nome do atendente.

2. Bloqueie seu dinheiro

Em seguida, ligue para o seu banco ou emissor do cartão. Explique a troca de SIM, congele as transações e revise as atividades recentes enquanto um agente de suporte estiver na linha. Se você identificar transferências não autorizadas, inicie o processo de contestação imediatamente. Mantenha alertas de gastos em tempo real ativos para que novas cobranças não passem despercebidas.

💡Dica: usuários nos EUA também podem usar o serviço de proteção de identidade da ExpressVPN, Identity Defender com Scanner de Crédito, que pode monitorar de perto seus relatórios de crédito em busca de quaisquer novas contas ou atividades suspeitas.

3. Redefina as senhas e troque o 2FA baseado em SMS por um app

Comece com sua conta de e-mail principal, depois passe para serviços bancários, redes sociais e quaisquer serviços em nuvem. Altere todas as senhas e substitua os códigos SMS por um app autenticador, como o Google Authenticator, que o invasor não consiga interceptar. Quando a operadora restaurar sua linha, reative a autenticação em dois fatores usando o novo método para fechar a lacuna definitivamente.

4. Denuncie o crime

Registre um boletim de ocorrência na unidade nacional de crimes cibernéticos. Compartilhe os números de referência com seu banco e operadora — a documentação oficial geralmente agiliza os reembolsos e as investigações internas.

5. Acompanhe cada um dos seus passos

Anote cada chamada, número do ticket e ação prometida e faça o acompanhamento em até 24 horas para confirmar o progresso. Um cronograma claro ajuda a resolver divergências posteriormente e reforça que você está acompanhando ativamente o problema.

Como evitar o SIM swapping

Não vincule seu número de telefone a contas online

Evite usar seu número de telefone como método de login ou recuperação sempre que possível. Em vez disso, use um endereço de e-mail ou um app autenticador para acessar e recuperar sua conta. Isso reduz o risco de você ser vítima de sequestro de número de telefone. Mas lembre-se: contas de e-mail também podem ser comprometidas (e também são alvos frequentes de hackers), então, das duas opções, um app autenticador é a escolha mais segura.

Use autenticação multifator

Além de depender apenas de uma senha, a autenticação multifator (MFA) adiciona camadas extras de segurança às suas contas:

• Apps autenticadores: geram códigos no seu dispositivo, não por meio de mensagens de texto, tornando-os imunes a ataques de SIM swapping. Isso significa que, mesmo que alguém obtenha o controle do seu número, não poderá acessar seus códigos de 2FA. Apps como Google Authenticator, Authy ou Microsoft Authenticator são boas opções.
• Biometria: muitos dispositivos e apps agora oferecem autenticação biométrica, como impressão digital ou identificação facial, o que adiciona uma forte camada de segurança no nível do dispositivo, impedindo o acesso a determinados aplicativos ou ações, mesmo que alguém tenha acesso ao seu número de telefone.
• Chaves de segurança físicas: tokens de hardware como YubiKeys oferecem uma forma altamente segura de autenticação. Eles geralmente exigem interação física e utilizam chaves criptográficas, o que os torna muito difíceis de comprometer. São especialmente úteis para proteger contas de e-mail e financeiras.

Peça à sua operadora um PIN ou bloqueio de conta

A maioria das operadoras permite que você defina um PIN ou uma pergunta de segurança específica para sua conta. Isso dificulta que invasores se passem por você.

Algumas também oferecem recursos de bloqueio de número ou bloqueio de conta, os quais adicionam uma etapa de verificação extra antes que seu número possa ser transferido para outro SIM.

Outros oferecem verificação por meio de retorno de chamada, em que ligam para seu número registrado a fim de confirmar qualquer alteração na conta. Se ativada, essa etapa extra pode interromper uma troca de SIM em andamento.

Configure alertas em suas contas

Muitos bancos e serviços online permitem que você ative alertas para tentativas de login, alterações de senha ou saques. Eles podem avisá-lo antecipadamente se algo estiver errado.

Faça a auditoria periódica de suas contas mais sensíveis

Verifique as configurações de segurança das suas contas financeiras, de e-mail e de redes sociais. Procure por sinais de acesso não autorizado, atualize seus métodos de recuperação e revise quais contas dependem do seu número de telefone para logins ou recuperação.

Siga as regras básicas de segurança online

Por fim, hábitos inteligentes online podem ajudá-lo a encerrar a maioria das tentativas de SIM swapping antes que elas comecem.

• Pause antes de clicar: ignore links e anexos em mensagens inesperadas, mesmo que pareçam familiares. Isso evita que golpistas de phishing roubem as pistas pessoais que usam para se passar por você em uma solicitação de troca.
• Mantenha seus dados fora do alcance: não publique ou compartilhe seu número de telefone, endereço ou números de identidade em sites públicos. Menos informações expostas significam que os fraudadores têm menos respostas para passar na verificação de segurança da operadora.
• Verifique os autores de cada chamada: se alguém alegar ser da sua operadora, desligue e ligue para o suporte oficial da sua operadora. Ligar de volta para um número verificado impede que engenheiros sociais sequestrem seu serviço em tempo real.
• Nunca compartilhe credenciais de contas: seu provedor não solicitará senhas, PINs ou dados bancários por telefone, e-mail ou mensagem de texto. Proteger esses códigos impede que invasores consigam os dados necessários para migrar seu número.
• Sempre use senhas únicas: ao usar logins distintos para cada serviço online, incluindo sua conta de operadora, você limita significativamente os danos de uma violação de dados. Se um site for comprometido, os criminosos não obterão acesso automático às suas outras contas confidenciais. Um gerenciador de senhas como o ExpressVPN Keys ajuda a criar e armazenar senhas fortes sem reutilizá-las.
• Ignore o preenchimento automático em apps: evite usar recursos de preenchimento automático integrados em navegadores e apps, pois eles podem ser menos seguros do que usar um gerenciador de senhas dedicado. Se o seu telefone for perdido ou comprometido por malware, os dados de preenchimento automático salvos podem conceder acesso fácil a invasores.

Exemplos reais de golpes de SIM swapping (e o que realmente está em jogo)

O SIM swapping não é apenas um problema técnico, mas pessoal. Para muitas vítimas, tudo começa com uma pequena perturbação e se transforma em dinheiro roubado, reputações danificadas e anos de recuperação.

Considere o caso de Jack Dorsey, antigo CEO do Twitter. Em 2019, invasores usaram SIM swapping para assumir o controle sobre seu número de telefone. Em poucos minutos, eles usaram um serviço de conversão de texto em publicação para publicar tweets ofensivos a partir da conta dele. A violação não durou muito, mas virou manchete global e expôs o quão vulneráveis ​​até mesmo líderes de tecnologia podem ser.

Ou considere Michael Terpin, investidor de criptomoedas que perdeu mais de US$ 20 milhões depois que seu número de telefone foi sequestrado. O invasor contornou as proteções da conta, obteve acesso à sua carteira digital e a esvaziou. Terpin posteriormente processou sua operadora de celular, argumentando que controles internos fracos abriram caminho para o roubo.

Esses não são casos isolados. O SIM swapping tem sido associado a ataques generalizados contra pessoas que vão desde celebridades famosas até usuários comuns. Veja o que os invasores podem fazer:

• Roubo de identidade: assim que alguém assume o controle do seu número, ele pode se passar por você online, assumir o controle do seu e-mail, fazer login no seu banco e redefinir senhas. Ele também pode usar dados pessoais das suas contas para solicitar empréstimos ou linhas de crédito em seu nome.
• Perdas financeiras: um número roubado pode levar ao esvaziamento de contas bancárias, compras não autorizadas com cartão de crédito e até mesmo roubo de criptomoedas. Se as suas contas financeiras dependem de autenticação de dois fatores por meio de SMS, uma troca de SIM oferece aos golpistas exatamente o que eles precisam para acessá-las.
• Invasão de privacidade: um SIM swapping bem-sucedido pode expor suas mensagens de texto, fotos salvas em aplicativos de mensagens vinculados à nuvem e sua lista de contatos. O invasor pode usar seu número para enviar mensagens a amigos, solicitar códigos de acesso ou vasculhar conversas pessoais sem o seu conhecimento.
• Danos à reputação: alguém usando seu número pode postar em suas redes sociais, se passar por você em mensagens ou aplicar golpes em seus contatos. Dependendo da situação, isso pode prejudicar relacionamentos ou afetar sua carreira.

Conclusão: como se manter à frente dos golpes em dispositivos móveis

Um número de telefone roubado não é apenas um incômodo, mas uma ameaça à sua vida digital. De serviços bancários a e-mails e redes sociais, seu número pode desbloquear quase tudo. É por isso que se proteger é vital.

Use apps de autenticação, configure PINs de conta, evite usar seu número para logins e fique atento a atividades suspeitas. A prevenção leva alguns minutos. A recuperação de um roubo de identidade pode levar anos.

Embora uma VPN não impeça o SIM swapping, elas ainda são uma maneira inteligente de proteger sua atividade online, especialmente em redes Wi-Fi públicas. A ExpressVPN criptografa seu tráfego, adicionando uma forte camada de privacidade para que seus dados permaneçam seguros enquanto você estiver conectado.