O número virou a fechadura mestra

Há vinte anos, o número de telefone era um detalhe de contato. Hoje é a chave que abre quase tudo: recuperação de e-mail, redefinição de senha, confirmação de saque na corretora, aprovação de transferência bancária. Ao adotar o SMS como “segundo fator”, empresas do mundo inteiro fizeram uma aposta silenciosa — a de que ninguém conseguiria assumir o controle do seu número sem o seu consentimento. O SIM swap é exatamente a demonstração de que essa aposta estava errada.

O mecanismo é quase decepcionante de tão humano. O golpista não quebra criptografia nem invade a torre de celular. Ele liga para a operadora — ou suborna um funcionário, ou usa dados vazados e engenharia social — e pede a portabilidade do seu número para um novo chip, em posse dele. No instante em que a operadora obedece, o seu telefone perde o sinal e o do criminoso passa a receber todas as suas mensagens, inclusive os códigos de verificação. A partir daí, ele não precisa da sua senha: ele pede uma nova.

Por que o SMS é o elo mais fraco da corrente

O problema do SMS não é um bug que se conserta — é a sua própria natureza. A rede de telefonia foi projetada nos anos 1970 e 1980 para ser interoperável e conveniente, não para ser um cofre. O protocolo que roteia mensagens entre operadoras (o venerável SS7) confia em quem está do outro lado da conexão. Um código de seis dígitos que trafega por essa rede pode ser interceptado, redirecionado ou simplesmente recebido no chip errado depois de um SIM swap.

Há ainda um problema conceitual mais profundo. Um bom segundo fator deve provar que você possui algo que só você tem. O SMS tenta fazer isso amarrando a posse a um número — mas o número não é seu no sentido físico: é um registro numa base de dados que a operadora pode reescrever a qualquer momento, muitas vezes com um atendente de telemarketing como único guardião. Você delegou a chave do seu reino a um terceiro cuja segurança você não controla.

A hierarquia da autenticação, do frágil ao sólido

Existe uma escada de segurança, e vale conhecer cada degrau. No mais baixo está a senha sozinha — reutilizada, vazada, adivinhável. Um degrau acima, o SMS, que já detalhamos. Acima dele, o TOTP (Time-based One-Time Password): aqueles códigos que giram a cada 30 segundos em apps como Google Authenticator, Authy ou Aegis. O segredo que gera o código vive apenas no seu aparelho; não trafega por rede nenhuma, então não há número para sequestrar.

No topo estão duas tecnologias que nascem imunes a phishing por desenho. As chaves físicas (padrão FIDO2, como YubiKey) são dispositivos que assinam criptograficamente o login e só funcionam no site verdadeiro — se você cair num clone, a chave simplesmente se recusa a responder. E as passkeys, que levam essa mesma criptografia de chave pública para dentro do celular ou do computador, dispensando senha e SMS de uma vez. O ganho é duplo: mais seguro e, ironicamente, mais cômodo.

O golpe que o 2FA não resolve

Vale uma ressalva honesta, para não vender uma falsa sensação de invulnerabilidade. Boa parte do dinheiro roubado no universo cripto em 2026 não passa por sequestro de senha nem de SMS. Os chamados wallet drainers — kits de golpe como o Inferno e o Pink, que somam centenas de milhões em prejuízo — funcionam por assinatura: eles induzem você a aprovar uma transação ou uma permissão (uma “approval” ou uma assinatura “Permit”) num site falso. Você mesmo autoriza o roubo, com a sua carteira, sem que nenhuma senha vaze.

A lição é que autenticação forte protege o acesso, mas não protege contra a sua própria assinatura dada em erro. As duas defesas moram em camadas diferentes: TOTP e passkey blindam o login da corretora; ler cada pedido de assinatura da carteira, desconfiar de urgência e verificar o endereço do site blindam a carteira autocustodiada. Segurança digital não é um cadeado, é uma corrente — e ela arrebenta no elo mais fraco, seja ele o chip do telefone ou o clique apressado.

A soberania cobra o seu preço

Há algo filosoficamente instrutivo no SIM swap. A promessa da autocustódia e da vida digital soberana é a de que você não precisa confiar em intermediários. Mas o SMS revela uma dependência escondida: você havia terceirizado, sem perceber, a guarda da sua identidade a uma operadora de telefonia. A liberdade de ser o próprio banco vem acompanhada de uma obrigação que não se delega — a de efetivamente ser o próprio banco, com o rigor que isso exige. Autonomia sem responsabilidade correspondente é apenas exposição.

Trocar o SMS por TOTP ou passkey é, nesse sentido, mais do que um ajuste técnico: é assumir de fato o controle que se dizia querer. A conveniência de receber um código por mensagem foi, por anos, o pequeno luxo que nos custou caro. A boa notícia é que as alternativas mais seguras hoje também são as mais práticas — raro alinhamento em que fazer a coisa certa deixou de ser sacrifício.

Fontes de dados: FBI IC3, Efani (estatísticas de SIM swap 2024–2026), DeepStrike (relatório de wallet drainers 2025–2026). Números de 2026, sujeitos a variação.