Durante mais de uma década, a regra convencional em segurança cibernética afirmava: "Qualquer 2FA é melhor do que nenhum 2FA." Embora isso ainda seja verdade para bloquear ataques genéricos automatizados de credential stuffing, a autenticação em dois fatores baseada em SMS tornou-se um ponto único de falha catastrófico. Com vazamentos massivos de dados cadastrais (CPF, RG, endereço), conluio em lojas de operadoras de telefonia e ferramentas automatizadas de phishing Adversary-in-the-Middle (AiTM) como o Evilginx, o SMS 2FA oferece apenas uma perigosa ilusão de segurança. Este relatório técnico disseca as vulnerabilidades do SMS e orienta a migração imediata para TOTP e chaves FIDO2.
01. A Ilusão de Segurança do SMS & Histórico Tecnológico
Nos anos 2000, o código de confirmação por SMS tornou-se o padrão mais difundido na internet pela facilidade de adoção: os usuários não precisavam instalar nenhum aplicativo extra nem comprar chaves físicas. Bastava ter um celular básico para receber um código numérico de 4 a 6 dígitos diretamente no bolso.
Contudo, o protocolo Short Message Service (SMS) foi padronizado na década de 1980 pela European Telecommunications Standards Institute (ETSI) para a rede GSM. Ele jamais foi concebido para transportar segredos criptográficos ou servir como protocolo de verificação de identidade. Mensagens SMS não possuem criptografia ponta a ponta, não possuem autenticação de remetente e carecem de qualquer vínculo criptográfico com a sessão ativa no navegador da vítima.
As operadoras de telefonia roteiam mensagens de texto com base no IMSI (Identidade Internacional de Assinante Móvel) atualmente registrado na torre celular mais próxima — e não com base na identidade do ser humano que segura o telefone. Ao depender de SMS 2FA, sua segurança digital não é protegida por criptografia, mas sim pelo atendente menos remunerado de uma loja de shopping da operadora.
02. Vetor de Ataque 1: Como Funciona o Golpe do SIM Swap
O SIM Swapping (ou clonagem de chip por engenharia social) é a arma favorita de quadrilhas especializadas contra investidores de criptomoedas, executivos corporativos e administradores de sistemas. O atacante não necessita de acesso físico ao smartphone da vítima.
O Ciclo de Vida do Ataque de SIM Swap:
Os atacantes adquirem dados cadastrais em fóruns clandestinos e vazamentos de crédito para levantar CPF, nome completo, data de nascimento, filiação, endereço e operadora da vítima.
O criminoso liga para a central de atendimento ou comparece a uma revenda fingindo ser a vítima com um chip quebrado, respondendo com facilidade às perguntas de segurança cadastrais. Em esquemas mais sofisticados, funcionários de revendas são subornados para executar transferências de chip sem questionar.
A operadora transfere a linha telefônica para o novo chip virgem do criminoso. O celular da vítima perde instantaneamente o sinal, exibindo "Sem Serviço" ou "Apenas Chamadas de Emergência". A maioria das vítimas supõe tratar-se de oscilação passageira de sinal, perdendo a janela crítica de reação.
De posse do número de telefone, os invasores acionam redefinições de senha no Gmail, Outlook, Telegram, WhatsApp, Binance e bancos. Cada SMS de recuperação chega diretamente ao aparelho dos criminosos, entregando controle imediato sobre as contas.
- Jack Dorsey (CEO do Twitter): Em agosto de 2019, invasores executaram um SIM swap contra o chip da AT&T de Jack Dorsey, usando o número para publicar mensagens criminosas através do antigo gateway de SMS do Twitter (Cloudhopper).
- Conta Oficial da SEC Americana no X (2024): Criminosos realizaram um SIM swap não autorizado no celular de recuperação da conta da SEC, publicando um falso anúncio de aprovação de ETFs de Bitcoin que desencadeou centenas de milhões de dólares em liquidações no mercado global.
03. Vetor de Ataque 2: Vulnerabilidades no Protocolo SS7
Enquanto o golpe do SIM Swap explora falhas no fator humano, as vulnerabilidades no Signaling System No. 7 (SS7) aproveitam falhas de segurança estruturais no roteamento das telecomunicações globais.
Concebido em 1975, o SS7 gerencia o estabelecimento de chamadas, tradução de números, entrega de mensagens SMS e roaming internacional entre centenas de operadoras. Fundamentalmente, o SS7 opera sob um modelo de confiança cega: assume-se que qualquer operadora conectada à rede SS7 é legítima e bem-intencionada.
Isso permite que agências de espionagem ou organizações criminosas interceptem tokens bancários e códigos de corretoras de outros países sem que a vítima perceba qualquer anomalia. Mesmo com a transição para redes 4G/5G com protocolo Diameter, a compatibilidade legada com o SS7 mantém essa porta aberta.
04. Vetor de Ataque 3: Phishing AiTM em Tempo Real (Evilginx)
Muitos usuários acreditam: "Se meu chip não for clonado, meu SMS está seguro." Essa suposição desmorona diante de ferramentas modernas de Proxy Reverso Adversary-in-the-Middle (AiTM), como Evilginx 3.0, Modlishka e Muraena.
O phishing tradicional criava páginas estáticas clonadas. Os proxies reversos modernos atuam como intermediários transparentes em tempo real:
Roubava senhas estáticas. Falha diante de 2FA porque os atacantes não conseguiam reaproveitar códigos OTP com validade curta em formulários manuais.
Repassa tráfego em tempo real entre a vítima e o servidor oficial. Quando o usuário digita o código SMS, o proxy o envia imediatamente, autentica a sessão e furta os cookies de sessão e tokens OAuth autenticados.
login.exemplo.com ou em login.exemp1o.com. Em contraste, autenticadores FIDO2/WebAuthn vinculam a assinatura de chave pública à URL de origem no navegador, impedindo o golpe instantaneamente.
05. Vetor de Ataque 4: IMSI Catchers & Malwares para Celular
Nas camadas de radiofrequência e sistema operacional local, o SMS sofre ainda mais vulnerabilidades graves:
-
●
IMSI Catchers (Stingrays) & Downgrade para 2G: Torres falsas de celular portáteis emitem sinais com alta potência forçando aparelhos próximos a se desconectarem do 4G/5G e caírem no 2G (GSM). Como o GSM não autentica a torre para o aparelho, os criminosos quebram a criptografia fraca A5/1 e interceptam chamadas e SMS em texto claro pelo ar.
-
●
Trojans Android com Leitura de SMS: Aplicativos utilitários maliciosos ou APKs instalados fora da loja oficial solicitam permissões como
RECEIVE_SMSou acesso às notificações do sistema. Em segundo plano, transmitem imediatamente os códigos de confirmação recebidos para bots de Telegram ou servidores de comando e controle.
06. Diretrizes de Descontinuação do NIST SP 800-63B
Reconhecendo esses vetores críticos, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) restringiu o uso de SMS em seu padrão global de gestão de identidades, o Special Publication 800-63B (Digital Identity Guidelines):
"A autenticação fora de banda utilizando sistemas de telefonia pública PSTN (SMS ou chamadas de voz) é formalmente classificada como RESTRITA. Sistemas que implementem verificação por SMS devem documentar e assumir expressamente os riscos existenciais de SIM swap, spoofing de número, interceptação de sinalização e clonagem. Para organizações sujeitas ao nível AAL2 ou superior, o uso de autenticadores criptográficos (aplicativos TOTP ou chaves FIDO) é obrigatório."
Agências de cibersegurança europeias (ENISA) e a CISA americana reiteram essa diretriz, instruindo governos e empresas a removerem o SMS de infraestruturas críticas.
07. Comparativo Arquitetural: SMS vs TOTP vs Chaves FIDO2
Por que as Senhas Descartáveis Baseadas em Tempo (RFC 6238 TOTP) são superiores ao SMS? A matriz comparativa abaixo resume as diferenças de segurança fundamentais:
| Critério de Segurança | Verificação por SMS | Autenticador TOTP (RFC 6238) | Chave FIDO2 / YubiKey |
|---|---|---|---|
| Canal de Entrega | Rede de Telecomunicações Celular | Cálculo Matemático 100% no Dispositivo | Chip Físico de Elemento Seguro |
| Resistência a SIM Swap | Nula (Interceptado Imediatamente) | Imune (Totalmente Independente de Número) | Imune (Isolado no Hardware) |
| Interceptação SS7 | Vulnerável | Imune (Zero Pacotes de Rede) | Imune (Sem Tráfego Externo) |
| IMSI Catcher / Queda para 2G | Vulnerável | Imune | Imune |
| Proxy Reverso AiTM (Evilginx) | Contornado com Facilidade | Moderada (Requer Atenção à URL) | Perfeita (Vinculação de Origem) |
| Modo Avião / Uso Offline | Inviável | Totalmente Funcional | Totalmente Funcional |
| Custo de Implementação | Tarifa por SMS enviado | Padrão Gratuito e Aberto | Dispositivo Físico (R$ 300 - R$ 500) |
08. Roteiro Prático de Migração e Defesa Ativa
Não espere o sinal do seu celular desaparecer misteriosamente para resolver essa vulnerabilidade. Execute estas ações hoje mesmo:
Acesse Google, Apple ID, GitHub, Binance e seus e-mails principais. Configure um aplicativo autenticador (como Aegis, 2FAS ou Bitwarden) ou chave de segurança física. Onde permitido, desative expressamente o SMS como método de recuperação secundário.
Ligue para sua operadora e ative senhas verbais ou travas de portabilidade para impedir alterações de chip sem autenticação presencial. No aparelho, ative o PIN do chip SIM nas configurações do Android/iOS para bloquear o chip físico caso o aparelho seja furtado.
Ao configurar o autenticador, guarde a semente secreta Base32 de 16 a 32 caracteres e os 10 códigos de recuperação descartáveis em papel ou cofre de senhas offline criptografado.
09. Perguntas Frequentes (FAQ)
P1: O 2FA via SMS ainda não é melhor do que não ter segundo fator nenhum? ▼
Para conter robôs automatizados em larga escala testando senhas vazadas simples, o SMS oferece uma barreira básica. No entanto, o paradoxo do SMS 2FA é que a maioria das plataformas trata o número de telefone como uma chave-mestra irrestrita de recuperação. Se um atacante clonar o seu chip via SIM Swap, o SMS deixa de ser uma defesa e torna-se a arma perfeita para redefinir todas as suas senhas.
P2: Usar um chip virtual eSIM me protege contra o golpe do SIM Swap? ▼
Não. O eSIM protege contra o furto físico do chip plástico, mas não impede a engenharia social contra as operadoras. Se os invasores enganarem o atendente da operadora ou subornarem funcionários, eles recebem um QR Code de ativação do eSIM e baixam o seu número de telefone diretamente para o aparelho deles pela internet em segundos.
P3: Por que grandes bancos tradicionais ainda exigem verificação por SMS? ▼
Principalmente por inércia demográfica e para evitar sobrecarga no suporte técnico. Exigir que dezenas de milhões de correntistas leigos instalem autenticadores geraria filas intermináveis de atendimento. Os bancos optam por absorver financeiramente centenas de milhões de reais em fraudes anuais e utilizam heurísticas de risco invisíveis nos bastidores (como consultar operadoras para saber se o chip foi trocado nas últimas 24 horas).
P4: O que devo fazer imediatamente se o meu celular exibir "Sem Serviço"? ▼
Trate isso como um incidente crítico de segurança. Conecte-se imediatamente a uma rede Wi-Fi, ligue para a sua operadora a partir de um telefone fixo ou de terceiros e confirme se a linha foi transferida para outro chip. Simultaneamente, acerte o congelamento de contas em corretoras de criptomoedas e altere as senhas dos seus e-mails principais a partir do computador.
P5: Um atacante que clonar o meu chip consegue acessar o meu aplicativo autenticador TOTP? ▼
Não. Os aplicativos autenticadores TOTP calculam os códigos localmente usando uma chave secreta armazenada no chip de segurança isolado do hardware do aparelho (Secure Enclave ou Keystore). A rede celular não possui nenhum acesso a essa chave. Mesmo que o invasor controle o seu número de telefone completamente, ele não consegue gerar os seus códigos TOTP.
Gere Códigos TOTP Seguros Diretamente no Seu Navegador
Livre-se dos riscos de interceptação celular. O 2FA-Tool utiliza a API W3C Web Crypto para calcular códigos RFC 6238 puramente dentro do sandbox local do seu navegador, mantendo suas chaves privadas e offline.