A troca de SIM agora é iniciada na conta da sua operadora, e não em uma loja

O celular não apresenta sinal. Nenhuma barra de sinal, nem chamadas de emergência, nada. Vinte minutos depois, chega um e-mail informando que alguém acessou sua caixa de entrada, e que o código de confirmação foi enviado para um número que era o seu há pouco tempo. É assim que a Polícia Criminal Estadual da Baixa Saxônia descreve o desfecho, e os investigadores classificam o sequestro de um celular e de uma conta de e-mail como perda total. Em um caso de que têm conhecimento, a caixa de entrada sequestrada revelou que a vítima possuía criptomoedas, e o dinheiro desapareceu em seguida.

O cenário comum de troca de SIM é o seguinte: alguém falsifica um documento de identidade, entra em uma loja e recebe um cartão de substituição. Isso acontece, mas o método sobre o qual os investigadores alertam não requer nenhuma loja nem documentação.

Três etapas, e nenhuma delas requer um documento de identidade

O ponto de entrada é a sua conta online na operadora, e os invasores chegam até ela apenas com o número de telefone. Algumas operadoras permitem que você faça login nessa conta com um código único em vez de uma senha, e qualquer pessoa que conheça o número pode solicitá-lo. É esse código que os invasores obtêm de você.

Então, eles ligam e se passam por um entregador. Dizem que um pacote está a caminho e que, por motivos de segurança, ele só poderá ser entregue se o(a) senhor(a) ler em voz alta um código recebido por mensagem de texto. A mensagem realmente chega, só que vem da operadora e não do entregador — o que é fácil de não perceber naquele momento. Ao ler o código em voz alta, sua conta é desbloqueada.

Dentro da conta, eles solicitam um eSIM para o contrato em vigor. Nenhum cartão físico precisa ser enviado para lugar algum; o perfil é um arquivo e fica ativo em questão de minutos. Assim que ele é ativado no aparelho do invasor, o cartão no celular da vítima geralmente se desativa sozinho.

A partir daí, todo texto chega ao outro dispositivo e, como a maioria dos serviços online permite que você redefina uma senha por e-mail ou mensagem de texto, o resto vem por consequência. Analisamos a rapidez com que um número se torna uma chave-mestra usando o exemplo de números de telefone antigos.

Não é possível ativar um bloqueio contra a portabilidade

Nesse ponto, a ideia óbvia é proteger seu próprio número. Nos EUA, isso é possível. A Verizon chama o bloqueio contra portabilidade de “Number Lock”, a T-Mobile oferece-o como “Port Out Protection”, e a AT&T agrupa vários bloqueios no “Wireless Account Lock”, disponível apenas em seu próprio aplicativo.

Na Alemanha, não existe um bloqueio voltado especificamente para a portabilidade e a troca de SIM, e há um motivo para isso. A portabilidade numérica, aqui, é um direito legal previsto no artigo 59 da Lei de Telecomunicações e, desde 1º de dezembro de 2021, as operadoras não podem cobrar por ela. Um bloqueio permanente que o próprio cliente aciona sozinho contrasta de forma incômoda com um direito que o legislador pretendia que fosse fácil de exercer. O que as operadoras alemãs oferecem, em vez disso, é uma senha para a linha de atendimento e a opção de bloquear um cartão SIM após seu extravio. Ambas entram em vigor somente após a ocorrência de algum evento.

O mecanismo de proteção que de fato existe está localizado na conta

O ataque começa na conta on-line; portanto, é lá que a defesa se decide. Todas as três principais operadoras agora dispõem de uma autenticação de dois fatores para o login, mas as diferenças são importantes neste contexto.

Na Telekom, o recurso é chamado de “Mehr-Faktor-Authentifizierung” e só entra em vigor depois que o próprio usuário o configura. O usuário escolhe o método — aplicativo ou SMS — e, além disso, o momento em que será utilizado: a cada login ou apenas em ações importantes. A Vodafone recomenda gerar códigos de segurança imediatamente ao ativar o recurso, para que a perda do celular não resulte também na perda da conta. Na O2, a autenticação de dois fatores é obrigatória, e a verificação é feita por meio do número de cliente quando não há nenhum número da O2 nem endereço de e-mail verificado cadastrado.

Por que a autenticação de dois fatores via SMS não funciona corretamente neste caso

Agora, compare o ataque e as configurações lado a lado. O que é roubado é o número de telefone, e a segunda autenticação destinada a proteger a conta é um SMS enviado para esse mesmo número, por padrão na O2 e mediante solicitação na Telekom. Enquanto apenas a senha estiver perdida, o sistema funciona. No entanto, uma vez que o número seja comprometido, a segunda autenticação passa a proteger o invasor em vez de o senhor.

No mesmo comunicado que torna a autenticação de dois fatores obrigatória, a O2 escreve uma frase que é fácil de ignorar. Nunca forneça o código por telefone ou em um chat, diz o comunicado, pois a equipe de atendimento nunca o solicita por esses meios. É exatamente por aí que o falso entregador entra em cena.

Quem tiver escolha opta pelo aplicativo. Um código de um aplicativo autenticador permanece no dispositivo e não acompanha o número. Quem não tiver escolha transfere o risco para a conta de e-mail. Essa conta, então, precisa de uma senha forte própria e de um segundo fator que não esteja vinculado ao mesmo número novamente.

Cinco minutos para resolver isso

Faça login no portal da sua operadora e verifique se um segundo fator de autenticação está configurado. Na Telekom, você o encontra nas configurações de login; na Vodafone, em “Mein Konto” e “Login-Daten”; na O2, ele já vem ativado. Se estiver indicado “SMS” e houver um aplicativo disponível, mude para ele. Na Telekom, configure também essa verificação para cada login.

Enquanto estiver lá, verifique se a senha da conta da operadora não é usada em nenhum outro lugar. Ela é a chave para um pedido de eSIM, portanto, pertence à mesma categoria que sua senha do banco online. Em seguida, verifique qual é o fator de autenticação no celular. Na Telekom, trata-se da “Kundenkennwort”, configurada e alterada por meio do formulário de contato. A Vodafone substituiu-a no celular pelo “Service-PIN”, que você pode ver em “MeinVodafone”, mas não pode alterar — apenas solicitar um novo, que será enviado pelo correio.

E, por fim, a regra que não é uma configuração. Ninguém que ligue para o senhor precisa de um código das suas mensagens de texto. Nem o entregador, nem a equipe de atendimento, nem o banco. Quem quer que pergunte precisa do código porque está confirmando algo em seu nome neste exato momento. Desligue, disque o número oficial você mesmo e pergunte. A mesma lógica se aplica à senha para a verificação em duas etapas no WhatsApp, que vem substituindo o antigo PIN de seis dígitos desde o final de agosto.