Seu número de telefone antigo ainda permite acessar suas contas

Quando o senhor muda de operadora, normalmente leva seu número consigo. A situação fica interessante quando isso não acontece. Um novo contrato com um novo número, um segundo chip cancelado, um cartão pré-pago que acabou. O número antigo não desapareceu. Ele volta para a operadora e, mais cedo ou mais tarde, é atribuído a outra pessoa. Enquanto isso, ele ainda permanece na sua conta do Google, no PayPal e no seu banco como meio de acesso.

Na Alemanha, o número volta imediatamente

Aqui não há período de proteção legal. A lei alemã de numeração, a Telekommunikations-Nummerierungsverordnung, aborda o caso no parágrafo 9, subseção 3, e diz o seguinte: “Um número atribuído derivado reverte para o cessionário original após a rescisão do contrato de prestação do serviço de telecomunicações ao qual o número foi atribuído.” Atribuição derivada significa que sua operadora lhe concedeu o número a partir de seu próprio bloco. O cessionário original é a operadora. Terminado o contrato, o número volta. Não há nada ali sobre um período de espera.

Por quanto tempo uma operadora espera voluntariamente é decisão dela. A Deutsche Telekom descreve o problema em seu próprio fórum de ajuda com notável franqueza. O bloqueio pode “durar entre 1 e 6 meses, dependendo da operadora”, afirma-se ali, e ainda: “Assim que esse número for liberado novamente, ele é atribuído a alguém novo, que poderia, assim, obter acesso indireto a muitos dos seus dados e contas.” Alguns parágrafos adiante, a postagem entra em detalhes. O WhatsApp exclui contas inativas após 45 dias, observa-se, mas isso ajuda pouco “se números de celular antigos forem, em alguns casos, liberados novamente após 30 dias”.

A comparação com os EUA é incômoda. Lá, o órgão regulador, a FCC, estabelece um período mínimo de 45 dias, com limite máximo de 90 dias para contas de consumidores. A Alemanha não possui nenhuma regulamentação nesse sentido até o momento.

Não se trata de uma questão de escassez. Em sua visão geral dos blocos de números disponíveis, a Bundesnetzagentur, o órgão regulador alemão de telecomunicações, lista cerca de 430 blocos de um milhão de números de celular cada. No final de 2025, de acordo com seu relatório anual, 106,4 milhões de perfis de SIM estavam em uso ativo. Quem reatribui um número faz-o por motivos operacionais, não por necessidade.

O que foi medido nos EUA

Até o momento, os números concretos provêm de um único estudo, e este é americano. Kevin Lee e Arvind Narayanan, da Universidade de Princeton, adquiriram 259 números disponíveis gratuitamente da Verizon e da T-Mobile em agosto e setembro de 2020 e verificaram quais informações ainda estavam associadas a eles.

Em 171 deles, 66%, pelo menos uma conta do proprietário anterior ainda existia na Amazon, na AOL, no Facebook, no Google, no PayPal ou no Yahoo. Em uma segunda análise, os pesquisadores selecionaram mais de 200 números reciclados e monitoraram cada um deles por uma semana. Dezenove números, pouco menos de 10%, receberam mensagens relevantes para a segurança nessa única semana. Seis deles continham códigos de uso único, entre outros, da Apple, Google, Microsoft, Facebook e WhatsApp.

Há duas ressalvas a serem consideradas. A pesquisa data de seis anos atrás e abrange duas operadoras dos EUA. Não há equivalente alemão, nem do BSI, nem de uma universidade, nem de uma associação de consumidores. Por outro lado, os pesquisadores deliberadamente não leram o conteúdo das mensagens por respeito às pessoas afetadas, limitando-se a verificar os remetentes, e eles próprios afirmam que a proporção real provavelmente é maior.

A verificação de portabilidade analisa apenas o que está presente em cada violação de dados

O segundo caminho para o seu número não passa pela espera, mas pela operadora. Na troca de SIM, alguém se faz passar por você e transfere seu número para um novo cartão.

Como essa verificação é feita é descrito pela Bundesnetzagentur, a agência reguladora de telecomunicações alemã, em seu próprio portal do consumidor. Os clientes devem certificar-se de que “seus dados de cliente correspondam entre a operadora anterior e a nova: nome, endereço, data de nascimento e o número a ser portado”. Essa é toda a comparação. Quatro detalhes, nenhum deles secreto, e que, juntos, estão presentes em toda violação de dados de grande porte.

Nenhuma das quatro grandes operadoras alemãs oferece um bloqueio de portabilidade que possa ser solicitado. O que existe é uma senha para a linha de atendimento, e sua utilidade varia bastante. Na o2, essa opção conveniente foi abolida. Quando questionada se a data de nascimento, o endereço ou os dados bancários seriam suficientes, a empresa responde: “Infelizmente, isso não é possível. A partir de 16 de fevereiro de 2023, o senhor precisará do seu código pessoal de cliente ou do PUK do seu contrato de celular.” Na Deutsche Telekom, a senha do cliente é opcional e não substitui os dados habituais, mas sim os complementa.

Importante para o contexto: a troca de cartões SIM não é um fenômeno em massa na Alemanha. A Telekom, a 1&1 e a Telefónica não relataram nenhum aumento notável para 2024, e a agência policial federal BKA, bem como a polícia estadual da Baixa Saxônia, atualmente não veem grande relevância no assunto. A questão não é a frequência com que isso ocorre, mas o fato de que o esforço necessário para um ataque direcionado permanece baixo.

Por que isso afeta justamente os logins de dois fatores

O mais incômodo é a direção do problema. O senhor configura um segundo fator para fortalecer sua conta e, ao fazer isso, cria um mecanismo de contingência mais fraco do que a senha que o precede.

O BSI, a agência federal alemã de segurança cibernética, aponta exatamente isso em sua avaliação dos métodos de autenticação de dois fatores (2FA). Nos casos em que um mecanismo de recuperação de fator único pode substituir a autenticação de dois fatores, a agência considera isso fundamentalmente crítico e afirma que os invasores podem atacar precisamente esse ponto fraco. Uma mensagem de texto enviada para um número que não é mais o seu há dois anos é um exemplo desse mecanismo de fator único.

Nesse caso, é melhor excluir do que adicionar

O reflexo em conselhos de segurança é configurar mais uma coisa. Aqui é o contrário.

Verifique as contas às quais estão vinculados dinheiro, identidade ou sua caixa de e-mail e elimine todos os números de telefone que você não possui mais. Isso inclui Google, Apple, Microsoft, PayPal, Amazon, sua conta bancária e o endereço de e-mail secundário no qual você não pensa há anos. No Google, você encontra as opções em “Segurança” e as formas de comprovar que é você mesmo; na Apple, nas configurações da conta, em “Login e Segurança”.

Substitua o SMS como segundo fator de autenticação por um aplicativo autenticador ou uma chave de acesso sempre que possível. Ambos estão vinculados ao dispositivo, não ao número. Depois disso, você poderá remover completamente o número como opção de reserva em muitos serviços.

E se você for desativar um número, faça-o nesta ordem: primeiro, saia de todas as sessões, depois cancele o número. Se fizer o contrário, você acabará sem acesso às contas enquanto outra pessoa recebe os códigos.