O OTP por SMS é melhor do que uma senha sozinha, mas não é um segundo fator forte: os códigos podem ser roubados por SIM swap, interceptação via SS7, malware e, na maioria das vezes, phishing. Vários reguladores bancários deixaram o SMS OTP de lado para ações de alto risco, enquanto o SMS continua muito usado para verificação de número e logins de baixo risco.
O OTP por SMS é seguro?
O OTP por SMS tem segurança moderada. Ele barra ataques que dependem só de uma senha roubada e é fácil para qualquer usuário. Mas depende da rede telefônica e do número do usuário, não de um dispositivo que o usuário controla com criptografia. A diretriz de identidade digital do NIST, SP 800-63B, classifica códigos por SMS e voz como autenticador "restrito": as organizações podem usá-los, mas precisam avaliar o risco e oferecer uma alternativa mais forte. Em dezembro de 2024, a agência americana CISA recomendou que pessoas muito visadas não usem SMS como segundo fator.
Quais são os riscos de segurança do 2FA por SMS?
- SIM swap. Um criminoso convence ou suborna uma operadora móvel para transferir o número da vítima para um novo chip. A partir daí, todos os códigos OTP vão para o atacante. As operadoras reduzem esse risco com verificações de identidade mais rígidas e PINs de portabilidade, e alguns apps checam se o chip foi trocado recentemente antes de enviar códigos sensíveis.
- SS7 e ataques de sinalização. O SS7 é a rede de sinalização entre operadoras, com décadas de uso. Com acesso ilegítimo a ela, um atacante pode desviar SMS para outra rede. As operadoras instalam firewalls de sinalização, mas a proteção varia de rede para rede.
- Phishing e retransmissão em tempo real. O ataque mais comum: um site ou uma ligação falsa leva o usuário a digitar ou ditar o código, e o atacante o usa em segundos. O SMS OTP não protege nada aqui, porque é o próprio usuário quem entrega o código.
- Malware. Em um aparelho comprometido, apps maliciosos com acesso a SMS ou notificações conseguem ler os códigos.
- Reciclagem de números. As operadoras reatribuem números abandonados, então os códigos podem chegar a um novo dono se a sua base de usuários estiver desatualizada.
- Rotas grey. Códigos enviados por rotas não autorizadas passam por terceiros que você não conhece. Veja riscos das rotas SMS grey.
Os reguladores estão abandonando o SMS OTP nos bancos?
Sim, em vários mercados, principalmente para login e transações de internet banking, não para todos os usos. Exemplos confirmados até outubro de 2026:
| País | O que mudou |
|---|---|
| Singapura | Seguindo as medidas da Monetary Authority of Singapore, os grandes bancos de varejo deixaram de usar SMS OTP no login de clientes com token digital, a partir de julho de 2024. |
| Malásia | O Bank Negara Malaysia orientou os bancos, em setembro de 2022, a migrar do SMS OTP para autenticação mais segura em ações de internet banking como transferências e alterações de conta. |
| Emirados Árabes Unidos | O Banco Central dos EAU determinou que as instituições financeiras deixem de usar OTP por SMS e e-mail na autenticação de transações de clientes, com prazo até 31 de março de 2026. |
| Índia | As diretrizes de autenticação do Reserve Bank of India, em vigor desde 1º de abril de 2026, mantêm a autenticação de dois fatores, mas permitem outros fatores (tokens no dispositivo, biometria, frases secretas) além do SMS OTP. Isso amplia as opções em vez de proibir o SMS. |
Essas regras valem para bancos e provedores de pagamento. A maioria das outras empresas ainda usa SMS OTP, mas a tendência é clara para ações de alto valor.
2FA por SMS ou app autenticador: qual é mais seguro?
Um app autenticador (TOTP) é mais seguro contra SIM swap e SS7, porque o código é gerado no aparelho e nunca passa pela rede telefônica. Ainda assim é vulnerável a phishing, já que o usuário pode digitar o código em um site falso. Passkeys e chaves de segurança físicas (FIDO2/WebAuthn) resistem a phishing, porque o navegador só faz login no domínio verdadeiro.
| Método | SIM swap | Interceptação na rede | Phishing | Facilidade para o usuário |
|---|---|---|---|---|
| SMS OTP | Vulnerável | Vulnerável | Vulnerável | Muito fácil |
| App autenticador (TOTP) | Resistente | Resistente | Vulnerável | Exige configuração |
| Aprovação por push no app do banco | Resistente | Resistente | Em parte (com correspondência de número) | Fácil |
| Passkey ou chave de segurança | Resistente | Resistente | Resistente | Fácil depois de configurado |
Como deixar o OTP por SMS mais seguro
Se o SMS OTP continuar no seu fluxo, o que é comum em cadastro e verificação de número, reduza o risco:
- Coloque na mensagem a finalidade e a sua marca e diga ao usuário para nunca compartilhar o código. Veja boas práticas de SMS OTP.
- Use códigos de vida curta (poucos minutos) e de uso único, com limite de tentativas.
- Use rotas diretas ou bem gerenciadas e um sender ID registrado, para que os códigos não passem por terceiros desconhecidos. Veja rotas SMS diretas.
- Verifique SIM swap ou portabilidade recentes antes de ações de alto risco, quando o seu provedor oferecer isso. Veja portabilidade numérica.
- Limite a taxa de solicitações para barrar o SMS pumping, que é um ataque de custo e não de conta, mas costuma atingir o mesmo formulário.
- Ofereça fatores mais fortes (passkeys, aprovação no app) e incentive o usuário a usá-los em pagamentos e alterações de conta.
Quais são as alternativas ao OTP por SMS?
Passkeys, apps autenticadores, aprovação por push no app, mensagens de autenticação do WhatsApp e OTP por voz são as principais alternativas. As alternativas por mensagem compartilham algumas fraquezas do SMS, porque também dependem do número de telefone. Veja WhatsApp ou SMS para OTP e OTP por voz.
Para fluxos de cadastro e verificação que mantêm o SMS, a VoIPMatcher obtém rotas SMS A2P com seus carriers e faz a gestão delas. Solicite uma rota SMS segura para OTP.
Perguntas frequentes
O OTP por SMS está sendo abandonado?
No internet banking de vários países, sim, ao menos para ações de alto risco. Singapura, Malásia e Emirados Árabes Unidos levaram os bancos a adotar autenticação por aplicativo e outros métodos mais fortes, e a Índia agora aceita mais fatores além do SMS OTP. Para verificação de número de telefone e login em aplicativos em geral, o OTP por SMS continua muito usado em 2026.
Alguém pode interceptar meu SMS de OTP?
É possível, mas raro para usuários comuns. Os principais meios são o SIM swap, em que um criminoso assume o número de telefone, o abuso da rede de sinalização SS7 e malware no celular. Muito mais comum é o golpista simplesmente enganar o usuário para que ele entregue o código, com ligações, mensagens ou sites falsos de phishing.
Por que os bancos avisam para nunca compartilhar um OTP?
Porque a forma mais comum de derrubar o SMS OTP é a engenharia social: o criminoso se passa pelo banco, por uma transportadora ou pelo suporte, pede o código e o usa em segundos para entrar na conta ou aprovar um pagamento. Um banco de verdade nunca precisa que você leia um código para ele.
Qual é a alternativa mais segura ao OTP por SMS?
Passkeys e chaves de segurança físicas baseadas em FIDO2 e WebAuthn são as opções comuns mais seguras, porque resistem a phishing e não dependem da rede telefônica. Nos bancos, a aprovação dentro do app com vínculo ao dispositivo e biometria é muito usada. Apps autenticadores são mais seguros que o SMS contra SIM swap, mas ainda podem sofrer phishing.
O SIM swap também afeta OTP por WhatsApp e por voz?
Sim. Qualquer método que envia um código para um número de telefone fica exposto quando o número é tomado, incluindo o OTP por voz e, em muitos casos, o novo registro do WhatsApp em outro aparelho. Métodos ligados a um dispositivo ou a uma chave criptográfica, como passkeys e apps autenticadores, não são afetados pelo SIM swap.
Precisa de uma rota?
Envie o destino, o tipo de rota e a tarifa alvo. Respondemos com o que podemos entregar.