Ilustração de um smartphone com um cartão SIM a ser removido e substituído, representando um número de telefone sequestrado

Um ataque de troca de SIM não visa diretamente uma carteira de cripto ou uma conta de exchange. Visa o número de telefone que está por trás delas. Ao convencer uma operadora móvel a transferir esse número para um cartão SIM controlado pelo atacante, tudo o que depende desse número para identidade ou verificação fica ao alcance, incluindo contas bancárias, email, e qualquer conta de exchange que ainda use códigos por SMS como segundo fator de autenticação.

O Internet Crime Complaint Center do FBI registou 982 queixas de troca de SIM em 2024, com perdas reportadas de pouco menos de vinte e seis milhões de dólares, embora esse número subestime a verdadeira dimensão, já que a troca de SIM é tipicamente o passo de acesso num crime maior, e o roubo financeiro resultante é muitas vezes contabilizado sob categorias separadas assim que os fundos são movidos. Em março de 2025, a T-Mobile foi condenada a pagar trinta e três milhões de dólares em arbitragem depois de uma única troca de SIM ter permitido a atacantes drenar a carteira de criptomoeda de um cliente, ilustrando o quão catastrófica pode ser uma única troca bem-sucedida especificamente para um detentor de cripto.

Como o ataque é executado

Recolher informação sobre o alvo

Antes de contactar uma operadora, um atacante recolhe tipicamente informação pessoal suficiente para personificar de forma convincente a vítima, frequentemente proveniente de violações de dados anteriores, atividade em redes sociais, ou phishing dirigido. Indicadores públicos de que alguém detém quantias significativas de cripto, discussão em comunidades online, endereços de carteira visíveis, ou um perfil público associado a negociação, podem tornar essa pessoa um alvo específico para este tipo de pesquisa.

Engenharia social da operadora ou de um insider

Com detalhe pessoal suficiente em mãos, o atacante contacta a operadora móvel da vítima, alega que o SIM original foi perdido ou danificado, e pede que o número seja transferido para um novo cartão SIM na sua posse. Alguns casos documentados envolveram um funcionário da operadora subornado ou cúmplice a concluir a transferência diretamente, contornando a necessidade de fazer engenharia social a um representante de apoio, o que explica em parte por que os reguladores têm pressionado as operadoras a reforçar os seus procedimentos internos de verificação para este pedido específico.

Tomar controlo de contas através do número roubado

Assim que o número está ativo no dispositivo do atacante, este pode intercetar códigos de verificação por SMS e usá-los para repor palavras-passe ou aprovar tentativas de login em contas de email, exchange, e relacionadas com carteiras. O email é frequentemente o primeiro alvo, já que uma conta de email comprometida frequentemente permite mais repostas de palavra-passe em todos os outros serviços a ela ligados, criando uma tomada de controlo em cascata que pode alcançar uma conta de exchange de cripto em minutos após a troca inicial.

Ponto Chave

A autenticação de dois fatores baseada em SMS é significativamente mais fraca do que a baseada em aplicação ou em hardware, especificamente porque o próprio número de telefone, e não apenas o dispositivo, pode ser redirecionado sem o conhecimento da vítima até o serviço parar de funcionar inesperadamente.

Troca de eSIM: uma variante mais recente do mesmo ataque

A ascensão da tecnologia eSIM, que armazena um perfil de operadora digitalmente em vez de num cartão físico removível, introduziu uma versão mais rápida do mesmo ataque subjacente. Em vez de pedir a substituição física de um SIM, um atacante convence uma operadora, ou nalguns casos documentados manipula diretamente a aplicação de autoatendimento ou o portal web de uma operadora, a transferir o perfil eSIM para um novo dispositivo. Como não é preciso enviar ou trocar fisicamente nenhum cartão em pessoa, uma tomada de controlo baseada em eSIM pode ser concluída inteiramente à distância e muitas vezes mais depressa do que uma troca de SIM tradicional, por vezes em minutos após o atacante obter acesso suficiente à conta. Esta mudança levou algumas operadoras a acrescentar verificação extra especificamente para transferências de eSIM, embora a adoção dessa proteção adicional não seja universal em todas as operadoras e todos os tipos de plano.

Um cenário realista: de uma fuga de um data broker a uma conta de exchange drenada

  • Uma violação de dados anterior, não relacionada, num retalhista online expõe o nome, morada, data de nascimento, e os últimos quatro dígitos de um cartão de pagamento de uma vítima, tudo mais tarde agregado e vendido num mercado criminoso.
  • Um atacante compra estes dados e combina-os com informação de redes sociais disponível publicamente para construir um perfil suficientemente convincente para responder às perguntas de verificação de identidade padrão de uma operadora móvel.
  • O atacante contacta a operadora através de um chat online ou chamada telefónica, alega que o telefone original foi perdido, e consegue pedir que o número seja transferido para um novo SIM ou eSIM.
  • Em minutos, o atacante usa o número sequestrado para receber um código de reposição de palavra-passe da conta de email da vítima, e depois usa o email comprometido para desencadear mais repostas de palavra-passe numa conta de exchange de criptomoeda.
  • A autenticação de dois fatores baseada em SMS da conta de exchange, associada ao mesmo número sequestrado, aprova o login, e o atacante levanta os fundos para uma nova carteira antes de a vítima notar que o telefone perdeu o serviço.

Cada passo desta cadeia depende de um dado da identidade da vítima que já tinha vazado noutro lugar, meses ou anos antes, através de uma violação inteiramente não relacionada com as suas participações em cripto. É em parte por isto que monitorizar a exposição de dados pessoais importa mesmo para alguém que nunca interagiu diretamente com uma burla específica de cripto.

Ataques de troca de SIM comparados com a tomada de controlo de conta por phishing

A tomada de controlo de conta por phishing geralmente exige que a vítima participe ativamente no seu próprio comprometimento, introduzindo uma palavra-passe ou um código único diretamente numa página falsa. Uma troca de SIM não exige qualquer ação da vítima assim que a operadora tiver sido convencida a transferir o número. Isto torna a troca de SIM consideravelmente mais difícil de prevenir por um indivíduo apenas através de vigilância, já que não há email fraudulento ou link suspeito para uma pessoa cautelosa notar e evitar. A defesa tem de acontecer antes ao nível da conta da operadora e dos métodos de autenticação a ela associados, e não ao nível de uma mensagem ou clique individual.

Reconhecer um ataque em curso

  • Um telefone perde subitamente todo o serviço celular, mostrando sem barras ou apenas chamadas de emergência, sem explicação clara como uma falha conhecida.
  • Chegam emails inesperados de reposição de palavra-passe ou notificações de login para contas que não tentou aceder.
  • Uma operadora confirma um pedido de alteração de SIM ou de transferência de número que não iniciou.
  • É desligado sem aviso de uma conta de email, exchange, ou relacionada com carteira.

Se um telefone perder inesperadamente o serviço, a resposta correta é tratá-lo como uma provável troca de SIM em curso, e não como uma falha técnica, e agir depressa para proteger as contas de email e de exchange a partir de outro dispositivo enquanto contacta diretamente a operadora. Esperar para ver se o serviço volta por si só dá ao atacante mais tempo para concluir uma tomada de controlo de conta.

Reduzir a exposição antes de um ataque acontecer

  • Defina um PIN ou um requisito de verificação adicional diretamente junto da sua operadora móvel para qualquer pedido de alteração ou portabilidade de SIM, um passo que a CISA recomenda especificamente como defesa base contra a troca de SIM.
  • Afaste-se da verificação baseada em SMS sempre que possível, substituindo-a por uma aplicação autenticadora ou uma chave de segurança física para contas de email, exchange, e relacionadas com carteiras.
  • Evite associar publicamente a sua identidade a participações visíveis em cripto, já que essa visibilidade é parte do que torna um indivíduo específico digno do esforço de uma troca de SIM dirigida.
  • Use um endereço de email dedicado e não adivinhável para contas de exchange, que não seja reutilizado noutros serviços, limitando o dano em cascata caso uma conta seja comprometida.

Vale também a pena contactar proativamente uma operadora móvel, antes de qualquer incidente ocorrer, para perguntar especificamente sobre as proteções disponíveis na conta.

  • Se pode ser definido na conta um PIN de portabilidade ou de alteração de SIM, separado de uma palavra-passe de conta padrão, e se se aplica tanto a pedidos de transferência de SIM físico como de eSIM.
  • Se a operadora exige verificação de identidade presencial numa loja de retalho para qualquer pedido de transferência de SIM ou de número, e se esse requisito pode ser ativado como preferência permanente da conta.
  • Se a operadora envia uma notificação independente, como um email para um endereço não associado ao próprio número de telefone, sempre que é pedida uma alteração de SIM ou de número.
  • Se pode ser colocado um bloqueio temporário na conta que impeça quaisquer alterações de SIM ou de número até ser manualmente levantado pelo titular da conta em pessoa ou através de um canal separado verificado.

Depois de uma conta de exchange já ter sido efetivamente comprometida na sequência de uma troca de SIM, a resposta passa da prevenção para a contenção e recolha de provas, o que é abordado em detalhe em o nosso guia sobre o que acontece quando uma conta de exchange é comprometida. A sobreposição entre estes dois temas é significativa, já que uma troca de SIM é frequentemente o mecanismo específico por trás de uma tomada de controlo de conta de exchange, em vez de um acontecimento separado e não relacionado.

O que fazer depois de recuperar o controlo do seu número

  • Contacte a sua operadora móvel para confirmar que a transferência fraudulenta foi totalmente revertida e peça um número de referência de incidente por escrito para os seus registos.
  • Altere a palavra-passe de todas as contas que usam o número de telefone para verificação ou recuperação, começando pelo email, já que um email comprometido é frequentemente o ponto de viragem para tudo o resto.
  • Reveja o histórico de login e os dispositivos ligados nas suas contas de email e de exchange à procura de qualquer sessão que não corresponda à sua própria atividade, e revogue qualquer uma que não reconheça.
  • Apresente uma denúncia junto do seu organismo nacional de denúncia de cibercrime e, se uma conta de exchange de cripto foi afetada, siga os passos de denúncia específicos da exchange abordados em o nosso guia sobre comprometimento de conta de exchange.

Recuperar o próprio número de telefone é apenas o primeiro passo. Todas as contas que dependiam dele para verificação durante a janela em que o atacante teve controlo devem ser tratadas como potencialmente expostas, não apenas a única conta que foi efetivamente drenada.

troca de SIMtomada de controlo de contaautenticação de dois fatoressegurança de exchange

Perguntas frequentes

O objetivo subjacente é o mesmo, sequestrar um número de telefone, mas uma transferência de eSIM pode muitas vezes ser concluída inteiramente à distância através dos sistemas digitais de uma operadora, sem precisar de enviar ou trocar fisicamente um cartão, o que a pode tornar mais rápida e nalguns casos mais difícil de os sistemas antifraude de uma operadora apanharem a tempo.

Assim que um número é transferido com sucesso, um atacante com conhecimento prévio das contas do alvo pode muitas vezes concluir repostas de palavra-passe e drenar uma conta de exchange em minutos, razão pela qual reconhecer depressa a perda de serviço celular importa mais do que quase qualquer outro sinal de alerta.

Um PIN de operadora aumenta significativamente a dificuldade de uma troca bem-sucedida e é recomendado pela CISA como proteção base, mas não é absoluto, já que trocas assistidas por um insider e engenharia social suficientemente convincente já foram documentadas a contornar requisitos de PIN nalguns casos.

Sim, de forma significativa. Uma aplicação autenticadora ou chave de hardware está associada a um dispositivo específico e não a um número de telefone, pelo que não pode ser redirecionada através de uma transferência de SIM ao nível da operadora, eliminando o caminho de ataque específico de que uma troca de SIM depende.

Use imediatamente outro dispositivo ou uma linha fixa para contactar a sua operadora móvel e reportar a transferência não autorizada, e simultaneamente tente proteger o seu email e quaisquer contas de exchange a partir desse outro dispositivo, antes que o atacante consiga concluir mais repostas de palavra-passe.

Fontes e leituras adicionais

Leituras relacionadas

O Que Acontece Quando a Sua Conta de Exchange É Comprometida →Roubo de Chave Privada, Sinais de Alerta e o Que Fazer a Seguir →O Que Acontece Depois de um Roubo de Carteira de Cripto →