Anatel Acórdão 310/2026: quem passa a responder pelo SMS de golpe na cadeia A2P, e em quanto tempo

O SMS de número curto avisando que "sua conta foi bloqueada" passou a ter dono na regulação. Em 3 de novembro de 2026 o Conselho Diretor da Anatel aprovou, por unanimidade, o Acórdão nº 310, no processo 53500.104806/2025-68, com base na Análise nº 85/2026/OP. O acórdão aprova a minuta de Despacho Decisório SEI nº 16322678, que saiu no mesmo Diário Oficial de 4 de novembro de 2026 como Despacho Decisório nº 2/SCD.

A ementa diz que o ato "estabelece medidas relativas ao envio de mensagens de texto SMS", voltadas à rastreabilidade e à prevenção de fraudes. Na prática, ele distribui responsabilidades por toda a cadeia do SMS A2P (application-to-person, a mensagem que uma empresa dispara de um sistema para o celular do cliente), da operadora que entrega ao banco que manda código de acesso.

De onde vem a decisão

O ponto de partida é o Acórdão nº 201, de 14 de agosto de 2025, publicado no DOU de 15/08/2025. Aquele acórdão julgou recursos sobre chamadas abusivas: tornou facultativos o código 303 e o serviço Origem Verificada e obrigou à autenticação quem origina mais de 500 mil ligações por mês. No item "h", mandou a Superintendência Executiva (SUE) montar, em até 120 dias, um plano de ação para um novo modelo de governança do SMS, com eixos como rastreabilidade da origem ao destino, autenticidade de remetentes e combate a smishing.

O despacho de agora é a entrega normativa desse plano. Ele invoca o art. 137 do Regulamento Geral de Serviços de Telecomunicações (Resolução nº 777/2025), que obriga as prestadoras a prevenir fraudes, e o Informe nº 31/2026/SUE, que registra a discussão com o setor.

Operadoras móveis: diretório, exclusividade e bloqueio

Os arts. 1º a 4º se dirigem às prestadoras do Serviço Móvel Pessoal (SMP). Os prazos contam da publicação, em 04/11/2026:

• Até 90 dias (art. 1º): manter um diretório setorial centralizado de códigos curtos, aberto à consulta pública, que identifique a pessoa jurídica responsável por cada código, e só aceitar SMS A2P de empresas identificadas nele.
• Até 60 dias, prorrogáveis por igual período com justificativa (art. 2º): cada código curto passa a ser de uso exclusivo de uma única empresa (compartilhamento só por exceção justificada, com todos os usuários listados no diretório); cada operadora aprova uma Política Interna de Segurança para SMS, informa à Anatel o que faz contra "canais não confiáveis", cria um canal setorial de alertas e implanta monitoramento automatizado do tráfego para detectar padrões anômalos, credenciais comprometidas e falsificação de identidade. Relatórios periódicos vão ao GT-Seg.
• Até 90 dias, prorrogáveis por 30 com justificativa (art. 3º): não entregar SMS A2P de código curto que não esteja no diretório. Código de agregador de nível 1 conta como cadastrado se for incluído em até 3 dias do início do uso.
• Antes de o diretório ficar público (art. 4º): campanhas educativas sobre ele.

Pela conta simples, a partir de 05/11/2026, 60 dias caem em 03/01/2027 e 90 dias em 02/02/2027; com as prorrogações, os dois prazos iriam a 04/03/2027. É conta nossa: o despacho não traz datas e a Anatel não publicou calendário. Trate como "a confirmar".

Agregadores, integradores e quem origina a campanha

O art. 5º alcança quem atua na originação, contratação, integração e encaminhamento de SMS A2P: identificar originadores e a legitimidade das campanhas, garantir a integridade das informações, manter registros que permitam rastrear cada mensagem e cooperar com operadoras e autoridades.

O art. 6º detalha o dever de originadores, agregadores e integradores que usam código curto: manter o cadastro do diretório atualizado, verificar a identidade de contratantes e de quem origina as campanhas (na proporção do risco), guardar os registros que identificam o originador e ajudar, quando demandados, a interromper campanhas com "indícios consistentes de fraude". O prazo, pelo art. 9º, é de 90 dias da publicação.

Os dois artigos ressalvam que os deveres valem só onde a atividade toca o tráfego SMS A2P e está na competência da Anatel, sem dever geral de fiscalizar terceiros.

Bancos e plataformas de autenticação: o artigo mais novo

O art. 7º vai além do SMS. Ele se dirige aos responsáveis por aplicações e plataformas usadas para autenticar usuários, recuperar senhas, confirmar identidade e autorizar transações: bancos, fintechs, marketplaces e qualquer serviço que mande código por mensagem. Eles devem garantir a autenticidade dos remetentes, a integridade e a rastreabilidade dessas comunicações e mecanismos antifraude.

O § 1º pede resultados de segurança equivalentes aos do SMS A2P, sem impor tecnologia: levar o código de acesso para outro canal não tira a empresa da regra. O § 2º diz que a responsabilidade é de quem opera o mecanismo, não passa à operadora "pelo mero transporte de dados" e não transforma a plataforma em prestadora. O prazo também é de 90 dias (art. 9º).

É o trecho com mais chance de contestação, porque a Anatel regula prestadoras, e o próprio despacho insiste em ficar dentro das "competências legalmente atribuídas à Agência".

A Tomada de Subsídios e o relatório

O acórdão manda a SUE acompanhar a implementação e apresentar ao Conselho Diretor, em 180 dias, um relatório com resultados e eventuais propostas a outras autoridades. Manda também abrir uma Tomada de Subsídios com o setor sobre o ecossistema de SMS A2P e o combate a fraudes.

Até 04/11/2026, essa Tomada de Subsídios ainda não tinha sido aberta: não há aviso no DOU (a única Tomada de Subsídios da Anatel publicada no dia, a nº 11/2026, trata de radiomonitoração de satélites), e a lista de consultas abertas do Participa Anatel não traz nada sobre SMS.

E os provedores regionais?

O despacho não menciona prestadoras de pequeno porte nem traz exceção para elas. A régua é ser prestadora do SMP: um ISP com autorização de SMP está, pela letra, entre os destinatários dos arts. 1º a 4º. Quem presta só SCM fica fora desses artigos, mas, se dispara SMS de cobrança ou de código por um agregador, é originador e deve esperar exigências de cadastro e verificação de identidade do fornecedor.

O que fazer

• Operadoras móveis: montar o cronograma de 60 e 90 dias, decidir sobre pedido de prorrogação (com justificativa) e levantar os códigos curtos hoje compartilhados.
• Agregadores e brokers de SMS: revisar o cadastro de clientes, a guarda de registros e o fluxo de bloqueio sob demanda. Código fora do diretório deixa de ser entregue.
• Bancos, fintechs e empresas que enviam SMS: conferir se cada código curto está em nome da própria empresa e mapear todos os canais de código de acesso contra o art. 7º.
• Provedores com SMP e associações: perguntar à Anatel como PPPs entram no diretório e se preparar para a Tomada de Subsídios.

Veja também a Tomada de Subsídios 6/2026, sobre inteligência artificial na cadeia de telecom, e o guia sobre provedores regionais.

O procTracker acompanha o processo 53500.104806/2025-68 e avisa quando a Tomada de Subsídios for aberta e quando sair o relatório da SUE.