SIM swap: 4 perguntas sobre as novas APIs antifraude das operadoras

A MEO, a NOS e a Vodafone anunciaram ferramentas que ajudam as empresas a detetar um SIM swap, a troca de cartão SIM usada em burlas para roubar contas e códigos de verificação. A sua PME não as vai instalar, mas pode ficar mais protegida se o banco e os fornecedores as usarem. Estas são as quatro perguntas a fazer.

O que anunciaram as operadoras

Na terça-feira, 20 de outubro, as três operadoras apresentaram um conjunto de APIs no âmbito da iniciativa internacional GSMA Open Gateway. Uma API é uma porta por onde o programa de uma empresa faz uma pergunta à rede da operadora e recebe uma resposta.

Para já são duas funções. A primeira confirma se o número que está a usar um serviço pertence mesmo ao cliente. A segunda avisa quando um número foi há pouco associado a um novo cartão SIM, o sinal clássico de um SIM swap. Uma terceira, que identifica números passados a outra pessoa, está prevista para o início de 2027. A Nokia apoia a integração técnica.

Ficou por dizer quando as duas primeiras ficam disponíveis, quanto custam e em que condições.

Como funciona um SIM swap

O burlão convence a operadora a passar o número da vítima para um cartão SIM que ele controla. Dali em diante, as chamadas e as mensagens chegam ao telefone errado. Com os códigos por SMS na mão, tenta entrar na banca online, no email ou numa plataforma de pagamentos.

Pense num gerente de uma loja com três funcionários que repara, a meio da manhã, que o telemóvel ficou sem rede. Enquanto tenta perceber porquê, alguém pode estar a pedir códigos de recuperação em nome dele. É um exemplo, mas o primeiro sinal costuma ser esse mesmo.

O Banco de Portugal registou 2.577 reclamações formais por burlas em operações de pagamento em 2025, cerca de 45 % mais do que em 2024.

O que muda para a PME, e o que não muda

A empresa não integra estas APIs por sua conta. Quem o faz são os bancos, as lojas online, as plataformas de pagamento e os fornecedores de software. Se o banco da sua empresa as adotar, pode pedir uma confirmação extra quando detetar um SIM swap recente, antes de aceitar uma operação sensível.

A NOS descreve as APIs como um complemento da dupla autenticação, e a MEO admite que um dia possam substituir outros métodos. Por agora, quem tem a dupla autenticação ativa deve mantê-la.

O que não muda é o essencial. Uma API não impede um funcionário de carregar numa ligação falsa nem de entregar um código a quem telefona a dizer que é do banco. Para esse risco, veja o nosso artigo sobre phishing nas PME e o que fazer.

4 perguntas para fazer ao banco e aos fornecedores

1. O acesso depende só de um código por SMS? Se sim, peça uma alternativa, como uma aplicação de autenticação ou uma chave de segurança. Um SMS é o método mais exposto a um SIM swap.
2. Pensam usar a verificação de SIM swap das operadoras? Não custa perguntar, e a resposta mostra o grau de atenção do fornecedor a este risco.
3. Quem na empresa pode pedir uma segunda via do cartão SIM? Pergunte à operadora que confirmações exige e deixe o pedido nas mãos de uma ou duas pessoas.
4. O que fazemos se o telemóvel do gerente ficar sem rede? Combine antes: ligar à operadora a partir de outro telefone, avisar o banco e mudar as palavras-passe do email principal.

Se as respostas forem vagas, comece pela primeira: trocar o SMS por uma aplicação de autenticação nas contas mais importantes é rápido.

Sinais de SIM swap a que a equipa deve estar atenta

Há quatro situações que justificam um telefonema imediato à operadora:

• o telemóvel perde a rede de repente, enquanto os colegas ao lado continuam com sinal;
• chega uma mensagem da operadora sobre uma alteração de cartão SIM que ninguém pediu;
• aparecem avisos de início de sessão ou pedidos de recuperação de palavra-passe que ninguém iniciou;
• deixam de chegar mensagens e chamadas esperadas.

Nestes casos, não espere para ver se passa: fale com a operadora e com o banco. O artigo sobre ataques informáticos em Portugal e medidas para a PME ajuda a organizar os primeiros passos.

As novas APIs protegem o momento da verificação, mas não os computadores da empresa. Para essa parte, a MEO Empresas tem o MEO Safe, que reúne cópias de segurança, antivírus e navegação segura e pode ser acrescentado aos pacotes da empresa. Pode ver os detalhes na nossa página da Oferta SAFE. E se quiser rever a proteção das contas e dos telemóveis da equipa, conheça os nossos serviços para empresas.

Fontes: comunicado conjunto da MEO, NOS e Vodafone de 20 de outubro de 2026, noticiado pelo SAPO TEK, pelo ECO e pelo Dinheiro Vivo. Dados sobre as reclamações por burlas em pagamentos: Relatório de Supervisão Comportamental do Banco de Portugal, segundo o Jornal Online.

Perguntas frequentes

O que é um SIM swap?

É a troca fraudulenta do cartão SIM associado a um número de telemóvel. O burlão consegue que o número passe para um cartão que controla e passa a receber as chamadas e os códigos por SMS da vítima.

As novas APIs das operadoras já estão disponíveis?

Foram anunciadas esta semana, mas as datas de disponibilidade da verificação de número e da deteção de SIM swap não foram divulgadas. A terceira função, para números reatribuídos, está prevista para o início de 2027.

Estas APIs substituem a dupla autenticação?

Para já, são um complemento. A NOS apresenta-as dessa forma, e a MEO admite que no futuro possam vir a substituir outros métodos. Até lá, a dupla autenticação deve manter-se ativa.

A minha PME tem de instalar alguma coisa?

Não. Quem integra estas APIs são os bancos, as plataformas e os fornecedores de software. O que a empresa pode fazer é perguntar-lhes se pensam usá-las e reforçar a proteção das contas principais.

Na UMTS Telecomunicações, parceiro da MEO Empresas, ajudamos as empresas em Portugal a reforçar a segurança digital e dos sistemas informáticos. Para rever a proteção da sua PME, fale com a equipa da UMTS ou veja os nossos serviços para empresas.