Ataque SIM swap: como funciona e como travá-lo (2026)

O seu número de telemóvel nunca foi pensado para ser uma chave de segurança — mas, durante anos, os códigos de utilização única por SMS transformaram-no numa. Um ataque SIM swap explora exatamente isso: ao sequestrar o seu número, um atacante recebe os seus códigos 2FA por SMS e entra diretamente nas suas contas. Este guia explica como funciona o ataque, os sinais de alerta e as defesas concretas que realmente o travam em 2026.

Como funciona um ataque SIM swap

O mecanismo é a engenharia social, não a pirataria do seu telemóvel:

1. O atacante reúne os seus dados pessoais (a partir de fugas de dados, phishing ou das suas redes sociais públicas).
2. Contacta a sua operadora móvel, faz-se passar por si e pede que o seu número seja movido para um novo SIM (uma "portabilidade" ou substituição de SIM) — por vezes com a ajuda de um funcionário de loja corrompido.
3. O seu telemóvel perde a rede; o número vive agora no SIM do atacante.
4. Cada SMS — incluindo os códigos 2FA de utilização única — chega agora ao dispositivo dele. Ele desencadeia reposições de palavra-passe e toma conta primeiro do email, depois das contas bancárias, de cripto e sociais.

A fraqueza de raiz é que os códigos SMS seguem o número de telemóvel, não a si.

Sinais de alerta

• Perda súbita de rede móvel (sem chamadas/mensagens/dados) enquanto quem o rodeia não tem problemas.
• Um alerta da operadora sobre uma troca de SIM ou uma portabilidade que não solicitou.
• Ser desconectado das contas inesperadamente, ou emails de reposição de palavra-passe que não iniciou.

Se o telemóvel ficar sem rede e assim permanecer, presuma um possível SIM swap e aja de imediato.

As defesas que realmente funcionam

1. Bloqueie o número junto da operadora. Adicione um PIN / bloqueio de portabilidade / Number Lock para que o seu número não possa ser transferido sem ele. É o único controlo do lado da operadora que bloqueia a maioria das trocas.

2. Abandone a 2FA por SMS — esta é a jogada-chave. Como um SIM swap só derrota os códigos por SMS, mova as suas contas importantes para uma 2FA que não esteja ligada ao seu número de telemóvel:

• Aplicação de autenticação (TOTP) — códigos gerados no dispositivo. Veja o nosso guia da melhor aplicação de autenticação.
• Chave de segurança de hardware (FIDO2) — à prova de phishing e de swap. Veja a nossa comparação de chaves de segurança de hardware.
• Passkeys — associadas ao seu dispositivo. Veja a configuração de passkeys.

3. Remova o número de telemóvel como método de recuperação nas contas críticas, onde a plataforma o permitir.

4. Reduza os seus dados expostos — o atacante precisa de detalhes pessoais para se fazer passar por si. Palavras-passe fortes e únicas num gestor fazem com que um SIM swap, por si só, não chegue para se propagar em cascata pelas contas.

Se está a sofrer um SIM swap neste momento

1. Ligue à sua operadora a partir de outro telemóvel para voltar a proteger o número e reverter a troca.
2. A partir de um dispositivo de confiança, proteja primeiro o seu email (é a chave-mestra): mude a palavra-passe, revogue as sessões, desative a 2FA por SMS.
3. Faça o mesmo para as contas bancárias, de cripto e sociais, por essa ordem.
4. Contacte o seu banco para assinalar a fraude e apresente uma denúncia à autoridade competente.

A rapidez é tudo: a sua janela de risco é o intervalo entre a troca e o momento em que recupera o controlo. Para o manual completo de gestão do incidente, veja o que fazer quando a sua conta é pirateada.

Conclusão

Um SIM swap só é poderoso contra a verificação baseada em SMS. Bloqueie o seu número junto da operadora, mova cada conta importante para uma aplicação de autenticação, uma chave de hardware ou passkeys, e mantenha palavras-passe fortes e únicas num gestor. Faça isso e sequestrar o seu número de telemóvel deixa de ser uma chave-mestra para a sua vida digital.

Guia editorial baseado em métodos documentados de ataque SIM swap e nas propriedades documentadas da autenticação por SMS, TOTP, FIDO2 e passkey. Indicamos com clareza a fraqueza específica da 2FA por SMS. As ligações comerciais têm o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliação sem qualquer custo adicional para si.