Mudamos de palavra-passe. Às vezes mudamos de endereço de e-mail. Mas quase ninguém muda de número de telefone. O seu acompanha-o há dez, quinze, às vezes vinte anos: serviu para criar contas, receber códigos bancários, preencher formulários de entrega, validar cartões de fidelização, participar num passatempo há muito esquecido.
Resultado: esse número de nove dígitos tornou-se um identificador permanente, tão revelador como um número de processo. E, ao contrário de uma palavra-passe, não se revoga. Quando é exposto — e, estatisticamente, já foi — passa a integrar bases de dados que se revendem, se cruzam e se reativam durante anos.
A boa notícia é que uma fuga não é uma fatalidade. Exige uma reação metódica, não pânico. Eis como saber em que ponto está e o que fazer concretamente.
Porque é que um número de telefone vale mais do que um endereço de e-mail
Nos mercados paralelos de dados, um endereço de e-mail isolado não vale quase nada. Um número de telemóvel verificado, associado a um nome e a um código postal, vale bastante mais. Há três razões para esta diferença.
É único, estável e ligado a uma identidade real
Em França, a atribuição de números de telemóvel é regulada pela ARCEP, e a abertura de uma linha pressupõe a identificação do titular. Um número ativo é, portanto, do ponto de vista de um burlão, uma prova implícita de que existe um ser humano do outro lado. Ao contrário de uma caixa de correio descartável, não se cria aos milhares num instante.
É o eixo da autenticação
O SMS continua a ser, apesar das suas fragilidades conhecidas, o segundo fator de autenticação mais implementado no mundo. A diretiva europeia DSP2 generalizou a autenticação forte para os pagamentos, e a maioria dos bancos continua a apoiar-se, total ou parcialmente, no envio de um código por mensagem. Conhecer o seu número é conhecer a porta de entrada — falta encontrar a chave, através de engenharia social ou de SIM swapping.
Permite o cruzamento de dados
Um número serve de chave de ligação entre ficheiros. Uma base proveniente de um site de comércio eletrónico, outra de uma plataforma de reservas, uma terceira de um fórum: cruzadas pelo número, reconstituem um perfil detalhado — nome, morada, histórico de compras, idade aproximada. É esse cruzamento que torna o spear smishing tão convincente: o SMS fraudulento cita o seu nome verdadeiro, a sua cidade real, por vezes a sua encomenda real.
Uma mensagem de burla genérica identifica-se em dois segundos. Uma mensagem que conhece o seu nome, o seu operador e a sua última compra exige um esforço de vigilância muito maior.
Como saber se o seu número foi exposto
Não existe um registo oficial de números comprometidos. Mas vários sinais e ferramentas permitem formar uma ideia séria.
Os serviços de verificação de fugas
O serviço Have I Been Pwned, mantido pelo investigador de segurança Troy Hunt, aceita desde há vários anos a pesquisa por número de telefone no formato internacional (+351...) para determinadas violações, em complemento da pesquisa por e-mail. O Hasso-Plattner-Institut disponibiliza igualmente um serviço de verificação por e-mail com envio do resultado. Estas ferramentas não são exaustivas: cobrem apenas as fugas publicamente documentadas.
Algumas precauções de utilização:
- utilize apenas serviços reputados e documentados; os sites obscuros que prometem «analisar a dark web» são muitas vezes eles próprios recolhedores de dados;
- introduza o número no formato internacional, sem espaços;
- repita a verificação uma a duas vezes por ano, pois as bases de dados são atualizadas à posteriori.
Os sinais comportamentais
Muitas vezes, a fuga manifesta-se antes de ser documentada. Três indícios clássicos:
| Sinal observado | Interpretação provável |
|---|---|
| Aumento súbito de chamadas de telemarketing | O seu número acabou de entrar num ficheiro de prospeção revendido |
| SMS de burla que cita o seu nome ou uma encomenda real | Fuga de uma base de dados comercial, com dados associados |
| Códigos de verificação (OTP) não solicitados | Alguém está a tentar aceder a uma conta associada ao seu número |
| Chamadas «ping» de um único toque | Teste de atividade do número antes da revenda |
O último ponto é importante: receber uma chamada que desliga de imediato, ou um SMS vazio, serve por vezes apenas para confirmar que a linha está ativa. Nunca devolva a chamada a um número desconhecido com tarifação exótica.
Verificar aquilo que o próprio expõe
Antes de acusar uma fuga, é útil medir a exposição voluntária. Escreva o seu número entre aspas num motor de busca. Verifique:
- os seus anúncios em plataformas de classificados, muitas vezes deixados online com o número visível no texto;
- as listas telefónicas inversas, que registam as linhas não listadas apenas se o assinante não tiver pedido a exclusão das listas públicas;
- os seus perfis profissionais e associativos, PDF de atas, listas de contactos publicadas por um clube ou uma escola.
Muitas fugas não são pirataria: são publicações esquecidas.
O que acontece concretamente após uma fuga
Vaga 1: o telemarketing
É a consequência mais imediata e mais benigna. Em Portugal e na União Europeia, o marketing telefónico é regulado: as chamadas comerciais estão sujeitas a restrições de horário e a obrigações de identificação. A inscrição gratuita nas listas de oposição ao marketing direto — em França, o serviço oficial Bloctel — continua a ser a primeira diligência. Não bloqueia burlas nem empresas com as quais tem um contrato em vigor, mas limpa parte do fluxo.
Para a prospeção por SMS, o enquadramento é diferente: o RGPD e a legislação sobre comunicações eletrónicas impõem um consentimento prévio para as mensagens comerciais dirigidas a particulares, bem como um meio simples de oposição — o famoso «STOP» seguido de um código.
Vaga 2: o smishing dirigido
Este é o verdadeiro perigo. O smishing (phishing por SMS) explora os dados expostos para construir um cenário credível: encomenda em espera, multa por pagar, conta bancária suspensa, atualização do cartão de utente. O serviço Cybermalveillance.gouv.fr publica regularmente alertas sobre as campanhas em curso e disponibiliza fichas práticas gratuitas, bastante bem feitas.
O único reflexo a reter: nunca se clica a partir da mensagem. Reabre-se a aplicação oficial ou escreve-se o endereço à mão. Quem quiser fixar este reflexo e compreender as mecânicas da engenharia social encontrará num livro sobre cibersegurança para particulares matéria para estruturar a sua vigilância muito melhor do que uma acumulação de artigos.
Vaga 3: a tentativa de tomada de controlo
O estádio final consiste em apoderar-se da própria linha, por SIM swapping ou portabilidade fraudulenta, para intercetar os códigos de autenticação. Este ataque pressupõe que o atacante já dispõe de informação pessoal suficiente — daí a importância de limitar o cruzamento de dados a montante.
Reduzir a exposição sem mudar de número
Mudar de número é uma opção pesada, a reservar para situações de assédio ou de fraude repetida. Na grande maioria dos casos, é possível compartimentar.
Adotar uma estratégia de dois números
O princípio é simples: um número privado, reservado a familiares e amigos, ao banco, à entidade patronal e à administração pública; e um número público, usado para entregas, inscrições, classificados, cartões de fidelização e serviços online.
Este segundo número pode assumir várias formas:
- um cartão SIM pré-pago dedicado, a solução mais simples e menos dispendiosa;
- um eSIM secundário num telefone compatível com dois SIM;
- para utilizações pontuais, um serviço de envio de SMS online sem inscrição, que evita expor a linha pessoal por causa de uma única mensagem.
Se o seu aparelho não suporta dois cartões SIM, um smartphone dual SIM de gama de entrada mantido como segundo aparelho cumpre muito bem esse papel e evita misturar utilizações.
Limpar o que já está online
O RGPD dá-lhe um direito ao apagamento (artigo 17.º) e um direito de oposição ao tratamento para fins de marketing (artigo 21.º). Na prática:
- Identifique os sites que exibem ou detêm o seu número.
- Envie um pedido escrito de apagamento, indicando a sua identidade e o tratamento visado. A CNIL disponibiliza modelos de cartas gratuitos no seu site.
- O responsável pelo tratamento dispõe, em princípio, de um mês para responder.
- Na ausência de resposta ou em caso de recusa não fundamentada, pode apresentar queixa junto da CNIL através do seu formulário de reclamação online.
Quanto às listas telefónicas inversas, peça ao seu operador a exclusão das listas públicas — o procedimento é gratuito e produz efeitos na edição seguinte.
Proteger a linha junto do operador
Três medidas pouco conhecidas, a pedir diretamente ao serviço de apoio ao cliente:
- a ativação de um código PIN no cartão SIM (muitas vezes desativado por comodidade);
- a definição de uma palavra-passe ou de uma pergunta secreta na conta de cliente, exigida antes de qualquer operação sensível;
- atenção ao código RIO, que permite a portabilidade: nunca o comunique a terceiros.
Abandonar progressivamente o SMS como fator de autenticação
Sempre que possível, substitua a validação por SMS por uma aplicação de autenticação (códigos TOTP) ou, melhor ainda, por uma chave de segurança física. A ANSSI recomenda há vários anos privilegiar estes métodos nas contas sensíveis. Uma chave de segurança FIDO2 cabe num porta-chaves, custa o preço de um jantar e torna o phishing das suas credenciais praticamente inoperante nos serviços que a suportam.
Para os códigos de recuperação e as palavras-passe associadas, um gestor de palavras-passe continua a ser a ferramenta de base: evita a reutilização, principal causa de comprometimento em cadeia após uma fuga.
O que fazer nas 48 horas seguintes a uma fuga confirmada
Se uma empresa lhe notificar uma violação de dados que inclua o seu número — obrigação prevista no RGPD quando o risco é elevado — eis um plano de ação razoável.
Dia 1 — Inventário. Liste as contas que usam esse número como meio de recuperação ou de dupla autenticação: banco, aplicações de mensagens, redes sociais, caixa de correio principal, plataformas de pagamento.
Dia 1 — Reforço. Mude as palavras-passe das contas mais críticas, começando pela caixa de correio, que comanda todas as outras. Ative uma autenticação sem SMS em todos os locais onde a opção exista.
Dia 2 — Vigilância. Configure alertas para os movimentos bancários. Anote a data da fuga: se um SMS suspeito fizer referência, poucos dias depois, a um serviço envolvido, a ligação fica estabelecida.
Dia 2 — Denúncia. Denuncie os SMS fraudulentos ao 33700, a plataforma nacional de combate ao spam telefónico e por SMS. A denúncia é gratuita: reencaminha-se a mensagem para o 33700 e depois envia-se o número do remetente em resposta. Em caso de prejuízo financeiro, é possível apresentar queixa e fazer uma participação na plataforma THESEE do Ministério do Interior.
Um caderno de notas seguro, em papel, guardado fora de casa para os códigos de recuperação, continua a ser uma precaução surpreendentemente eficaz: não se pirateia à distância.
As falsas boas ideias
Alguns reflexos comuns fazem mais mal do que bem.
- Responder «STOP» a um SMS de burla. Perante um remetente legítimo, é o gesto certo. Perante um burlão, é a confirmação de que a linha está ativa. Faça a distinção: uma verdadeira mensagem comercial identifica claramente o anunciante.
- Bloquear os números um a um. As campanhas de smishing usam números descartáveis, renovados permanentemente. O bloqueio individual é um trabalho de Sísifo; a filtragem de remetentes desconhecidos, disponível nativamente no iOS e no Android, é mais eficaz.
- Instalar uma aplicação «antispam» invasiva. Muitas aplicações de filtragem de chamadas exigem acesso total à lista de contactos e carregam-na para os seus servidores. Protege o seu número expondo o dos seus próximos.
- Acreditar que um número «oculto» protege. A ocultação do número de quem chama afeta apenas a apresentação. Não impede nem o cruzamento de dados nem a conservação pela rede.
Um princípio simples: tratar o seu número como um dado sensível
O número de telefone foi durante muito tempo visto como um contacto banal, dado sem pensar. Tornou-se, na prática, um identificador de nível bancário: abre contas, valida pagamentos, comprova uma identidade.
A conclusão operacional resume-se a três perguntas a fazer antes de cada preenchimento:
- Este serviço tem realmente necessidade de me contactar por telefone?
- Posso usar o meu número secundário?
- Se este ficheiro for exposto amanhã, o que revela sobre mim depois de cruzado com o resto?
Três perguntas, alguns segundos. É a melhor relação esforço/proteção de toda a higiene digital — e de longe.
