Existe uma forma muito moderna de ansiedade: a do olhar fixo no ecrã do telemóvel, à espera de um código de seis dígitos. A página do banco mostra uma contagem decrescente, o pagamento expira dentro de 90 segundos e o SMS não chega. Atualizamos a página, carregamos em «Reenviar o código», desligamos e voltamos a ligar o aparelho. Nada.
Esta avaria minúscula tem consequências desproporcionadas. Sem essa mensagem, não se valida um pagamento online, não se recupera o acesso a uma caixa de correio, não se embarca num avião, não se assina um contrato. O SMS, tecnologia nascida em 1992 e durante muito tempo reduzida ao papel de conversa informal, tornou-se a chave de entrada para metade da nossa vida administrativa e financeira.
Ora, quase ninguém sabe como ele circula realmente. Daí a impressão de estarmos perante um fenómeno mágico e caprichoso. A realidade é mais prosaica: um SMS não recebido tem sempre uma causa identificável, e essa causa raramente é «o seu telemóvel está avariado».
O percurso real de um SMS, em quatro etapas
Ao contrário de um e-mail, um SMS não viaja diretamente de um ponto A para um ponto B. Passa obrigatoriamente por um equipamento central chamado SMSC (Short Message Service Center), uma espécie de estação de correios gerida por cada operador.
O percurso típico de um código de verificação enviado pelo seu banco é o seguinte:
- O emissor profissional (o banco) não comunica diretamente com a rede móvel. Recorre a um agregador A2P (Application-to-Person), um intermediário técnico que tem acordos com os operadores.
- O agregador escolhe uma rota. Existem rotas «premium» diretas e rotas «cinzentas», mais baratas, que passam por operadores estrangeiros. O preço pago determina em grande medida a fiabilidade.
- O SMSC do seu operador recebe a mensagem, verifica se é legítima e procura saber onde está o seu telemóvel através do registo HLR.
- A entrega final. Se o seu telemóvel estiver contactável, a mensagem é entregue. Caso contrário, fica armazenada numa fila de espera e é retentada periodicamente durante um período de validade definido pelo emissor.
Este último ponto explica o fenómeno mais desconcertante: os SMS que chegam todos de uma vez, em catadupa, uma hora depois. Não estavam perdidos — estavam à espera no SMSC.
Um SMS não tem qualquer garantia de prazo. O protocolo GSM, tal como normalizado pelo ETSI e depois pelo 3GPP, define um serviço dito «best effort»: a rede faz o seu melhor, sem compromisso quanto ao tempo de entrega.
As sete causas reais de um SMS que não chega
1. A fila de espera e o período de validade
Cada SMS profissional parte com um parâmetro invisível: o seu validity period. Muitos emissores de códigos de verificação definem-no deliberadamente muito curto — 2 a 5 minutos — precisamente porque um código de segurança caducado deixa de ter interesse.
Consequência: se o seu telemóvel esteve momentaneamente fora de rede (elevador, parque de estacionamento subterrâneo, túnel, avião), a mensagem pode ser definitivamente destruída antes de voltar a estar contactável. Nunca recuperará o atraso. É a causa n.º 1 dos códigos «nunca recebidos», ao passo que os SMS normais de amigos acabam sempre por chegar.
2. A filtragem antifraude do operador
Desde a explosão do smishing, os operadores endureceram consideravelmente os seus filtros. Estes sistemas analisam em tempo real o conteúdo, o remetente, o volume e a rota utilizada. Uma mensagem legítima pode ser bloqueada por engano quando:
- contém uma ligação encurtada (bit.ly, tinyurl…) — massivamente associada à fraude;
- o remetente alfanumérico não está declarado no registo de nomes de remetentes criado pelo setor;
- utiliza uma rota internacional suspeita;
- se assemelha estatisticamente a uma campanha fraudulenta em curso.
A mensagem não é então recebida nem assinalada. Desaparece silenciosamente.
3. Os bloqueios ativados pelo próprio assinante
Alguns utilizadores ativaram, por vezes sem o saber, opções de bloqueio: recusa de SMS de remetentes alfanuméricos, bloqueio de números curtos, filtro antispam integrado no smartphone. No Android, a aplicação Mensagens da Google classifica automaticamente certas mensagens num separador «Spam e bloqueados» que nunca consultamos. No iOS, a opção Filtrar remetentes desconhecidos remete as mensagens para um segundo separador discreto.
Antes de ligar para a assistência, verifique sistematicamente estas duas pastas escondidas. Na maioria dos casos, o código estava mesmo lá.
4. A memória do cartão SIM cheia
É um caso que se tornou raro, mas ainda real, sobretudo em telemóveis de teclas e modelos antigos. Quando a memória do SIM está cheia, o telemóvel recusa a receção e a rede volta a tentar sem sucesso. Num telemóvel para seniores com teclas grandes guardado como segundo aparelho, este bloqueio é frequente ao fim de algumas centenas de mensagens. Basta esvaziar a memória para que a fila de espera se despeje de uma só vez.
5. O roaming e os números curtos
No estrangeiro, a receção de SMS está normalmente assegurada, mas há duas exceções problemáticas:
- os números curtos (4-5 dígitos) nem sempre são encamináveis a partir do estrangeiro;
- os códigos enviados a partir de um remetente alfanumérico podem ser filtrados pelo operador local visitado.
Daí os relatos clássicos de viajantes incapazes de validar um pagamento bancário a partir de um hotel em Banguecoque. A solução passa por manter uma segunda linha e ativar um pacote de dados local, o que por vezes pressupõe um adaptador de tomada universal para não ficar com o telemóvel descarregado no pior momento.
6. A avaria do operador ou do agregador
Os incidentes em plataformas A2P existem e afetam por vezes milhões de assinantes durante várias horas. Raramente têm cobertura mediática, porque só afetam o tráfego profissional: os seus SMS pessoais passam, apenas os códigos de verificação faltam. As páginas de estado dos operadores e as plataformas comunitárias de reporte de incidentes permitem confirmar em dois minutos se se trata de uma avaria coletiva e não de um problema pessoal.
7. O número desatualizado junto do emissor
Causa banal e, no entanto, muito frequente: a entidade envia o código para o número certo… de há oito anos. Mudança de linha, portabilidade mal repercutida, erro de digitação numa inscrição. Nada o indica do lado do utilizador; o ecrã limita-se a mostrar «Foi enviado um código para o 96 •• •• •42» — mascarado o suficiente para não repararmos no erro.
Diagnóstico rápido: cinco minutos para decidir
Perante um SMS em falta, esta sequência identifica a causa na grande maioria dos casos.
| Teste | O que revela |
|---|---|
| Recebe os SMS de um familiar? | Se sim, o problema está no emissor ou na filtragem, não na sua linha |
| O separador «spam» da app Mensagens está vazio? | Filtragem local do smartphone |
| Modo Avião durante 30 s e regresso à rede | Força uma nova tentativa de entrega a partir do SMSC |
| O número apresentado pelo serviço está correto? | Número desatualizado do lado do emissor |
| Outro serviço consegue enviar-lhe um código? | Distingue avaria global de bloqueio dirigido |
O truque do modo Avião merece uma nota: ao voltar a registar-se na rede, o telemóvel assinala a sua disponibilidade ao HLR, o que desencadeia imediatamente o esvaziamento da fila de espera. É mais eficaz e mais rápido do que um reinício completo.
Último reflexo muitas vezes esquecido: verificar a qualidade real do sinal, e não o número de barras apresentado. Tanto no iOS como no Android, o modo de engenharia (através de um código marcado no teclado) mostra a potência em dBm. Acima de -110 dBm, a camada de sinalização que transporta os SMS torna-se instável. Nas zonas com má cobertura, um repetidor de sinal móvel homologado ou, mais simplesmente, a ativação das chamadas e SMS por Wi-Fi (VoWiFi) resolve a questão de forma duradoura.
O caso particular dos códigos bancários e da DSP2
Desde a entrada em aplicação da diretiva europeia relativa aos serviços de pagamento (DSP2), todos os pagamentos online devem ser objeto de uma autenticação forte. Os bancos migraram massivamente para as suas aplicações móveis, mas o SMS continua a ser usado como alternativa de recurso — e é precisamente aí que os bloqueios se concentram.
Três recomendações concretas:
- Ative a validação por aplicação assim que o seu banco a disponibilizar. Funciona através dos dados móveis ou do Wi-Fi, contorna totalmente a rede SMS e resiste ao SIM swapping.
- Não peça três códigos seguidos. Cada novo pedido invalida o anterior; os códigos chegam então fora de ordem e nenhum funciona. Espere pelo menos 60 segundos.
- Nunca comunique um código recebido, mesmo a alguém que se apresente como o seu gestor de conta ou como o serviço antifraude. Nenhuma instituição precisa desse código: destina-se a ser introduzido por si, no ecrã onde já se encontra.
Este último ponto tornou-se o modo operatório dominante da fraude bancária. As autoridades de supervisão e os observatórios da segurança dos meios de pagamento recordam regularmente que a fraude «do gestor de conta», em que o burlão leva a vítima a validar ela própria uma operação, representa uma parcela crescente dos prejuízos.
Sair da dependência do SMS
O SMS foi adotado como segundo fator de autenticação por uma razão simples: toda a gente tem um. Mas nunca foi concebido para isso. Não é cifrado ponta a ponta, depende de um número que pode ser desviado e a sua entrega não está garantida.
As alternativas existem e são, hoje, mais fiáveis:
- As aplicações de autenticação (TOTP) geram um código a cada 30 segundos, offline, sem qualquer rede. Funcionam no avião, num parque de estacionamento, no estrangeiro.
- As chaves de segurança físicas com a norma FIDO2/WebAuthn constituem o nível superior: uma chave de segurança FIDO2 USB-C liga-se ou aproxima-se do telemóvel e torna o phishing tecnicamente inoperante, uma vez que verifica o endereço do site antes de responder.
- Os códigos de recuperação fornecidos na ativação da autenticação de dois fatores: para imprimir e guardar fora do telemóvel. Um cofre à prova de fogo para documentos ou simplesmente um envelope selado numa gaveta vale mais do que uma captura de ecrã na galeria de fotografias.
As autoridades de cibersegurança e de proteção de dados convergem nas suas recomendações ao público: o SMS é um remendo aceitável, nunca um ideal.
Quando o silêncio do SMS é um sinal de alarme
Uma nuance importante para terminar. Se deixar bruscamente de receber todos os seus SMS e chamadas, sem qualquer avaria de rede declarada, não procure do lado da filtragem: é o sintoma clássico de um SIM swapping. Um burlão conseguiu transferir o seu número para o cartão SIM dele, a sua linha está desativada e é ele que passa a receber os seus códigos de verificação.
Os sinais a não ignorar:
- «Sem serviço» ou «A procurar…» persistente, enquanto os outros telemóveis da casa funcionam;
- um SMS ou e-mail a anunciar um pedido de portabilidade ou de segunda via de SIM que não fez;
- tentativas de início de sessão assinaladas nas suas contas.
A reação deve ser imediata: ligar ao operador a partir de outra linha para suspender o SIM, avisar o banco e apresentar queixa. Existem serviços públicos de apoio a vítimas de cibercrime, como o dispositivo francês Cybermalveillance.gouv.fr, e o 17 Cyber, que permite fazer uma denúncia online.
Pelo contrário, um simples código em falta enquanto o resto funciona não tem nada de alarmante: é quase sempre um problema de rota, de filtro ou de fila de espera. Habituar-se a distinguir as duas situações — silêncio total versus silêncio seletivo — evita tanto os pânicos inúteis como as reações tardias demais.
O essencial a reter
- Um SMS não recebido tem uma causa técnica identificável; não é uma fatalidade.
- Os códigos de verificação têm uma vida útil muito curta: se estiver fora de rede no momento errado, são destruídos, não adiados.
- O modo Avião durante 30 segundos é o gesto mais eficaz para forçar a entrega.
- Verifique sempre o separador de spam da sua aplicação de mensagens antes de qualquer outro diagnóstico.
- Migre as suas contas sensíveis para uma aplicação de autenticação ou uma chave física.
- Um silêncio total na linha, chamadas incluídas, deve fazer pensar em SIM swapping e desencadear uma chamada imediata ao operador.
