SIM swap — também chamado de SIM-card hijacking ou port-out fraud — é quando um atacante convence uma operadora móvel a transferir o número do alvo para um chip SIM que o atacante controla. Uma vez bem-sucedido, todo SMS e ligação enviada para esse número chega ao atacante. O SIM original fica sem sinal. Para qualquer conta protegida por SMS 2FA, isso equivale a entregar o segundo fator.
Como funciona na prática
O atacante coleta informações pessoais suficientes sobre o alvo (nome, endereço de cobrança, CPF, às vezes valores recentes de pagamento) para passar pela verificação de identidade da operadora. Liga para a operadora, alega celular perdido ou danificado, e pede SIM swap para um novo chip físico que o atacante possui. Com Vivo, Claro, TIM, ou Oi, o processo pode levar quinze minutos se a engenharia social for competente.
A coleta de informações pessoais é o passo limitante. Vazamentos como o do Serasa em 2021 (220 milhões de CPFs vazados), TIM e Vivo em 2022, e bancos brasileiros em 2023-2024 forneceram exatamente o tipo de informação identificadora que alimenta SIM-swap hoje. O ataque escala com o tamanho do dataset vazado; SIM swaps têm sido categoria mensal estável de perda no Brasil desde 2019.
O contexto cripto
SIM swap é especificamente perigoso para holders cripto porque bypassa SMS 2FA em toda exchange centralizada que ainda permite. O caso Michael Terpin nos EUA em 2018 (US$ 24M em cripto perdidos para SIM-swap) elevou a consciência pública; o ataque de SIM-swap ao Twitter da SEC em 2024 confirmou que o vetor continua ativo contra alvos de alto valor.
No Brasil, o caso Hytera Foundation em 2022 (R$ 200 milhões perdidos via SIM-swap envolvendo executivos) ficou em manchetes. A maioria dos casos não chega aos jornais — usuários individuais perdendo R$ 50-500 mil em cripto via SIM-swap são rotina mas raramente reportados publicamente.
O que realmente defende
Três camadas, ordenadas por efetividade:
Primeiro, abandone SMS 2FA em todas as contas de exchange. Substitua por TOTP (Google Authenticator, Authy) no mínimo, hardware key (YubiKey) ou Passkey idealmente. Isso quebra o ataque inteiramente para contas vulneráveis a SIM swap.
Segundo, ative proteções de port-out do lado da operadora. Vivo, Claro, TIM oferecem opções de "bloqueio de portabilidade" — todas disponíveis, todas subutilizadas. Adicionam uma senha ou PIN que precisa ser apresentada antes de uma portabilidade ser processada; o atacante agora precisa da senha além do resto do input de engenharia social.
Terceiro, use um número separado para recuperação de contas de alto valor. Um segundo chip (ou número Google Voice, embora não suportado oficialmente no Brasil) usado apenas para contas cripto e nunca associado publicamente com você. Isso eleva a barreira significativamente porque o atacante precisa primeiro descobrir qual número controla qual conta.
O que fazer na primeira hora após um SIM swap
Se seu celular subitamente perder sinal em contexto onde não deveria (sem modo avião, cobertura normal, celular reinicia e o SIM não registra mais), assuma SIM swap. De qualquer outro dispositivo:
- Trave imediatamente cada conta CEX — mude senhas, desative SMS 2FA, configure withdrawal whitelists.
- Trave contas de email (Gmail, Outlook) — mude senhas, revogue sessões ativas.
- Ligue para a operadora de outro telefone — reverter o SIM swap, configurar proteções de port-out.
- Registre um BO na delegacia especializada em crimes cibernéticos — importante para reivindicações de seguro e qualquer ação civil subsequente.
Leitura adicional: 2FA, A verdade sobre 2FA, Passkey.