SIM swap — também chamado de SIM-card hijacking ou port-out fraud — é quando um atacante convence uma operadora móvel a transferir o número do alvo para um chip SIM que o atacante controla. Uma vez bem-sucedido, todo SMS e ligação enviada para esse número chega ao atacante. O SIM original fica sem sinal. Para qualquer conta protegida por SMS 2FA, isso equivale a entregar o segundo fator.
Como funciona na prática
O atacante coleta informações pessoais suficientes sobre o alvo (nome, endereço de cobrança, CPF, às vezes valores recentes de pagamento) para passar pela verificação de identidade da operadora. Liga para a operadora, alega celular perdido ou danificado, e pede SIM swap para um novo chip físico que o atacante possui. Com Vivo, Claro ou TIM, o processo pode ser rápido se a engenharia social for competente.
A coleta de informações pessoais é o passo limitante. Grandes vazamentos de dados no Brasil — como o megavazamento de CPFs de 2021 — forneceram exatamente o tipo de informação identificadora que alimenta SIM-swap hoje. O ataque escala com o tamanho do dataset vazado.
O contexto cripto
SIM swap é especificamente perigoso para holders cripto porque bypassa SMS 2FA em toda exchange centralizada que ainda permite. O caso do investidor Michael Terpin nos EUA em 2018 (US$ 23,8 milhões em cripto levados via SIM-swap, seguidos de processos judiciais) elevou a consciência pública, e o vetor continua ativo contra alvos de alto valor.
No Brasil, o golpe da troca de chip também acontece. Se a sua corretora ainda aceita SMS como segundo fator, troque por app autenticador ou chave de segurança.
O que realmente defende
Três camadas, ordenadas por efetividade:
Primeiro, abandone SMS 2FA em todas as contas de exchange. Substitua por TOTP (Google Authenticator, Authy) no mínimo, hardware key (YubiKey) ou Passkey idealmente. Isso quebra o ataque inteiramente para contas vulneráveis a SIM swap.
Segundo, ative proteções de port-out do lado da operadora. Vivo, Claro, TIM oferecem opções de "bloqueio de portabilidade" — todas disponíveis, todas subutilizadas. Adicionam uma senha ou PIN que precisa ser apresentada antes de uma portabilidade ser processada; o atacante agora precisa da senha além do resto do input de engenharia social.
Terceiro, use um número separado para recuperação de contas de alto valor. Um segundo chip (ou número Google Voice, embora não suportado oficialmente no Brasil) usado apenas para contas cripto e nunca associado publicamente com você. Isso eleva a barreira significativamente porque o atacante precisa primeiro descobrir qual número controla qual conta.
O que fazer na primeira hora após um SIM swap
Se seu celular subitamente perder sinal em contexto onde não deveria (sem modo avião, cobertura normal, celular reinicia e o SIM não registra mais), assuma SIM swap. De qualquer outro dispositivo:
- Trave imediatamente cada conta CEX — mude senhas, desative SMS 2FA, configure withdrawal whitelists.
- Trave contas de email (Gmail, Outlook) — mude senhas, revogue sessões ativas.
- Ligue para a operadora de outro telefone — reverter o SIM swap, configurar proteções de port-out.
- Registre um BO na delegacia especializada em crimes cibernéticos — importante para reivindicações de seguro e qualquer ação civil subsequente.
Leitura adicional: 2FA, A verdade sobre 2FA, Passkey.