Código de Verificação por SMS: o que É, Riscos e Como se Proteger

O que É um Código OTP

• OTP vem de one-time password, senha de uso único. É gerada na hora, para uma ação específica.
• Expira em poucos minutos. Pedir um novo geralmente invalida o anterior.
• Funciona como segundo fator: além da senha (algo que você sabe), o serviço confirma que você tem o celular (algo que você possui). Essa combinação é a verificação em duas etapas.
• Também é chamado de token, código de segurança ou código de confirmação.

Como o Código Chega ao Seu Celular

1. Você informa o número no app ou site: no cadastro, no login ou na recuperação de senha.
2. O serviço gera o código e o envia por um gateway de SMS, uma empresa conectada às operadoras.
3. O gateway entrega a mensagem à operadora, que a encaminha ao seu aparelho. Por isso o código costuma vir de um número curto (short code) ou de um nome, e não de um celular comum. Entenda o caminho em como funciona o SMS.
4. Você digita o código na tela. Se bater com o que foi gerado, o acesso é liberado.

Por que Empresas Ainda Usam SMS

• Alcance: todo celular recebe SMS, inclusive aparelhos simples e sem internet. Não depende de app instalado.
• Familiaridade: o usuário não precisa aprender nada novo. O código chega e ele digita.
• Identidade pelo número: no Brasil, o número de celular virou um identificador comum de contas.
• Histórico: o SMS existe desde os anos 1990 e é padrão em todas as operadoras. Conheça a trajetória em história do SMS.

Os Riscos: Onde o Código Pode Ser Roubado

• Golpe do código: alguém se passa por loja, pesquisa ou suporte e pede "o código que acabou de chegar". Com ele, ativa o seu WhatsApp em outro aparelho ou entra na sua conta.
• Falso atendente: uma ligação "do banco" pede para você ler o código "para cancelar uma compra". O código, na verdade, libera o acesso para o golpista.
• Troca de chip (SIM swap): o criminoso convence a operadora a transferir sua linha para um chip dele e passa a receber os seus SMS. Sinal de alerta: o celular perde o sinal de repente, sem motivo.
• Phishing por SMS: a mensagem imita banco ou loja e leva a uma página falsa que pede senha e código. Desconfie de urgência e de link encurtado. Veja os 12 sinais em como identificar SMS falso. Veja o que os filtros barram em SMS cai no spam?.
• Número antigo: se você trocou de número e não atualizou o cadastro, o novo dono da linha pode receber seus códigos.

SMS x App Autenticador x Passkey

• SMS: o mais fácil e universal, mas depende da operadora e está exposto a troca de chip e engenharia social.
• App autenticador (como Google Authenticator ou Microsoft Authenticator): gera o código no próprio aparelho, sem passar pela operadora. Mais seguro que o SMS.
• Chave de acesso (passkey): login pela biometria ou PIN do aparelho, sem código para digitar e sem nada para ser repassado. É a opção mais resistente a phishing.
• Na prática: use o SMS como reserva, e o autenticador ou a passkey como principal nas contas que mais importam.

Regra de Ouro: Nunca Repasse o Código

• Nem para quem diz ser do banco, da operadora, do suporte do app ou um parente com número novo.
• Leia a mensagem inteira: muitos serviços avisam "não compartilhe este código". Se alguém está pedindo, é golpe.
• Ative a confirmação em duas etapas com PIN no WhatsApp. Mesmo com o código SMS, o golpista ainda vai precisar do PIN.
• Mantenha o número atualizado nos serviços que você usa.

Modelos para Alertar Família e Amigos

O que o SMS no PIX Faz (e o que Não Faz)

• Faz: envia mensagens de texto para celulares brasileiros pelo navegador, com pagamento via PIX. É um canal de mão única.
• Não faz: não recebe SMS, não fornece número virtual ou temporário e não pode ser usado para receber códigos de verificação.
• Não serve para se passar por banco, empresa ou órgão público. Mensagens assim podem ser bloqueadas pela moderação de conteúdo.
• Não mostramos seu número ao destinatário, mas guardamos os dados do pagamento PIX, e a Justiça pode solicitá-los em caso de crime.

Perguntas Frequentes