Empresas que adotam SMS para login de contas devem ser culpadas por ataques de SIM swap

Artigo original ↗ Discussão no Hacker News ↗

Cada vez mais, empresas que usam SMS para login e recuperação de contas estão sendo culpadas por fraudes de SIM swap, nas quais atacantes sequestram o número de telefone da vítima para redefinir senhas e tomar contas. Comentadores argumentam que o SMS é fundamentalmente fraco como fator de autenticação — números de telefone são fáceis de obter por engenharia social, podem ser reatribuídos e falham quando as pessoas viajam ou trocam de operadora —, mas as empresas o preferem por sua ubiquidade, baixa fricção e benefícios colaterais, como filtragem de bots e rastreamento de usuários. Alternativas como apps TOTP, chaves de hardware, fluxos baseados em e-mail e identidades digitais apoiadas pelo governo são vistas como mais seguras, mas trazem seus próprios desafios de usabilidade, recuperação e ecossistema, levando ao debate sobre se reguladores, operadoras ou serviços online devem arcar com a responsabilidade principal de corrigir o problema.

Fraquezas de segurança da autenticação por SMS

  • SIM swap é visto como o risco central: atacantes fazem engenharia social com operadoras para portar números e, então, redefinem senhas e esvaziam contas. Os usuários não conseguem “trancar” seu número como conseguem fortalecer o e-mail.
  • SMS é descrito como um “cartão-postal aberto”: pode ser interceptado por redes SS7 fracas, gateways de SMS comprometidos ou abuso interno em operadoras.
  • O reaproveitamento de números (após falta de pagamento, mudança de país, expiração de pré-pago) pode entregar o controle a uma nova pessoa, mas muitos serviços ainda tratam o número como um identificador forte.
  • Alguns citam padrões (por exemplo, NIST, regras PSD2 da UE) que, na prática, consideram SMS inseguro como fator primário ou único para ações sensíveis.

Usabilidade e por que as empresas continuam usando SMS

  • SMS é quase universal, não exige instalação de app, e os sistemas operacionais móveis preenchem automaticamente os códigos, oferecendo uma UX de baixíssima fricção, especialmente em telefones.
  • Muitos usuários têm dificuldade com gerenciadores de senha, apps autenticadores ou chaves de hardware; perder o telefone ou não salvar códigos de backup é comum.
  • As empresas transferem a prova de identidade e a fricção contra bots para as operadoras: um número de telefone é mais difícil de cultivar em massa do que e-mail e se integra a processos de KYC.

Alternativas: prós, contras e lacunas

  • E-mail: alguns o defendem como “mais securizável” (pode adicionar 2FA forte), mas a higiene média de e-mail pode ser pior do que a segurança média do telefone.
  • TOTP/apps: amplamente vistos como mais seguros do que SMS, mas com ergonomia ruim, recuperação confusa e conscientização limitada no mainstream.
  • Chaves de hardware/WebAuthn/passkeys: considerados boa prática por muitos, porém caros, complexos de oferecer suporte e arriscados se os usuários os perderem ou se os sites não permitirem várias chaves.
  • Apps de banco/ID e esquemas nacionais de e-ID são elogiados onde existem, mas outros temem centralização ou controle governamental.

Recuperação, bloqueios e viagens

  • Vários relatos de pessoas bloqueadas fora de contas críticas (banco, e-mail, redes sociais) ao perder um número, viajar para o exterior ou ficar sem recepção.
  • Alguns desativam completamente o SMS 2FA depois de não conseguirem fazer login a partir de redes incomuns; outros descrevem fluxos quebrados de “tente de outra forma”.
  • Trocas de número, mudanças internacionais e zonas mortas rurais/indoor tornam a recuperação baseada em SMS particularmente frágil.

Responsabilidade e regulação

  • Um grupo culpa as empresas por construir conscientemente sobre um elo fraco e vender SMS como “2FA segura”.
  • Outro grupo culpa os processos frouxos de portabilidade das operadoras e argumenta que elas deveriam exigir verificações de identidade mais fortes ou atrasos nas trocas.
  • Uma minoria argumenta que a principal culpa ainda deve recair sobre os criminosos, alertando contra penalizar demais empresas “inocentes”.
  • Alguns pedem regulação: proibir SMS como fator único para contas de alto risco, exigir mecanismos melhores de recuperação ou introduzir identidades digitais apoiadas pelo governo.