SIM swap em Portugal: número portado sem pedido, provas e reembolso

O desvio de uma linha móvel não começa com um programa, uma antena ou uma mensagem suspeita. Começa com um ato administrativo feito no seu lugar: um duplicado de cartão SIM entregue numa loja, um perfil eSIM ativado noutro telefone ou uma portabilidade que nunca pediu. Quando a operação passa, o número deixa de lhe pertencer, e com ele desaparecem os códigos de utilização única, as chamadas de verificação e as confirmações do banco. Este guia explica como o ataque funciona em Portugal, o que a lei obriga o operador a verificar antes de entregar uma linha, em que ordem reagir na primeira hora e como montar um processo que nem o operador nem o banco consigam afastar com um «foi o senhor que confirmou».

O que é um SIM swap e o que não é

Um SIM swap é a substituição de quem controla efetivamente um número: o cartão físico ou o perfil lógico que faz funcionar a linha passa para as mãos de um terceiro. Não há cópia do cartão que tem no bolso nem quebra da cifra do SIM. Há um cartão novo e válido emitido pelo operador para o mesmo número, e o antigo desativado. O telefone fica ligado, mostra rede e continua a receber dados por Wi-Fi, mas as chamadas e os SMS deixam de lhe chegar: chegam a outro lado.

Vale a pena separar esta definição de dois fenómenos com que se confunde. O primeiro é a falsificação do número apresentado a quem recebe a chamada, o spoofing: há chamadas com origem falsa, mas a linha não é tomada. O segundo é a interceção passiva por equipamento rádio, do tipo IMSI catcher: ouve-se o ar, não se toma a linha. Um programa espião que lê notificações também não é um SIM swap, embora obtenha o mesmo código. A distinção não é académica: cada um deixa vestígios diferentes e resolve-se perante interlocutores diferentes.

As três portas de entrada em Portugal

Um operador entrega uma linha por três canais, e cada um tem o seu ponto fraco. Todos partilham uma exigência que é também a sua fragilidade: a operação tem de ser feita pelo titular ou por alguém com poderes para o representar. Quando o operador não consegue demonstrar essa correspondência, o litígio deixa de ser uma discussão sobre a sua palavra e passa a ser um exame ao procedimento dele.

Duplicado de cartão na loja

É a via mais documentada e a mais fácil de reconstituir, porque deixa rasto físico: uma loja, um funcionário identificável, uma hora e quase sempre o registo de um documento apresentado. O erro raramente está na regra e quase sempre na execução: uma cópia aceite em vez do original, um documento olhado sem comparação com o portador, um cartão ativado porque o sistema nada mais exigia. Nos processos que terminam bem para o cliente, o operador muitas vezes não consegue produzir a cópia do documento nem a hora da ativação.

Perfil eSIM à distância

O eSIM elimina o balcão e, com ele, a verificação presencial. O perfil é entregue por código QR ou ativado remotamente, e a identificação passa por canais digitais. É cómodo para o cliente legítimo e para o atacante, que só tem de ultrapassar um passo de verificação assente em dados que já circulam: número do documento, data de nascimento, morada, fatura antiga. A pergunta a fazer ao operador não é «o eSIM é seguro», mas «que verificação exata precede o carregamento do perfil e que registo fica guardado».

Portabilidade não solicitada

Aqui não há cartão em seu nome: há um contrato noutro operador e um número que muda de casa. Em Portugal é a variante mais relevante, porque o processo é rápido e formalizado. O pedido é apresentado ao prestador recetor, que trata de tudo, incluindo a cessação do contrato com o prestador doador. O atacante não precisa de o convencer: basta-lhe celebrar um contrato no seu nome.

Portabilidade à portuguesa: um dia útil e um ponto de não retorno

O direito à conservação do número está hoje na Lei das Comunicações Eletrónicas, aprovada pela Lei n.º 16/2022, de 16 de agosto, no artigo 141.º. O regime prático consta do Regulamento relativo à Portabilidade de Números de 2024, da ANACOM, cujo artigo 11.º explica a mecânica: a portabilidade implica a cessação do contrato celebrado com o prestador doador e a celebração de um contrato com o prestador recetor para onde os números são portados. O pedido é transmitido eletronicamente ao prestador doador com indicação do dia, da janela de portabilidade e dos dados do titular necessários para iniciar o processo, com uma antecedência mínima de 24 horas em dias úteis.

O prazo é curto e é isso que o torna explorável: a transferência efetiva ocorre em 1 dia útil contado da apresentação do pedido ao novo prestador, devidamente acompanhado dos elementos legalmente necessários. Há exceções: prazo superior acordado com o assinante, casos de números múltiplos e blocos de extensões, intervenção física na rede, e contratos celebrados à distância ou fora do estabelecimento comercial, incluindo venda porta a porta, em que o prazo máximo sobe para 3 dias úteis. Pedidos apresentados depois das 17 horas de um dia útil só começam a contar no dia útil seguinte. Se o prazo não for cumprido, o utilizador tem direito a uma compensação de 2,5 euros por cada número e por cada dia de atraso.

Duas consequências para quem foi lesado. A primeira é que a janela de reação é de horas, não de dias. A segunda é o conceito de ponto de não retorno, usado no próprio regulamento: até esse momento o processo pode ser travado; depois dele, o número já está do outro lado e a única via é a reposição posterior, com tudo o que entretanto aconteceu. O pedido exige documento de identificação, tanto em pós-pago como em pré-pago, e é exatamente aí que os processos falham quando a verificação é apressada.

Porque é que um número passou a valer uma chave

O número de telefone deixou de ser um dado de contacto para se tornar um fator de autenticação. Bancos, mensageiros, redes sociais, plataformas de pagamento e serviços públicos usam-no como segundo fator ou como canal de recuperação. A lógica é conhecida: quem controla o número recebe o código. O Banco de Portugal tem alertado para o uso do SMS como fator de autenticação e para a necessidade de os clientes ativarem mecanismos adicionais, e a autoridade de supervisão europeia no domínio dos pagamentos incluiu o SMS entre os elementos cuja robustez deve ser avaliada com cuidado.

Dito de outra forma: o SMS não é inútil, é estruturalmente dependente de um terceiro, o operador, cujo procedimento pode ser contornado. Por isso a resposta a um SIM swap não é «proteger melhor as palavras-passe», mas reduzir o número de contas cuja segurança assenta nesse canal e documentar a falha de quem o deixou contornar.

A cascata, pela ordem em que acontece

1. Perda de serviço. Sem rede, chamadas a cair na caixa de correio, SMS que não chegam, ou mensagem do operador a anunciar uma portabilidade. Alguns operadores enviam SMS de confirmação antes da execução: é o sinal mais útil de todo o processo e a última oportunidade de travar a transferência.
2. Códigos de verificação que deixam de chegar. Tentativas de entrada no mensageiro, no banco ou nas redes sociais bloqueadas porque o código vai para outro lado. Cada falha é prova com data do lado do servidor.
3. Palavras-passe alteradas sem si. O atacante repõe o mensageiro e depois as contas que dele dependem. Os e-mails «a sua palavra-passe foi alterada» marcam a entrada.
4. Movimentos de dinheiro. Transferências, compras com cartão, adição de beneficiários, aumento de plafonds. Numa aplicação bancária, muitas destas operações confirmam-se com o segundo fator que o atacante passou a controlar.
5. Uso da sua identidade junto dos contactos. O número empresta credibilidade: um pedido de dinheiro enviado da sua linha verdadeira funciona onde um e-mail falsificado falha.
6. Contratos e compromissos novos. Assinaturas em seu nome, encomendas, alterações de morada, pedidos de documentos. O prejuízo deixa de ser imediato e passa a ser dívida.

A primeira hora

O reflexo é ligar a todos ao mesmo tempo. Uma sequência curta, com a hora registada em cada passo, produz um processo melhor: cada contacto gera uma referência que será citada mais tarde.

1. O operador, para bloquear e reverter. Peça três coisas com estas palavras: bloqueio da linha, anulação de qualquer portabilidade em curso e reposição do cartão original em seu nome. Registe o número de ocorrência, a hora exata e a identificação do assistente. Se lhe disserem que a portabilidade já foi executada, exija a data e a hora de execução e a identificação do operador recetor.
2. O ponto de não retorno, enquanto ainda existe. Se a portabilidade estiver apenas pedida, insista na anulação junto do prestador recetor: é ele que transmite o pedido e é ele que o pode retirar antes da janela.
3. O banco, pelo número impresso no verso do cartão. Nunca por um número que apareceu num e-mail ou num site consultado à pressa. Peça o bloqueio dos instrumentos de pagamento, a revisão dos acessos e o extrato com data e hora das operações que não autorizou.
4. O mensageiro principal e o e-mail. Altere a palavra-passe a partir de um aparelho que não use a linha desviada, feche todas as sessões ativas, verifique as regras de encaminhamento e os meios de recuperação. Um reencaminhamento invisível explica muitos «já não recebo nada».
5. As contas com dinheiro e as contas críticas. Palavra-passe nova, retirada do número dos meios de recuperação, segundo fator que não dependa de SMS.
6. A queixa. Não devolve dinheiro por si, mas transforma a sua descrição num documento datado que nem o banco nem o operador podem ignorar.

As provas a exigir ao operador

Neste tipo de processo, quem tem os registos é o operador. O pedido tem de ser escrito, concreto e apoiado no direito de acesso do artigo 15.º do RGPD: incide sobre os seus dados, não sobre um favor. O que pedir, em concreto: data e hora do pedido de duplicado ou de portabilidade, canal utilizado (loja, telefone, site, terminal), documentos apresentados e a sua referência, dados do representante, gravação da chamada de contratação se existir, registo do carregamento do perfil eSIM e data de ativação do cartão novo.

Dois cuidados de método. Primeiro, formule o pedido como acesso e não como reclamação: os prazos e as vias de reação não são os mesmos, e a falta de resposta pode ser comunicada à CNPD. Segundo, guarde a prova de envio: a data do seu pedido é também a data a partir da qual o operador já não pode alegar que nada lhe foi pedido. A CNPD pode apreciar as verificações feitas antes da entrega de um cartão ou de uma portabilidade, e a queixa é gratuita e apresentada em linha.

Banco: o que diz o regime dos serviços de pagamento

O litígio bancário nascido de um SIM swap não se decide na pergunta «o código foi introduzido», mas na pergunta sobre autenticação e prova. O Decreto-Lei n.º 91/2018, de 12 de novembro, que aprova o regime jurídico dos serviços de pagamento e da moeda eletrónica, impõe no artigo 114.º, n.º 1, que o prestador reembolse imediatamente o montante da operação não autorizada após dela ter conhecimento e, em qualquer caso, o mais tardar até ao final do primeiro dia útil seguinte. O artigo 113.º faz recair sobre o prestador o ónus da prova quando o utilizador nega ter autorizado a operação: tem de demonstrar que a operação foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou outra deficiência do serviço.

A jurisprudência portuguesa tem aplicado esta regra com clareza. O Tribunal da Relação de Lisboa, num acórdão sobre operações não autorizadas, condensou o ónus nos três elementos do artigo 113.º e confirmou a condenação do banco no reembolso; noutro aresto, a Relação condenou o banco a pagar 16.022 euros por não ter demonstrado que o sistema esteve isento de falhas. O Tribunal da Relação de Guimarães seguiu a mesma linha, sublinhando que cabe ao banco provar também que houve negligência grosseira do ordenante, e não ao cliente provar que não a teve.

Há ainda um detalhe que decide muitos casos: a utilização registada do instrumento não equivale, por si, a autorização. Quando o banco responde «validou com o código», a pergunta passa a ser onde e como foi feito o ativação do segundo fator e se a validação técnica foi acompanhada de uma decisão consciente do cliente.

Responsabilidade do operador

Em Portugal, a via contra o operador não está tão trilhada como a via contra o banco, mas assenta em fundamentos sólidos: incumprimento contratual, previsto no artigo 798.º do Código Civil, e responsabilidade por facto ilícito, no artigo 483.º, sempre que a entrega do cartão ou a portabilidade tenha violado as obrigações de verificação impostas pela Lei das Comunicações Eletrónicas e pelo Regulamento da Portabilidade. O pedido deve dirigir-se ao cumprimento dessas obrigações: identificação do titular, documento válido, correspondência entre quem pede e quem contrata.

O argumento prático é o mesmo que os tribunais usam do lado bancário: se o operador não consegue produzir o registo da verificação, não pode alegar que a fez. É por isso que o pedido de acesso do artigo 15.º do RGPD não é um detalhe burocrático, mas a peça que fixa a posição de cada parte antes de qualquer negociação.

Recursos, por ordem

Um: o operador, por escrito. Reclamação com número de ocorrência, factos datados, pedido concreto e documentos. Peça expressamente a cópia do pedido de portabilidade ou do duplicado, a identificação utilizada, a gravação do consentimento, se existir, e os registos de acesso. Sem resposta satisfatória, avance sem esperar indefinidamente.

Dois: o livro de reclamações. Em Portugal, o livro de reclamações eletrónico é gratuito, tem prazo de resposta pelo prestador e é encaminhado ao regulador. Para telecomunicações, a ANACOM trata as reclamações no âmbito da supervisão e pode intervir junto do operador; para serviços bancários, a reclamação segue para o Banco de Portugal, que supervisiona condutas sem decidir indemnizações.

Três: o provedor do cliente do banco. Cada instituição tem um provedor, gratuito, que aprecia o litígio antes da via judicial. A decisão não é vinculativa, mas cria uma posição externa sobre o procedimento do banco.

Quatro: arbitragem de consumo e tribunal. Para litígios de consumo, o CNIACC assegura arbitragem gratuita em muitas matérias, incluindo serviços financeiros; para o litígio principal, a ação declarativa de condenação no tribunal judicial, com pedido de reembolso das operações não autorizadas e de indemnização pelos danos.

A via penal: qualificações e queixa

Um SIM swap convoca várias qualificações possíveis e não é o lesado que as escolhe: a queixa descreve os factos e o Ministério Público qualifica. As mais frequentes são a burla, no artigo 221.º do Código Penal, e, no domínio da Lei do Cibercrime (Lei n.º 109/2009), a falsidade informática, no artigo 3.º, o dano relativo a programas ou dados, no artigo 4.º, e o acesso ilegítimo, no artigo 6.º, além do uso de identidade alheia quando esteja em causa a obtenção de vantagem patrimonial.

Na prática, apresente queixa ou denúncia na Polícia Judiciária ou no Ministério Público com uma pasta em papel: cópia da reclamação ao operador, número de ocorrência, extrato bancário com as operações contestadas, capturas de ecrã com data e hora e a cronologia numa página. Para conteúdos e sítios fraudulentos, o CERT.PT e a queixa em linha são o canal adequado. Nenhuma destas diligências substitui a reclamação ao operador: completam-na.

Prevenção, ordenada por efeito

1. Retirar o número dos meios de recuperação do mensageiro principal e das contas financeiras. É a medida que mais reduz o impacto, porque corta a cadeia entre a linha e a reposição de palavras-passe.
2. Passar a chaves de acesso ou a chave de segurança física onde o serviço o permitir e, nos restantes, a uma aplicação de autenticação. Um código gerado localmente não passa pela rede móvel.
3. Pedir ao operador o bloqueio de portabilidade ou um código adicional, quando exista, e confirmar por escrito que abrange duplicados e eSIM.
4. Vigiar os sinais fracos: SMS de confirmação de portabilidade, perda de serviço sem explicação, notificação de ativação de cartão novo. Uma chamada ao operador nesse momento vale mais do que uma reclamação três dias depois.
5. Evitar eSIM ativados à distância sem verificação independente, sobretudo numa linha que serve de segundo fator bancário.
6. Separar utilizações: um número para as contas sensíveis, outro para compras e registos, para que uma fuga de dados de contacto não exponha a linha que recebe os códigos.

O que não serve, ou serve de pouco

Trocar de cartão depois do sucedido não protege de nada: o cartão não era o vetor. Mudar de número é uma medida de contenção, não uma solução: o atacante não precisa do número novo se já tem os dados e as contas. Repor o telefone de fábrica também não ajuda e é contraproducente, porque os registos locais e as capturas de ecrã são prova. E resolver o litígio apenas por telefone, sem rasto escrito, equivale a deixar à outra parte a redação da história.

Âmbito deste guia

Este texto descreve procedimentos portugueses e fontes públicas: a Lei das Comunicações Eletrónicas (Lei n.º 16/2022) e o Regulamento da Portabilidade de 2024 da ANACOM, o regime dos serviços de pagamento (Decreto-Lei n.º 91/2018), o Código Civil e o Código Penal, a Lei do Cibercrime, orientações da CNPD e do Banco de Portugal, e jurisprudência dos tribunais da Relação tal como publicada. Não constitui aconselhamento jurídico para um caso concreto nem promete qualquer resultado: prazos, documentos exigidos e desfecho dependem dos factos, do operador e do tribunal. O que pode garantir é a ordem das diligências e a natureza das provas a conservar, ou seja, a parte que depende apenas de si.