Números reciclados: o risco oculto da verificação por SMS

Números de telefone parecem permanentes. Nós os imprimimos em cartões de visita, damos aos bancos e usamos para entrar em quase tudo. Mas para a operadora um número é estoque. Quando um cliente para de pagar, muda de plano sem portar o número ou simplesmente deixa um chip pré-pago vencer, o número é desativado, fica de quarentena por um tempo e é entregue a outra pessoa.

A Comissão Federal de Comunicações dos EUA, a FCC, estima que cerca de 35 milhões de números são desativados e ficam disponíveis para nova atribuição todo ano só nos Estados Unidos. A maioria foi, em algum momento, o login, o canal de recuperação ou o segundo fator das contas de alguém.

O que os pesquisadores de Princeton descobriram

Em 2021, Kevin Lee e Arvind Narayanan, do Center for Information Technology Policy da Universidade de Princeton, resolveram medir o problema diretamente. Pegaram uma amostra de 259 números que duas grandes operadoras americanas, T-Mobile e Verizon, ofereciam a novos assinantes e checaram o que esses números ainda conseguiam abrir.

• ·171 dos 259 números — cerca de dois em cada três — ainda estavam ligados a contas existentes em sites populares, entre eles Amazon, AOL, Facebook, Google, PayPal e Yahoo. Um novo dono recebendo SMS de redefinição de senha poderia, em tese, assumir essas contas.
• ·100 dos números apareciam ao lado de credenciais de login vazadas em bases públicas de vazamentos, ou seja, o SMS era a única coisa entre um invasor e a conta.
• ·Muitos números também retornavam informações pessoais dos donos anteriores em sites de busca de pessoas.

Os pesquisadores descobriram ainda que as páginas de troca de número on-line das operadoras deixavam qualquer um navegar por grandes estoques de números disponíveis, o que facilitava a caça aos reciclados. As duas operadoras fizeram mudanças depois de serem avisadas; os autores publicaram as respostas delas junto com o estudo.

O cerne do problema é simples: os serviços tratam «conseguir receber um SMS neste número» como prova de identidade, enquanto as operadoras tratam números como reutilizáveis. Quando essas duas premissas se encontram, quem tem o número hoje herda toda a confiança que estava ligada a ele ontem.

O que os reguladores fizeram

A principal resposta da FCC mirou outro problema: ligações indesejadas para quem herdou um número. Em dezembro de 2018, ela determinou a criação da Reassigned Numbers Database, que entrou no ar em 2021. As operadoras informam os números desativados de forma definitiva, e as empresas podem consultar se um número foi desativado desde determinada data antes de ligar ou mandar mensagem. A mesma decisão fixou um período mínimo de «envelhecimento» de 45 dias antes que um número desativado possa ser reatribuído.

Isso ajuda as empresas a pararem de mandar mensagens para estranhos. Mas não faz nada pelas contas que ainda têm o número antigo cadastrado. Mantê-las em dia fica, na prática, por conta do dono da conta.

Como se proteger ao trocar de número

O que isso significa para números virtuais alugados

Um artigo honesto sobre reciclagem de números precisa aplicar a mesma lógica aos números alugados, porque eles são reciclados por definição. Um número que você aluga para uma verificação fica reservado para você durante a ativação; depois, pode voltar a ser usado por outras pessoas e em outros serviços. É isso que o torna barato e descartável — e é por isso que ele nunca deve virar o canal de recuperação de longo prazo de uma conta que importa para você.

• ·Bons usos: passar por um cadastro sem dar seu número pessoal ao serviço; mensageiros, redes sociais, marketplaces, testes grátis e contas de teste, em que o número só importa no momento da verificação.
• ·Maus usos: banco, pagamentos, serviços do governo e qualquer conta cuja única forma de recuperação seja um SMS para aquele número. Essas merecem um número que ainda será seu daqui a cinco anos.
• ·Logo depois de verificar: adicione um e-mail de recuperação, ative a verificação em duas etapas por app e, se o serviço permitir, não deixe o número alugado como único caminho de volta.

Usado assim, um número alugado vira na verdade uma defesa contra o problema da reciclagem, e não um exemplo dele. Seu número real — aquele que um dia pode ser desativado e revendido — nem chega a parar em dezenas de bancos de dados.

Perguntas frequentes