En resumen
- El 3 de noviembre de 2026 el Conselho Diretor de la Anatel aprobó por unanimidad un despacho contra el fraude por SMS A2P.
- Las operadoras deben crear en 90 días un directorio público de códigos cortos y bloquear los no registrados (prórroga posible de 30 días).
- Agregadores, integradores y plataformas digitales de autenticación también asumen obligaciones, sin ser equiparados a operadoras.
La Agência Nacional de Telecomunicações (Anatel) de Brasil ha decidido que las operadoras móviles deberán identificar públicamente a las empresas que envían SMS masivos y bloquear los mensajes de quienes no estén registrados. Importa porque el SMS sigue siendo un canal central de autenticación y, a la vez, de fraude.
Qué se ha decidido
Según informó TeleSíntese, el despacho fue aprobado por unanimidad por el Conselho Diretor en circuito deliberativo el 3 de noviembre de 2026, con ponencia del consejero Octavio Penna Pieranti. Los plazos corren desde su publicación. Desarrolla un plan de acción derivado de una determinación de agosto de 2025, elaborado con operadoras, agregadores de mensajes y la ABR Telecom.
Las prestadoras del Serviço Móvel Pessoal (SMP) deberán mantener un directorio sectorial centralizado de códigos cortos, consultable públicamente, que identifique a las personas jurídicas responsables del envío. El servicio de SMS A2P (de aplicaciones a personas) quedará restringido a empresas inscritas.
Plazos y obligaciones
- 90 días: impedir la entrega de mensajes con códigos cortos no registrados (prorrogable 30 días con justificación) y aplicar las medidas de agregadores, integradores y originadores.
- 60 días: cada código corto, asignado en principio a una sola persona jurídica; políticas internas de seguridad para SMS y un canal sectorial de alertas (prorrogable por igual plazo).
- Monitoreo automatizado del tráfico para detectar patrones anómalos, campañas fraudulentas, credenciales comprometidas y suplantación, con respeto a la protección de datos y al secreto de las comunicaciones.
- Informes periódicos al Grupo Técnico de Suporte à Segurança Pública (GT-Seg) sobre mensajes bloqueados e indicadores de eficacia.
Plataformas digitales y límites
La decisión alcanza también a responsables de aplicaciones y plataformas usadas para autenticar usuarios, recuperar credenciales y autorizar transacciones. Tendrán 90 días para garantizar identificación de remitentes, integridad y trazabilidad, con resultados de seguridad equivalentes a los exigidos al SMS A2P, sin imponer una tecnología concreta. El despacho aclara que no se atribuye a las operadoras un deber general de fiscalización de terceros ni se equipara a las plataformas con prestadoras de telecomunicaciones. La Superintendência Executiva presentará un informe en 180 días y abrirá una tomada de subsídios (consulta de aportes).
La mirada de CEA Digital Law
El Comité Euro Americano de Derecho Digital - CEA Digital Law valora el enfoque por capas: registro verificable del remitente, trazabilidad y reparto de responsabilidad según el control real de cada actor. Es un modelo útil para otros países de ALC y de África, donde el SMS es aún más determinante para la inclusión financiera y los registros de remitentes son incipientes. En Europa, el debate sobre suplantación de identidad del remitente y fraude en pagos avanza por vías distintas, y la experiencia brasileña ofrece un caso comparable.
Quedan cuestiones abiertas que conviene seguir: cómo se equilibrará el bloqueo con la continuidad de mensajes legítimos, qué gobernanza tendrá el directorio, cómo se medirá la «equivalencia» de seguridad en canales alternativos y cómo se protegerán los datos personales en el monitoreo. La consulta pública prevista es una buena ocasión para que academia y sector aporten evidencia.
Fuentes
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
