Você vai criar conta num aplicativo e aparece a pergunta: "qual é o seu celular?". Em seguida chega um SMS com seis dígitos para digitar na tela. Esse é o famoso código OTP — vale entender o que ele protege e o que não.
O que é um código OTP por SMS
OTP significa one-time password, senha de uso único. É um número curto, de 4 a 8 dígitos, gerado aleatoriamente pelo servidor, válido por poucos minutos e descartado depois do primeiro uso. Diferente da senha, não é algo que você memoriza.
A verificação por SMS responde a uma pergunta específica: quem está do outro lado tem mesmo acesso a este número? Não prova quem a pessoa é nem valida CPF — prova só o controle momentâneo daquela linha.
O passo a passo nos bastidores
- Você informa o número. O sistema normaliza o formato (país, DDD) e checa se é plausível.
- O servidor gera o código. Um número aleatório é criado e guardado junto com o seu telefone e um prazo de validade — em geral de 3 a 10 minutos.
- Um gateway entrega a mensagem. O serviço envia o texto a uma empresa intermediária, que repassa à operadora, que entrega ao aparelho. São várias mãos no caminho.
- Você digita o código de volta. Android e iPhone costumam preencher sozinhos.
- O servidor confere. Compara o que você digitou com o que guardou e checa prazo e tentativas. Bateu tudo, o telefone é marcado como verificado e o código é invalidado.
Por que tantos serviços usam SMS
A resposta honesta: funciona bem o suficiente e custa pouco. Não exige instalar nada, roda em qualquer celular — inclusive sem internet — e todo brasileiro tem um número.
Há também um motivo comercial forte: número de celular custa dinheiro em escala. Um robô gera mil e-mails em segundos, mas mil chips exigem custo real. Exigir SMS reduz muito cadastros falsos em massa e fraude em promoções de boas-vindas. Não elimina o problema, mas encarece o ataque.
As fraquezas reais do SMS
- SIM swap. O golpista convence a operadora — com engenharia social ou dados vazados — a transferir o seu número para um chip dele. A partir daí, todos os códigos chegam no aparelho do criminoso. É o ataque mais comum e destrutivo por aqui.
- Interceptação na rede (SS7). O protocolo que interliga as operadoras é antigo e tem falhas que permitem, em certos cenários, desviar mensagens. Exige recursos, mas é real.
- Phishing e repasse. O mais comum no dia a dia: alguém liga se passando pelo banco e pede o código que "acabou de chegar", ou um site clonado repassa o código ao serviço verdadeiro em tempo real. O código é legítimo — quem entrega é você.
- Código visível na notificação. Com a tela bloqueada, qualquer um perto do aparelho lê os seis dígitos.
- Falhas de entrega. Em roaming, com sinal ruim ou gateway congestionado, o código não chega — ou chega depois de expirar.
Para testar um cadastro sem expor a linha pessoal, um número temporário para receber SMS online resolve casos pontuais.
Quando o SMS basta e quando subir de nível
Para contas de baixo risco — transporte, loja online, fórum, newsletter — SMS está de bom tamanho. É muito melhor que só senha, e a diferença prática para um app autenticador é pequena.
Já para banco, corretora, carteira de criptomoedas, e-mail principal e contas de trabalho, vale migrar para um aplicativo autenticador. Os códigos nascem no próprio aparelho, a partir de um segredo compartilhado e do relógio, sem passar por operadora — o que neutraliza SIM swap e SS7. Se o conceito é novo, comece entendendo o que é um código TOTP e compare as abordagens em app autenticador vs SMS 2FA. Na hora de configurar, um gerador de códigos 2FA online ajuda a conferir se o segredo foi cadastrado certo.
Um degrau acima estão as chaves físicas e as passkeys, já aceitas por Google, Apple e bancos — resistentes a phishing porque só funcionam no site verdadeiro.
E a privacidade do seu número?
O telefone virou um identificador quase tão persistente quanto o CPF: acompanha você por anos, aparece em dezenas de serviços e permite cruzar bases. Quando há vazamento, o número vai junto — e vira insumo para spam, telemarketing e golpes.
Algumas atitudes ajudam: informe o número só quando for mesmo necessário, desconfie de cadastros simples que insistem em pedir telefone e desative a prévia de mensagens na tela bloqueada. Para inscrições sem importância, um número descartável para verificação por SMS e um endereço temporário do 1mail evitam que o seu contato pessoal circule à toa.
Perguntas frequentes
Por que o código SMS demora ou não chega?
SMS não tem entrega garantida. A mensagem passa por um gateway e pela operadora antes de chegar ao aparelho — congestionamento, filtros antispam, roaming ou sinal fraco atrasam ou derrubam o envio. Antes de pedir reenvio várias vezes, confira se digitou o número certo; pedidos repetidos podem bloquear a verificação.
Posso repassar o código para o atendimento de um banco?
Nunca. Nenhuma instituição séria pede código de verificação por telefone, WhatsApp, e-mail ou chat. O código serve para provar que é você — passá-lo adiante anula a proteção. Se alguém pedir, é golpe, mesmo que a ligação pareça vir do número oficial.
Vale desativar o SMS depois de configurar um app autenticador?
Em geral sim, nas contas de valor alto: manter o SMS ativo deixa a porta aberta ao SIM swap, já que o atacante escolhe o método mais fraco. Antes de desligar, salve os códigos de recuperação e, se possível, cadastre um segundo dispositivo — sem isso, perder o celular é perder o acesso.
