A evolução da fraude de troca de chip: como golpistas contornam camadas de segurança para assumir contas bancárias
A Group-IB mapeia como o SIM swap deixou de ser um golpe simples de engenharia social contra atendentes de operadora e virou uma fraude estruturada em etapas: primeiro coleta de dados da vítima via phishing, depois transferência ou conversão fraudulenta do número para eSIM contornando a verificação de identidade, e por fim interceptação de códigos de autenticação por SMS para assumir contas bancárias e mover dinheiro para contas-laranja. Um dos casos citados envolveu mais de 80 domínios de phishing registrados em massa para sustentar a coleta de dados que alimenta esse tipo de fraude.
O golpe começa antes mesmo de qualquer contato com a operadora de telefonia: os fraudadores primeiro precisam reunir dados sensíveis da vítima, como documento de identidade, número de telefone e informações de cartão, geralmente obtidos por meio de sites de phishing que imitam serviços conhecidos ou por engenharia social direta. Só depois de montar esse perfil é que partem para a etapa que dá nome ao golpe: solicitar a portabilidade do número para outra operadora ou sua conversão para um eSIM sob controle do criminoso.
Muitas operadoras e órgãos reguladores exigem verificação de identidade, inclusive biométrica, exatamente para dificultar esse tipo de fraude. A Group-IB descreve como os golpistas contornam essa camada: em vez de tentar quebrá-la tecnicamente, eles enganam a própria vítima para que aprove a solicitação de verificação, se passando por representantes de serviços legítimos — por exemplo, uma suposta oferta de emprego que pede "confirmação de identidade". Uma vez com o número sob controle, o próximo passo é interceptar os códigos de autenticação de dois fatores enviados por SMS, usados por bancos e carteiras digitais como camada extra de segurança.
Com o 2FA por SMS neutralizado, o dinheiro costuma sair rápido: o relatório documenta transferências imediatas para contas-laranja, justamente porque esse tipo de movimentação é difícil de reverter depois de feita. Os fraudadores também diversificam os canais de saída do dinheiro, combinando cartões roubados, Apple Pay, Android Pay e até pagamentos de contas de consumo como formas adicionais de lavagem. Para alimentar a etapa inicial de coleta de dados, um dos casos investigados envolveu o registro em massa de mais de 80 domínios de phishing em poucas semanas, usando typosquatting para imitar marcas de seguradoras conhecidas na região do Golfo — uma escala que mostra o quanto esse tipo de fraude já é operacionalizado como um pipeline, não um golpe artesanal.
Para o usuário final, a recomendação mais concreta é abandonar o 2FA por SMS sempre que possível, migrando para aplicativos autenticadores como Google Authenticator ou Duo, que não dependem do número de telefone. Qualquer solicitação inesperada de código de verificação ou notificação de redefinição de senha deve ser tratada como sinal de alerta de que alguém já está tentando um SIM swap contra a própria conta. Do lado das instituições financeiras, a Group-IB recomenda congelar automaticamente ações de alto risco assim que uma troca de SIM for detectada na linha associada à conta, complementar a verificação com análise comportamental — padrão de digitação, movimento do mouse, hábitos de login — além das perguntas tradicionais baseadas em conhecimento, e compartilhar inteligência em tempo real entre bancos, comércio e provedores de verificação de identidade.