Estatísticas de Fraude de SIM Swap 2026: Os Números que Toda Equipe de Segurança Deve Conhecer

A fraude de SIM swap tem um problema de reputação: os números das manchetes parecem estar melhorando, enquanto as equipes de segurança na linha de frente sabem que a ameaça não está desaparecendo. Conciliar esses dois fatos é o objetivo central deste resumo. Abaixo estão as estatísticas verificáveis mais recentes sobre SIM swapping — extraídas de fontes primárias como o Internet Crime Complaint Center do FBI — juntamente com o contexto que explica o que os números realmente significam para qualquer pessoa que ainda proteja contas com senhas únicas via SMS.

Em resumo: de acordo com o Internet Crime Complaint Center do FBI, as vítimas nos EUA reportaram US$ 26,0 milhões em perdas por SIM swap em 982 reclamações em 2024, uma queda em relação ao pico de US$ 72,6 milhões em 2022. No entanto, esses números capturam apenas as reclamações reportadas e excluem os esvaziamentos de contas subsequentes que um SIM swap possibilita — por isso, eles subestimam substancialmente o custo real, razão pela qual reguladores e empresas ainda tratam isso como uma ameaça crescente.

Aqui está o panorama completo — os dados plurianuais, quem é alvo, por que as perdas reportadas estão caindo enquanto o risco não, a resposta regulatória e o que os números significam para a forma como você verifica os usuários.

Estatísticas de fraude de SIM swap em 2026: os números principais

O conjunto de dados mais confiável dos EUA é o do Relatório Anual do Internet Crime Complaint Center (IC3). Confira a tendência plurianual de reclamações e perdas reportadas por SIM swap:

Fonte: FBI IC3 (PSA de SIM swap de 2022 referente a 2021; Relatório Anual do IC3 de 2024 referente a 2022–2024). Os números refletem apenas as reclamações reportadas.

À primeira vista, parece um problema em declínio: reclamações com queda de mais da metade desde o pico de 2022 e perdas reduzidas em cerca de dois terços. Analisando com atenção, não é nada disso — e a próxima seção explica o porquê.

Estatísticas de fraude de SIM swap em resumo

Os números mais citados dos dados atuais, reunidos em um só lugar:

• US$ 72,6 milhões — pico de perdas por SIM swap nos EUA reportadas ao FBI IC3, em 2022.

• US$ 26,0 milhões — perdas por SIM swap nos EUA reportadas ao IC3 em 2024.

• 982 — reclamações de SIM swap nos EUA registradas no IC3 em 2024.

• ~64% — queda nas perdas reportadas nos EUA de 2022 a 2024, apesar de não haver evidências de que a ameaça subjacente tenha diminuído.

• 2024 — ano em que as regras da FCC sobre proteção contra SIM swap e portabilidade entraram em vigor para as operadoras dos EUA.

• Restrito A classificação do NIST de senhas de uso único via SMS como autenticador.

Por que números em queda não significam risco em queda

Três fatos estruturais tornam o declínio relatado um indicador impreciso do nível real de ameaça.

1. O IC3 registra reclamações reportadas, não o total de incidentes

Os números do IC3 refletem apenas crimes que as vítimas decidiram reportar a um portal federal. A maior parte das fraudes nunca é registrada lá — as vítimas recorrem ao seu banco, à sua operadora ou a lugar nenhum. Quando um número de destaque depende de denúncias voluntárias, uma queda pode significar menos denúncias tão facilmente quanto menos crimes.

2. O SIM swap é uma porta de entrada, não o objetivo final

Este é o ponto crucial que a maioria dos resumos ignora. Um SIM swap raramente é o crime em si; ele é a etapa de acesso que desbloqueia o crime. Um invasor troca o SIM para interceptar um código de uso único e, em seguida, usa esse código para redefinir uma senha, drenar uma conta bancária ou esvaziar uma carteira de criptomoedas. A perda final é normalmente registrada sob essa categoria — fraude bancária, fraude de investimento, roubo de cripto — e não sob “SIM swap”. O resultado é uma subnotificação sistemática: a técnica que permitiu milhões em perdas aparece como apenas algumas centenas de reclamações. Analisamos essa cadeia de ataque em detalhes em nosso guia sobre proteção contra fraude de SIM swap nos EUA.

3. O resto do mundo está seguindo o caminho oposto

Enquanto os números reportados nos EUA caíram, vários outros mercados relataram aumentos acentuados no mesmo período, com agências de prevenção a fraudes descrevendo aumentos percentuais de três dígitos em SIM swaps não autorizados e portabilidades de número. O roubo por SIM swap relacionado a criptomoedas, em particular, continua a atingir dezenas de milhões de dólares anualmente. Em conjunto, o sinal global é de um ataque que está se consolidando e se profissionalizando, não desaparecendo.

Quem é o alvo

O SIM swap não é um golpe aleatório de alto volume; é um golpe direcionado, visando onde uma única invasão bem-sucedida traz retorno. Os perfis mais expostos são:

• Detentores de criptomoedas e usuários de corretoras — transações irreversíveis tornam as carteiras o alvo de maior valor, e as perdas por SIM swap em cripto continuam representando uma grande parcela do total.

• Contas de alto patrimônio e de executivos — contas bancárias, de corretoras e de e-mail cuja invasão desbloqueia acessos adicionais.

• Qualquer pessoa cuja recuperação ainda dependa de SMS — se um número de telefone pode redefinir a senha, esse número se torna a chave mestra.

O ponto em comum é a dependência do número de telefone como fator de recuperação e autenticação. É precisamente essa a dependência que o SMS OTP cria e que a verificação silenciosa elimina.

O custo real de uma única troca de SIM

O valor de perdas do IC3 refere-se apenas ao dinheiro que as vítimas relataram ter perdido. Para uma empresa, uma troca de SIM bem-sucedida na conta de um cliente ou funcionário acarreta um custo muito mais amplo que nunca aparece nessa estatística:

• Perda direta — os fundos drenados, saldo transferido ou criptoativos roubados, o que, para ativos on-chain, é praticamente irreversível.

• Remediação — investigação de fraude, horas de suporte, restauração de contas e redefinições forçadas de credenciais em toda a base de usuários afetada.

• Chargebacks e reembolso — muitas instituições absorvem o prejuízo para reter o cliente, transformando um evento de fraude em um impacto direto no resultado financeiro.

• Exposição regulatória e jurídica — obrigações de notificação de violação e, cada vez mais, o escrutínio sobre se controles de autenticação razoáveis estavam em vigor.

• Churn e reputação — um cliente que tem sua conta drenada raramente permanece, e incidentes públicos corroem a confiança muito além do indivíduo afetado.

Some tudo isso e o custo total de uma única invasão de conta geralmente supera o valor médio por reclamação — que é exatamente o motivo pelo qual as empresas avaliam a prevenção com base na redução total de risco, e não apenas no número de perda divulgado.

Por que a troca de SIM funciona: a dependência do SMS OTP

A fraude de troca de SIM não é uma falha de uma operadora ou de um banco específico; é uma falha no modelo. Enquanto controlar um número de telefone for suficiente para receber o código que autoriza ações sensíveis, roubar o número será um caminho garantido para acessar a conta. O próprio comunicado de utilidade pública sobre troca de SIM do FBI descreve exatamente esse padrão: os invasores usam engenharia social, acesso interno ou phishing para transferir um número para um cartão SIM que eles controlam e, em seguida, interceptam os códigos de uso único.

É por isso que a defesa não pode ser apenas "OTP melhor". Qualquer método que envie um segredo para um número de telefone herda a vulnerabilidade desse número. A solução é parar de tratar o recebimento de códigos como prova e, em vez disso, verificar se o SIM original está presente — uma verificação que um SIM trocado não passa. Esse é o princípio por trás da autenticação silenciosa de rede e da verificação de número em nível de operadora.

Como um ataque de troca de SIM realmente acontece

Entender a mecânica é o que torna as estatísticas úteis. De acordo com o aviso sobre troca de SIMdo FBI, um ataque típico ocorre em cinco etapas:

1. Reconhecimento. O invasor reúne os dados pessoais da vítima a partir de vazamentos de dados, corretores de dados, phishing e redes sociais — o suficiente para passar pelas verificações de identidade da operadora.

2. Engenharia social com a operadora. Passando-se pela vítima (ou usando um funcionário subornado), o invasor convence a operadora de telefonia a transferir o número para um SIM que ele controla.

3. Assunção da linha. O número é ativado no chip do atacante e o telefone da vítima perde o sinal silenciosamente — muitas vezes, este é o primeiro e único sinal visível.

4. Intercepção de códigos. Com o número em mãos, o atacante recebe códigos SMS de uso único e links de redefinição de senha das contas da vítima.

5. Monetização. Transferências bancárias, saques de criptomoedas e invasões de e-mail ocorrem em poucos minutos — e são registrados como tais crimes, não como "SIM swap".

Note que a quarta etapa é o ponto crucial, e é exatamente o passo que a verificação em nível de operadora neutraliza: se a posse do original chip for necessária, um código interceptado torna-se inútil.

O SIM swap no panorama geral de invasão de contas

O SIM swap é uma das várias técnicas de invasão de contas, mas é excepcionalmente eficaz contra as defesas baseadas em SMS que a maioria das contas ainda utiliza:

O padrão é claro: toda defesa dependente de SMS possui uma forma de ser contornada, e o SIM swap é a mais confiável delas. Eliminar a dependência do código — em vez de reforçar sua entrega — é o que encerra essa categoria de risco.

A resposta regulatória está pressionando o SMS de ambos os lados

Dois órgãos reguladores dos EUA estão chegando à mesma conclusão por ângulos diferentes, o que, por si só, é um sinal claro de para onde o risco está caminhando.

A FCC está restringindo as operadoras. Em normas adotadas em 2023 e em vigor desde 2024, a FCC agora exige que as operadoras de telefonia móvel utilizem autenticação segura do cliente antes de uma troca de chip ou portabilidade, e que notifiquem os clientes imediatamente quando uma dessas ações for solicitada — visando diretamente a mecânica do golpe.

O NIST está restringindo as empresas. Em suas Diretrizes de Identidade Digital atualizadas, O NIST classifica as senhas de uso único via SMS como um autenticador restrito, incentivando as organizações a adotarem métodos mais robustos baseados em posse. Quando o órgão que estabelece as diretrizes para a identidade federal move um controle para um nível de "uso com cautela", auditorias do setor privado e seguradoras tendem a seguir o exemplo.

A mensagem de ambos é consistente: o modelo de número de telefone mais código SMS está sendo ativamente descontinuado. As empresas que se antecipam a isso reduzem simultaneamente a exposição a fraudes e futuros atritos de conformidade.

O que os dados significam para as empresas

Ao ignorar as variações anuais, as estatísticas apontam para uma conclusão duradoura: o risco não é o número bruto de trocas de SIM, mas a sua dependência do número de telefone como um fator de confiança. Cada conta cujo login, redefinição ou verificação adicional dependa de um código SMS está a apenas uma troca bem-sucedida de ser invadida, independentemente do total registrado pelo IC3 este ano.

Há também um sinal temporal nos dados. As mesmas APIs de rede das operadoras que os reguladores estão utilizando agora estão disponíveis para as empresas — portanto, pela primeira vez, um negócio pode verificar o risco de troca de SIM em tempo real e confirmar a posse de forma silenciosa, em vez de esperar que a operadora tenha impedido a troca. As ferramentas de defesa alcançaram a ameaça; a questão é se a sua pilha de verificação também alcançou.

Um exercício útil é mapear a sua própria dependência de números de telefone: liste todos os locais onde um número de telefone pode desbloquear ou recuperar uma conta — cadastro, login, redefinição de senha, verificação adicional, suporte técnico — e marque quais ainda dependem de um código SMS como prova. Cada um desses é um ponto de exposição a trocas de SIM, e o mapa geralmente revela mais pontos do que as equipes esperam. Fechá-los não exige eliminar o SMS da noite para o dia; exige colocar uma verificação de posse antes do código, para que um SIM trocado não possa passar, começando pelos fluxos de maior valor.

O que observar em 2026 e além

Três tendências moldarão o risco de troca de SIM nos próximos anos:

• A detecção de troca de SIM em tempo real torna-se comum. As mesmas APIs de rede das operadoras que permitem a verificação silenciosa também expõem um sinal de alteração de SIM em tempo real, permitindo que as empresas verifiquem o risco de troca antes de cada ação sensível, em vez de reagir após uma perda.

• A pressão regulatória aumenta. Com as regras da FCC agora em vigor e o NIST orientando as empresas a abandonarem o SMS, espere que auditorias, seguradoras e parceiros comecem a questionar como você verifica a posse — não apenas se você possui MFA.

• Os atacantes se adaptam ao eSIM e à IA. À medida que a adoção do eSIM cresce e a IA torna a engenharia social mais barata e convincente, as etapas de reconhecimento e falsificação tornam-se mais fáceis — aumentando a importância de defesas que não dependam de um humano para detectar a fraude.

A linha central: a defesa está mudando de "impedir a troca na operadora" para "assumir que as trocas acontecem e verificar a posse no momento do risco". Essa é uma estratégia que as empresas podem controlar diretamente.

Como se defender contra fraudes de troca de SIM

Uma defesa prática e em camadas funciona assim:

6. Pare de usar SMS OTP como fator único. Trate o recebimento de códigos como um sinal fraco, não como prova, especialmente para ações de alto valor.

7. Verifique a posse do SIM de forma silenciosa. Use a verificação de número em nível de operadora para que um SIM trocado falhe na checagem — a principal funcionalidade do NumberVerify2, um serviço dentro do conjunto de autenticação e prevenção de fraudesda Message Central.

8. Verifique o risco de troca de SIM antes de ações sensíveis. Leia um sinal de troca de SIM em tempo real e intensifique a verificação antes de pagamentos, transferências, redefinições e novas verificações de KYC.

9. Mantenha o OTP como um recurso de reserva, não como a porta de entrada principal. Retenha a Verificação por SMS OTP e o OTP via WhatsApp para casos de uso apenas via Wi-Fi ou não suportados, colocando-os após a verificação silenciosa, em vez de antes.

10. Implemente e monitore. Registre o canal de verificação e o resultado, e fique atento a picos de sinalizações de troca recente de SIM que possam indicar uma campanha direcionada.

Para o manual completo do atacante e a análise detalhada da defesa, consulte nosso guia de proteção contra fraude de troca de SIM.

Impeça a troca de SIM com a Message Central

O NumberVerify2 da Message Central é um serviço dedicado dentro do conjunto de ferramentas de autenticação e prevenção a fraudes que verifica a posse do SIM diretamente na operadora em menos de um segundo, retornando um sinal de risco de troca de SIM para que você possa agir. Ele funciona em conjunto com a Verificação por SMS OTP e WhatsApp OTP como alternativa, garantindo que a maioria dos usuários seja verificada de forma silenciosa, mantendo uma cobertura universal. Para ver como ele funcionaria contra o risco de troca de SIM no seu tráfego, fale com nossa equipe.

Perguntas frequentes

Quanto dinheiro é perdido com fraudes de troca de SIM?

As vítimas nos EUA relataram US$ 26 milhões em perdas por troca de SIM ao Internet Crime Complaint Center do FBI em 2024, uma queda em relação ao pico de US$ 72,6 milhões em 2022. Esses números cobrem apenas as reclamações relatadas e excluem as perdas bancárias e de criptoativos que a troca possibilita, portanto, o impacto econômico real é consideravelmente maior.

A fraude de troca de SIM está aumentando ou diminuindo?

As perdas relatadas nos EUA caíram desde 2022, mas isso provavelmente reflete mudanças na forma de relatar e categorizar, e não um declínio real — a troca de SIM geralmente é uma etapa de acesso cujas perdas são registradas sob outros tipos de crime. Vários outros mercados relatam aumentos acentuados, e órgãos reguladores, incluindo a FCC , continuam a tratá-la como uma ameaça crescente.

Como as empresas podem prevenir a fraude de troca de SIM?

Pare de depender de códigos SMS como prova e verifique a posse do SIM diretamente na operadora, para que um SIM trocado falhe na verificação. Adicione um sinal de risco de troca de SIM em tempo real antes de ações sensíveis e mantenha o OTP apenas como uma alternativa. Essa é a abordagem por trás do NumberVerify2 e da autenticação de rede silenciosa.