Você protege sua senha. Mas provavelmente está ignorando algo que um atacante pode explorar muito mais facilmente.
Deixa eu começar com uma pergunta que a maioria das pessoas nunca para para fazer.
Quantos serviços diferentes têm o seu número de telefone cadastrado agora mesmo?
Não precisando ser exato — só pensa: apps de delivery, redes sociais, e-commerce, serviços de streaming, plataformas de trabalho, ferramentas online que você testou uma vez e esqueceu... A lista provavelmente é longa. Mais longa do que você imagina.
E esse número que está em todos esses lugares? É o mesmo que está vinculado ao seu banco. Ao seu WhatsApp. Ao Pix. Ao e-mail de recuperação de conta.
Esse é o problema que esse artigo vai destrinchar — e por que números virtuais são uma resposta técnica legítima a ele.
Primeiro, Vamos Falar Sobre o Que Realmente Está Em Jogo
Existe uma tendência de tratar segurança de contas como se fosse um problema de senha. Mas na prática, alguns dos ataques mais eficazes contra contas online não quebram nenhuma criptografia — eles exploram o número de telefone.
Três formas que isso acontece na vida real:
SIM Swap: O Ataque Que Não Precisa Hackear Nada
O SIM swap é elegantemente simples e assustadoramente eficaz.
O atacante não invade seu banco de dados. Não quebra sua senha. Não explora nenhuma vulnerabilidade de software. Ele liga para a sua operadora de telefonia.
O fluxo, na prática:
1. Atacante junta informações sobre você
(nome, CPF, data de nascimento — tudo isso vaza com frequência)
2. Liga para a operadora fingindo ser você
"Perdi meu chip, preciso de uma segunda via"
3. Operadora verifica com as informações que o atacante forneceu
(que coincidem com o que ele coletou)
4. Operadora transfere seu número para o chip do atacante
5. A partir desse momento, todo SMS enviado para o seu número
chega para ele — inclusive códigos de verificação
6. Atacante vai em banco, email, qualquer serviço
→ "Esqueci minha senha"
→ Código chega para ele
→ Acesso concedido
O que me deixa mais incomodado nesse ataque não é a sofisticação. É a ausência dela. O atacante nunca precisou de skill técnico avançado. Precisou de informações que estão amplamente disponíveis em vazamentos, e de um processo de atendimento humano que pode ser enganado.
E quanto mais contas importantes estão vinculadas ao seu número, mais valioso é o alvo. É um ataque que compensa mais contra quem tem mais a perder.
SS7: O Ataque que Acontece na Infraestrutura
Esse aqui é mais técnico e requer recursos fora do alcance de criminosos comuns — mas vale entender porque ele existe e é real.
O SS7 (Signaling System 7) é o protocolo que coordena o roteamento de chamadas e SMS globalmente. Foi criado nos anos 70, numa época em que a rede de telefonia era fechada e confiável. Hoje ele roda em infraestrutura conectada à internet com atores maliciosos de vários tipos.
Vulnerabilidades documentadas no SS7 permitem que alguém com acesso à infraestrutura redirecione mensagens SMS em trânsito:
Serviço envia SMS de verificação para o seu número
↓
Mensagem passa por nós de roteamento SS7
↓
Atacante com acesso ao SS7 intercepta antes da entrega
↓
Código chega para o atacante, não para você
↓
Você fica esperando um SMS que nunca vai aparecer
Esse ataque não é coisa de ficção científica — foi demonstrado por pesquisadores e jornalistas em situações reais. Mas requer acesso que poucos criminosos comuns têm.
Por que menciono então? Porque ele explica por que confiar em SMS como único fator de autenticação para contas críticas é estruturalmente problemático — independente de tudo mais.
Smishing: Quando Spam Vira Golpe Direcionado
Esse é o mais cotidiano dos três e provavelmente o que mais pessoas já encontraram sem saber o nome.
Smishing é phishing via SMS. E ficou muito mais sofisticado.
O smishing genérico de anos atrás — "você ganhou um prêmio, clique aqui" — era fácil de identificar. O smishing de 2026 é diferente. Usa seu nome correto. Menciona o banco específico que você usa. Chega num horário plausível. Às vezes até referencia uma transação recente.
Como o atacante sabe essas coisas? Cruzando dados de diferentes vazamentos. Quanto mais lugares têm seu número, mais fragmentos de informação sobre você estão disponíveis para esse cruzamento. E quanto mais precisas as informações na mensagem, mais difícil é identificar o golpe rapidamente.
Onde os Números Virtuais Entram Nessa História
Agora que você entende os vetores de ataque, a lógica dos números virtuais como resposta fica mais clara.
O princípio é compartimentalização — um conceito bem estabelecido em segurança da informação. Você separa sistemas de forma que comprometer um não comprometa automaticamente os outros.
Aplicado ao número de telefone, fica assim:
Antes (tudo no mesmo número):
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Número Real ──→ Banco
──→ Email principal
──→ WhatsApp
──→ Pix
──→ App de delivery
──→ E-commerce aleatório
──→ Serviço que você testou uma vez
──→ Newsletter que você esqueceu
Se esse número for comprometido → tudo fica em risco.
Depois (compartimentalizado):
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Número Real ──→ Banco
──→ Email principal
──→ WhatsApp
──→ Pix
[só o que realmente importa]
Número Virtual ──→ Tudo o mais
──→ Apps, serviços, cadastros
──→ Coisas que pedem número mas não precisam ser o real
Se o número virtual for comprometido → não tem acesso ao número real.
O "raio de explosão" de um comprometimento fica contido. Esse é o valor principal.
Reduz o Incentivo Para SIM Swap
Lembra que o SIM swap é mais atraente quando o número está vinculado a muitas contas de alto valor?
Se o número que aparece nos cadastros online é virtual — e não está vinculado ao banco, email principal, ou Pix — o incentivo para executar um SIM swap naquele número cai drasticamente. O atacante controlaria um número que não dá acesso a nada importante.
Para chegar ao número real, ele precisaria descobrir qual é. Isso não é impossível, mas é um passo extra que aumenta o custo e o esforço do ataque.
Para Quem Quer Um Setup Mais Estruturado
Dá para levar a compartimentalização mais longe com múltiplos números virtuais por contexto:
Número Real
└── Banco, email, WhatsApp pessoal, Pix
[mínimo de serviços, máximo de proteção]
Número Virtual A — profissional
└── Clientes, LinkedIn, contato de trabalho
[exposto profissionalmente, mas separado do pessoal]
Número Virtual B — cadastros gerais
└── Apps, plataformas, serviços online
[pode acumular spam sem afetar o resto]
Número Virtual C — temporário/descartável
└── Promoções, testes, uso pontual
[usado e descartado quando necessário]
Cada compartimento tem exposição definida. Você sabe exatamente o que cada número conecta a quê.
Honestidade Técnica: O Que Números Virtuais Não Resolvem
Nada frustra mais do que artigo técnico que só fala dos benefícios e ignora as limitações. Então vamos lá.
Não substituem 2FA robusto. Usar número virtual para SMS de verificação ainda é SMS — e SMS ainda é vulnerável a SS7 e a SIM swap do próprio número virtual. Para contas críticas, app autenticador (Google Authenticator, Authy) ou chave física (YubiKey) são genuinamente superiores. Número virtual e TOTP se complementam — um não substitui o outro.
Dependem da segurança do provedor. Seus números virtuais existem na infraestrutura de alguém. Se o provedor sofrer um comprometimento, seus números podem ser afetados. A segurança do provedor que você escolhe importa — não é só questão de preço.
Não são aceitos em todo lugar. Plataformas com verificação estrita — instituições financeiras, serviços governamentais, algumas redes sociais — detectam e rejeitam certos números virtuais. Para esses serviços, você vai precisar do número real. Teste antes de depender.
Não resolvem outros dados vazados. Se um serviço vazar seu email, nome, e número virtual juntos, o número virtual ainda pode ser alvo de smishing. A diferença é que o smishing não vai ter acesso ao seu número real — o dano fica contido.
A Tabela Que Clarifica a Confusão
Muita gente confunde número virtual, SMS como 2FA, e app autenticador. São coisas diferentes:
| SMS (número real) | SMS (número virtual) | App autenticador (TOTP) | |
|---|---|---|---|
| Vulnerável a SIM swap | Sim — direto | Parcialmente* | Não |
| Vulnerável a SS7 | Sim | Sim | Não |
| Exposição de identidade | Alta | Baixa | N/A |
| Facilidade de uso | Alta | Alta | Média |
| Custo | Zero | Baixo | Zero |
| Aceito em todo lugar | Sim | Variável | Variável |
*SIM swap do número virtual compromete aquele número, mas não compromete as contas vinculadas ao número real.
Conclusão prática:
- Contas críticas → App autenticador + número real só onde inevitável
- Cadastros gerais → Número virtual para SMS
- Onde disponível → FIDO2/WebAuthn para o nível mais robusto
Como Implementar Isso de Forma Sensata
Não precisa virar um projeto. Aqui está a forma mais simples de começar:
Hoje:
✓ Ative 2FA via app autenticador no seu email principal e banco
✓ Ligue para sua operadora e pergunte sobre bloqueio de portabilidade
não autorizada (muitas operadoras oferecem isso)
✓ Remova seu número real de perfis públicos onde não é necessário
Para novos cadastros a partir de agora:
Se o serviço é crítico (banco, email, carteira digital):
→ Número real + app autenticador
Se o serviço é tudo o mais:
→ Número virtual
Não precisa migrar o passado todo de uma vez. O valor se acumula com cada novo cadastro que não usa o número real.
Monitoramento regular:
- Verifique se seu número apareceu em vazamentos em haveibeenpwned.com
- Observe padrões suspeitos de SMS chegando no número virtual
- Cheque periodicamente o que cada app tem permissão de acessar no seu telefone
Escolhendo um Provedor Que Vale a Pena
Já que a segurança do número virtual depende do provedor, vale ser criterioso:
Entrega confiável — código que não chega dentro do prazo de validade torna o serviço inútil. Teste antes de comprometer.
Histórico dos números — número que circulou por centenas de usuários anteriores carrega reputação negativa nas plataformas. Provedor que gerencia a qualidade do inventário entrega algo diferente.
Política de dados clara — o provedor coleta o mínimo necessário? Armazena por quanto tempo? Compartilha com quem? Para uso com foco em privacidade e segurança, menos coleta é melhor.
Autenticação da própria conta — se sua conta no provedor for comprometida, todos os seus números virtuais ficam expostos. Provedor que oferece 2FA na conta dele merece ponto extra.
O NumeroVirtual é focado especificamente em verificação por SMS e privacidade online — não é funcionalidade secundária de uma plataforma maior. Para quem quer números para isolamento de identidade sem complexidade desnecessária, vale incluir na avaliação.
TL;DR — Versão Para Salvar e Compartilhar
O problema:
Número real vinculado a muitas contas = alvo valioso para SIM swap
Smishing fica mais convincente com mais dados disponíveis sobre você
SS7 permite interceptação em nível de infraestrutura
O que número virtual resolve:
✓ Isola número real das contas secundárias
✓ Reduz incentivo para SIM swap (número virtual ≠ acesso ao banco)
✓ Contém o dano se um serviço for comprometido
O que número virtual NÃO resolve:
✗ Não substitui app autenticador para contas críticas
✗ Não protege contra comprometimento do próprio provedor
✗ Não é aceito em todo lugar
A combinação certa:
Contas críticas → App autenticador (TOTP) + número real mínimo
Todo o resto → Número virtual
Você já implementou alguma forma de compartimentalização de números ou usa alguma abordagem diferente para proteger suas contas? Conta nos comentários — esse tipo de discussão técnica real vale muito mais do que qualquer artigo.
Top comments (0)