A proteção contra spoofing de número via STIR/SHAKEN autentica a origem de chamadas telefônicas, impedindo que fraudadores falsifiquem números para aplicar golpes. Este sistema verifica a identidade do chamador, restaurando a confiança nas comunicações e protegendo consumidores e empresas contra perdas bilionárias.
O que é proteção contra spoofing de número e como o STIR/SHAKEN funciona?
A proteção contra spoofing de número é um conjunto de técnicas e protocolos, sendo o STIR/SHAKEN o mais proeminente, que visa autenticar a origem de uma chamada telefônica. O termo "spoofing" refere-se à falsificação do número de telefone do chamador, uma tática usada por fraudadores para se passar por instituições legítimas, como bancos, seguradoras ou órgãos governamentais. O STIR/SHAKEN atua como um sistema de verificação digital, onde cada chamada recebe uma "assinatura" que atesta sua autenticidade. Este processo começa com a operadora de origem, que valida se o número que está realizando a chamada é realmente de propriedade do cliente e se a chamada é legítima. Essa validação é baseada em um processo de "Know Your Customer" (KYC), onde a operadora conhece a identidade do titular da linha.
O funcionamento prático do STIR/SHAKEN pode ser dividido em três etapas principais. Primeiro, a operadora de origem gera uma assinatura digital para a chamada, que é um token criptografado contendo informações sobre a chamada e o chamador. Esta assinatura é classificada em três níveis de atestação: "A" (Full Attestation), onde a operadora tem certeza absoluta da identidade do chamador e da origem da chamada; "B" (Partial Attestation), onde a operadora sabe que originou a chamada, mas não pode garantir totalmente a identidade do assinante; e "C" (Gateway Attestation), usada para chamadas que entram na rede a partir de um gateway internacional ou de uma fonte não verificada. Na segunda etapa, a chamada e sua assinatura são transmitidas pela rede usando o protocolo SIP (Session Initiation Protocol). A assinatura é inserida em um cabeçalho específico, chamado "Identity header", que acompanha a chamada durante todo o seu percurso.
Na terceira e última etapa, a operadora de destino recebe a chamada e verifica a assinatura digital. Para isso, ela consulta uma infraestrutura de chaves públicas (PKI), que funciona como um "cartório digital" que confirma a validade da chave pública da operadora de origem. Se a assinatura for válida, a chamada é considerada autêntica e pode ser exibida ao usuário final com um selo de verificação, como "Chamada Verificada" ou "Número Confirmado". Se a assinatura for inválida ou estiver ausente, a chamada pode ser bloqueada, marcada como suspeita ou simplesmente exibida sem o selo de confiança. Este mecanismo, embora técnico, é transparente para o usuário final, que se beneficia de uma camada adicional de segurança sem precisar realizar nenhuma ação. A eficácia do sistema depende da adesão de todas as operadoras e provedores de serviços de comunicação, criando uma rede de confiança que dificulta a ação de fraudadores.
Quando a proteção contra spoofing de número faz sentido e quando não faz?
A proteção contra spoofing de número faz sentido para qualquer empresa que realize chamadas telefônicas para clientes, especialmente em setores como bancos, fintechs, seguradoras, call centers e serviços de cobrança. Ela é essencial quando a confiança na identidade do chamador é crítica para o negócio. Por exemplo, instituições financeiras que precisam autenticar ligações para evitar fraudes se beneficiam diretamente. No entanto, a implementação pode não fazer sentido para empresas que não realizam chamadas externas ou que operam em ambientes onde o spoofing não é uma ameaça relevante, como comunicações internas em redes privadas. Além disso, em regiões onde a regulamentação ainda não exige o protocolo e o custo de implementação é alto, pode ser mais viável aguardar a maturidade do mercado. A decisão deve considerar o volume de chamadas, o risco de fraudes e a conformidade regulatória.
Para aprofundar, é crucial entender que a decisão de implementar o STIR/SHAKEN não é binária, mas sim uma análise de custo-benefício baseada no perfil de risco da empresa. Uma empresa de pequeno porte que realiza poucas chamadas de cobrança pode não justificar o investimento inicial em infraestrutura e integração. Por outro lado, uma fintech que depende da confiança do cliente para operar pode considerar a autenticação de chamadas um diferencial competitivo indispensável. O contexto regulatório também pesa: no Brasil, a ANATEL estabeleceu prazos para a adoção do STIR/SHAKEN, mas a fiscalização ainda é gradual. Empresas que operam em setores altamente regulados, como o financeiro, devem priorizar a conformidade para evitar sanções futuras. Além disso, a decisão deve levar em conta a capacidade técnica da equipe de TI para gerenciar a complexidade do protocolo, que envolve a integração com Session Border Controllers (SBCs) e sistemas de faturamento.
Outro ponto a considerar é o tipo de chamada realizada. Chamadas de telemarketing ativo, que muitas vezes são associadas a spam, podem se beneficiar enormemente da autenticação, pois ela ajuda a distinguir chamadas legítimas de fraudulentas. Já chamadas de suporte técnico ou de relacionamento, que geralmente são iniciadas pelo cliente, podem não exigir o mesmo nível de verificação. A análise deve incluir também o impacto na experiência do cliente: chamadas autenticadas tendem a ter taxas de atendimento mais altas, mas a implementação mal feita pode levar a bloqueios indevidos de chamadas legítimas, gerando frustração. Portanto, a decisão de implementar a proteção contra spoofing deve ser baseada em uma avaliação holística que considere o risco de fraude, o custo de implementação, a conformidade regulatória e o impacto na experiência do cliente.
Quais critérios avaliar antes de escolher uma solução de proteção contra spoofing?
Antes de escolher uma solução de proteção contra spoofing de número, é necessário avaliar critérios como compatibilidade com a infraestrutura de telefonia existente, suporte ao protocolo STIR/SHAKEN pelos provedores de serviços de comunicação (CSPs), capacidade de integração com sistemas legados e custo total de implementação. Também é importante verificar se a solução oferece níveis de atestação (A, B ou C) adequados ao perfil de chamadas da empresa. A reputação do provedor e a experiência em mercados regulados, como os EUA, são indicadores de confiabilidade. Outro critério é a capacidade de monitoramento contínuo e ajuste de atestados, essencial para manter a eficácia contra fraudes. Por fim, avalie se a solução suporta Rich Call Data (RCD) para exibir informações verificadas ao destinatário, aumentando a taxa de atendimento.
Aprofundando, a compatibilidade com a infraestrutura existente é um dos pontos mais críticos. Muitas empresas operam com sistemas legados de telefonia, como centrais PBX (Private Branch Exchange) tradicionais ou SBCs (Session Border Controllers) mais antigos que podem não suportar nativamente o protocolo STIR/SHAKEN. Nesses casos, a solução escolhida deve oferecer uma camada de adaptação ou um gateway que possa traduzir os sinais e inserir as assinaturas digitais sem exigir a substituição completa do hardware. A integração com sistemas de CRM (Customer Relationship Management) e de discagem também é vital, pois a autenticação deve ser aplicada de forma consistente a todas as chamadas, independentemente de como são originadas. Soluções baseadas em nuvem, como as oferecidas por plataformas de comunicação como serviço (CPaaS), podem simplificar essa integração, oferecendo APIs que automatizam o processo de assinatura e verificação.
Outro critério fundamental é a capacidade de gerenciar a reputação dos números de telefone. A solução deve permitir o monitoramento contínuo de como as chamadas estão sendo classificadas pelas operadoras de destino. Se um número legítimo começar a ser marcado como spam, a empresa precisa agir rapidamente para corrigir o problema, ajustando os atestados ou entrando em contato com a operadora. Ferramentas de análise de dados e relatórios são essenciais para esse monitoramento. Além disso, a solução deve ser flexível para se adaptar às mudanças regulatórias. No Brasil, a ANATEL está em processo de definição de regras mais específicas para o STIR/SHAKEN, e a solução escolhida deve ser capaz de se atualizar para atender a essas novas exigências sem grandes retrabalhos. Por fim, o suporte ao Rich Call Data (RCD) é um diferencial importante, pois permite que a empresa exiba informações como o nome da empresa, o motivo da chamada e um logotipo, aumentando a confiança do destinatário e a taxa de atendimento.
Quais erros evitar ao implementar proteção contra spoofing de número?
Um erro comum é subestimar a complexidade técnica da implementação do STIR/SHAKEN, especialmente a integração com Session Border Controllers (SBCs) e sistemas de faturamento. Outro erro é não realizar um registro KYC (Know Your Customer) adequado dos números, o que pode resultar em atestados incorretos e bloqueio de chamadas legítimas. Empresas também falham ao não monitorar continuamente a reputação dos números, permitindo que chamadas legítimas sejam marcadas como spam. A falta de treinamento das equipes de TI e operações sobre o protocolo é outro equívoco, assim como escolher um provedor sem experiência comprovada. Por fim, ignorar a evolução regulatória, como as exigências da ANATEL para 2025 e 2026, pode levar a não conformidade e penalidades. Evitar esses erros requer planejamento, testes rigorosos e parceria com provedores especializados.
Para evitar esses erros, é essencial adotar uma abordagem estruturada. O primeiro passo é realizar uma auditoria completa da infraestrutura de telecomunicações, identificando todos os pontos de contato e os sistemas que precisam ser integrados. Isso inclui mapear o fluxo de chamadas, desde a origem (discador, CRM, etc.) até a entrega ao provedor de serviços. Em seguida, é crucial estabelecer um processo de KYC robusto, que vá além da simples verificação de documentos. A empresa deve garantir que cada número de telefone utilizado para chamadas externas esteja associado a uma entidade legal clara e que o uso do número esteja em conformidade com as políticas da operadora. Esse processo deve ser documentado e auditável, para que, em caso de disputa, a empresa possa comprovar a legitimidade de suas chamadas.
Outro erro crítico é a falta de testes em ambiente de homologação antes da implementação em produção. Muitas empresas implementam o STIR/SHAKEN diretamente em seus sistemas de produção, sem verificar se a assinatura está sendo gerada e verificada corretamente. Isso pode levar a bloqueios massivos de chamadas legítimas, causando prejuízos operacionais e de reputação. É recomendável criar um ambiente de teste que simule a rede de uma operadora parceira, onde as chamadas possam ser validadas e os atestados ajustados. Além disso, a equipe de TI deve ser treinada não apenas na configuração técnica, mas também na interpretação dos logs e relatórios de verificação. Eles precisam entender a diferença entre os níveis de atestação e como cada um impacta a entrega da chamada. Por fim, a escolha do provedor de solução deve ser baseada em referências e cases de sucesso, especialmente em mercados onde o STIR/SHAKEN já é obrigatório, como os Estados Unidos.
Como implementar STIR/SHAKEN na prática: guia operacional
A implementação prática do STIR/SHAKEN exige um planejamento meticuloso e a execução de etapas técnicas bem definidas. O primeiro passo é o registro e a verificação da origem da chamada, um processo conhecido como "Know Your Customer" (KYC). A empresa deve fornecer à sua operadora de telecomunicações ou provedor de serviços de comunicação (CSP) a documentação que comprove a propriedade e o uso legítimo de cada número de telefone que será utilizado para chamadas externas. Este registro é a base de todo o sistema, pois sem ele a operadora não pode gerar a assinatura digital de nível "A" (Full Attestation), que é a mais confiável. A ANATEL, no Brasil, exige que as operadoras mantenham um registro detalhado de seus clientes empresariais, o que torna este passo obrigatório para a conformidade regulatória.
O segundo passo é a geração da assinatura digital, ou "attestation". Após a verificação KYC, a operadora de origem configura seu sistema para gerar uma assinatura para cada chamada. Esta assinatura é um token JWT (JSON Web Token) que contém informações como o número de origem, o número de destino, a data e hora da chamada e o nível de atestação. A escolha do nível de atestação depende do grau de certeza que a operadora tem sobre a chamada. Para chamadas originadas diretamente de um número registrado e verificado, o nível "A" é o mais adequado. Para chamadas que passam por um gateway ou que são originadas de um número não verificado, o nível "C" é utilizado. A implementação técnica envolve a configuração do Session Border Controller (SBC) ou do softswitch para inserir o cabeçalho "Identity" no protocolo SIP (Session Initiation Protocol) de cada chamada.
O terceiro passo é a transmissão e verificação da chamada. A chamada, agora com sua assinatura digital, é transmitida pela rede até a operadora de destino. Esta operadora, ao receber a chamada, consulta uma infraestrutura de chaves públicas (PKI) para verificar a autenticidade da assinatura. A PKI funciona como um diretório centralizado que armazena as chaves públicas de todas as operadoras participantes. Se a assinatura for válida, a chamada é considerada autêntica e pode ser exibida ao usuário final com um selo de verificação. Se a assinatura for inválida ou estiver ausente, a chamada pode ser bloqueada, marcada como suspeita ou simplesmente exibida sem o selo. O quarto e último passo é a exibição da informação ao usuário final. Muitos smartphones modernos, como iPhones e aparelhos Android, já possuem suporte nativo para exibir o selo "Chamada Verificada" ou "Número Confirmado". Este feedback visual é a etapa final que empodera o usuário, permitindo que ele tome uma decisão informada sobre atender ou não a ligação.
Quais os riscos e limitações do STIR/SHAKEN na proteção contra spoofing?
O STIR/SHAKEN não é uma solução completa contra todas as formas de fraude telefônica. Ele autentica a origem da chamada, mas não impede que números legítimos sejam usados para golpes de engenharia social. Além disso, chamadas internacionais sem assinatura podem ser bloqueadas ou marcadas como suspeitas, afetando comunicações legítimas. A fragmentação da implementação entre operadoras, especialmente no Brasil, cria lacunas que fraudadores exploram. Outro risco é a dependência de infraestrutura de chaves públicas (PKI), que pode ser alvo de ataques. A partir de 2026, a integração com IA será necessária para detectar padrões fraudulentos, complementando a autenticação. Empresas devem estar cientes de que o STIR/SHAKEN reduz, mas não elimina, o risco de spoofing, exigindo camadas adicionais de segurança, como análise comportamental e listas de bloqueio.
Uma das principais limitações do STIR/SHAKEN é que ele não aborda o problema da "engenharia social". Um fraudador pode obter um número de telefone legítimo, registrá-lo em uma operadora e usá-lo para aplicar golpes. Nesse caso, a chamada seria autenticada pelo STIR/SHAKEN, mas ainda assim seria fraudulenta. O protocolo verifica a identidade do número, não a intenção do chamador. Portanto, a autenticação deve ser combinada com outras camadas de segurança, como a análise de padrões de chamadas (frequência, duração, horário) e a verificação de listas de bloqueio. Outra limitação significativa é a questão das chamadas internacionais. Muitos países ainda não adotaram o STIR/SHAKEN, o que significa que chamadas originadas fora dos EUA ou de regiões com baixa adesão podem não ter assinatura. Isso pode levar a bloqueios indevidos de chamadas legítimas de clientes ou parceiros no exterior.
A fragmentação da implementação é um risco real, especialmente no Brasil. Enquanto as grandes operadoras já estão em estágio avançado de adoção, muitas operadoras regionais e provedores de menor porte ainda não implementaram o protocolo. Isso cria "pontos cegos" na rede, onde chamadas fraudulentas podem entrar sem serem verificadas. Além disso, a dependência de uma infraestrutura de chaves públicas (PKI) introduz um ponto central de falha. Se a PKI for comprometida ou sofrer um ataque de negação de serviço, todo o sistema de verificação pode ser afetado. Para mitigar esses riscos, as empresas devem adotar uma abordagem de defesa em profundidade, combinando o STIR/SHAKEN com outras tecnologias, como a análise de reputação de números, a inteligência artificial para detecção de anomalias e a educação dos usuários finais sobre os riscos de engenharia social.
Como o Discador com IA de Voz se conecta à proteção contra spoofing?
O Discador com IA de Voz, que permite ligar, negociar e vender automaticamente, se beneficia diretamente da proteção contra spoofing de número. Chamadas autenticadas pelo STIR/SHAKEN têm maior taxa de atendimento e confiança do destinatário, aumentando a eficácia das campanhas. A integração com plataformas de IA de voz, como as oferecidas pela Omnismart, permite que as chamadas sejam assinadas corretamente, evitando bloqueios e melhorando a reputação do número. Além disso, a IA pode analisar padrões de chamadas para identificar tentativas de spoofing em tempo real, complementando a verificação do protocolo. Para empresas que utilizam discadores preditivos ou progressivos, a autenticação é essencial para manter a conformidade regulatória e a confiança do cliente, otimizando o retorno sobre investimento em comunicação.
A conexão entre o discador de IA e o STIR/SHAKEN é operacional e estratégica. Operacionalmente, o discador deve ser configurado para se integrar à plataforma de autenticação da operadora. Isso significa que, antes de cada chamada ser iniciada, o discador deve enviar as informações necessárias para que a operadora possa gerar a assinatura digital. Essa integração pode ser feita através de APIs (Application Programming Interfaces) que automatizam o processo. Estrategicamente, a autenticação de chamadas transforma o discador de IA de uma ferramenta potencialmente incômoda (associada a spam) em um canal de comunicação confiável. Quando o destinatário vê o selo "Chamada Verificada", a probabilidade de atender aumenta significativamente, o que melhora a eficiência das campanhas de vendas ou cobrança.
Além disso, a IA de voz pode desempenhar um papel ativo na detecção de fraudes. Algoritmos de machine learning podem analisar o comportamento do chamador em tempo real, identificando padrões suspeitos que podem indicar uma tentativa de spoofing, mesmo que a chamada tenha sido autenticada. Por exemplo, se uma chamada autenticada de um banco começar a solicitar informações sensíveis de forma agressiva, a IA pode intervir e alertar o usuário ou bloquear a chamada. Essa camada adicional de segurança é crucial, pois o STIR/SHAKEN sozinho não pode impedir a engenharia social. Portanto, a combinação de autenticação de chamadas com inteligência artificial cria um ecossistema de comunicação mais seguro e eficiente, onde a confiança é restaurada e as fraudes são mitigadas de forma proativa.
Tabela decisória: cenários, critérios, riscos e próximos passos
| Cenário | Critério | Risco | Próximo passo |
|---|---|---|---|
| Empresa com alto volume de chamadas para clientes | Necessidade de autenticação para evitar bloqueios | Chamadas legítimas marcadas como spam | Implementar STIR/SHAKEN com atestação A |
| Operadora regional com infraestrutura legada | Custo de integração e complexidade técnica | Falta de conformidade regulatória | Adotar plataforma em nuvem para redução de custos |
| Instituição financeira com risco de fraude | Segurança e confiança do cliente | Perdas por golpes de engenharia social | Combinar STIR/SHAKEN com IA de detecção |
| Empresa com chamadas internacionais | Suporte a atestação C para gateways | Bloqueio de chamadas legítimas | Verificar compatibilidade com operadoras parceiras |
Perguntas frequentes
Quais as diferenças entre STIR/SHAKEN e outras soluções de segurança contra spoofing?
STIR/SHAKEN autentica criptograficamente a origem da chamada, prevenindo spoofing na raiz, enquanto soluções tradicionais reagem a fraudes já identificadas. A partir de 2026, será complementado por IA, mas não substitui a autenticação. É mais eficaz que listas negras ou análise de reputação.
Quais são os principais desafios e limitações do STIR/SHAKEN na proteção contra spoofing?
Os principais desafios incluem fragmentação da implementação entre operadoras, custos elevados para provedores menores e dependência de PKI. Limitações: não impede golpes de engenharia social com números legítimos e pode bloquear chamadas internacionais sem assinatura. IA complementar é recomendada.
A proteção contra spoofing de número é obrigatória no Brasil?
A ANATEL estabeleceu prazos para adoção do STIR/SHAKEN, mas a obrigatoriedade total ainda não está em vigor. No entanto, a pressão regulatória aumenta, e projetos de lei como o PL 2793/2021 buscam exigir autenticação. Empresas devem se preparar para conformidade até 2026.
O que é proteção contra spoofing de número e como o STIR/SHAKEN funciona?
A proteção contra spoofing de número via STIR/SHAKEN autentica a origem de chamadas telefônicas, impedindo que fraudadores falsifiquem números. O sistema verifica a identidade do chamador usando assinaturas digitais e certificados, restaurando a confiança nas comunicações e protegendo contra perdas bilionárias.
Quando a proteção contra spoofing de número faz sentido para minha empresa?
Faz sentido para empresas que realizam chamadas externas para clientes, especialmente em setores como bancos, fintechs, seguradoras, call centers e cobrança. É essencial quando a confiança na identidade do chamador é crítica. Não faz sentido para comunicações internas ou onde o spoofing não é ameaça relevante.
Quais critérios avaliar antes de escolher uma solução de proteção contra spoofing de número?
Avalie compatibilidade com infraestrutura existente, suporte ao STIR/SHAKEN pelos provedores, capacidade de integração com sistemas legados, custo total, níveis de atestação (A, B ou C), reputação do provedor, monitoramento contínuo e suporte a Rich Call Data (RCD) para exibir informações verificadas.
Quais erros evitar ao implementar proteção contra spoofing de número?
Evite subestimar a complexidade técnica, não realizar registro KYC adequado, não monitorar reputação dos números, falta de treinamento das equipes, escolher provedor sem experiência e ignorar evolução regulatória como exigências da ANATEL para 2025 e 2026.
Como implementar STIR/SHAKEN na prática para proteção contra spoofing de número?
A implementação prática envolve integrar o protocolo com Session Border Controllers (SBCs), realizar registro KYC dos números, configurar níveis de atestação, testar com operadoras parceiras e monitorar continuamente. Parceria com provedores especializados e planejamento são essenciais para evitar bloqueios de chamadas legítimas.
Atualizado em 26 de julho de 2026.
