A prevenção de fraudes e a recuperação da confiança nas comunicações exigem controles coordenados em toda a cadeia, da infraestrutura de rede às aplicações utilizadas por bancos, empresas e órgãos públicos. Durante o evento TS Segurança Digital e Serviços Gerenciados, organizado pelo Tele.Síntese, representantes do Banco Central, da Anatel, das operadoras e da EAF apresentaram medidas que envolvem responsabilidade sobre fornecedores, autenticação de chamadas, APIs de verificação e criptografia pós-quântica.
O painel “Confiança nas comunicações: Identidade Digital, Open Gateway e Pix” reuniu Carlos André de Melo Alves, coordenador do Departamento de Regulação do Sistema Financeiro do Banco Central; Diogo Della Torres, coordenador de Infraestrutura da Conexis Brasil Digital; Raphael Garcia de Souza, gerente de Controle de Obrigações Gerais da Anatel; e Otavio Scardelato Junior, gerente de Rede Privativa da EAF. O debate foi moderado por Valter Wolf, diretor de Projetos e Parcerias em Tecnologia da Brasscom, nesta terça-feira, 11, em São Paulo.
Bancos mantêm responsabilidade sobre terceiros
Na camada financeira, o Banco Central permite que instituições contratem empresas especializadas para prestar serviços de telecomunicações, computação em nuvem, armazenamento de dados e integração por APIs. A terceirização, contudo, não transfere ao fornecedor a responsabilidade da instituição perante o regulador.
“Ainda que haja uma divisão de responsabilidades contratuais entre o prestador e a instituição regulada, para efeito da regulação, 100% da responsabilidade recai na instituição regulada”, afirmou Carlos André.
A regra obriga bancos e outras instituições autorizadas a avaliar os riscos da terceirização, justificar a escolha dos fornecedores e adotar cláusulas contratuais previstas na regulamentação para determinados serviços. “Há liberdade, mas com adequada responsabilidade. Pela regulação, existe essa trava”, resumiu o representante do BC.
Ele também ressaltou que informações fornecidas por operadoras, APIs ou outras instituições são insumos para a análise. A decisão de autorizar uma transação ou classificá-la como suspeita continua sob responsabilidade da instituição financeira. “A responsabilidade para decidir se há ou não alguma fraude, baseada em todos esses insumos, é da instituição autorizada”, disse.
Autenticação tenta recuperar confiança nas chamadas
Na infraestrutura de telecomunicações, a Anatel aposta na autenticação da origem das chamadas para reduzir a adulteração do número chamador, prática conhecida como spoofing. A Resolução nº 777/2025 estabeleceu prazo de até três anos para que todas as chamadas originadas no Brasil sejam autenticadas. Em janeiro deste ano, a agência antecipou a obrigação para empresas que geram mais de 500 mil chamadas mensais.
“Todas as empresas que fazem mais de 500 mil ligações por mês são obrigadas a fazer essa autenticação. Então, já tem aí, grosso modo, 50% das ligações mensais do parque obrigadas a autenticar”, afirmou Raphael Garcia.
A autenticação permite que aparelhos compatíveis indiquem ao usuário que o número apresentado não foi adulterado. Segundo Raphael, a medida deve dificultar a atuação anônima de agentes envolvidos em fraudes.
Além da obrigação regulatória, a Anatel incentiva empresas e instituições que mantêm contatos legítimos com seus clientes a aderirem ao Origem Verificada. A autenticação busca garantir ao usuário que a origem da chamada não foi adulterada. “A gente precisa realmente resgatar a confiança do cidadão no serviço de telecom”, afirmou o executivo da agência. “A ideia é que aquelas instituições legítimas que têm um papel de contatar o seu usuário façam adesão ao Origem Verificada.”
Raphael reconheceu que a autenticação não elimina todas as possibilidades de fraude. O combate também depende da cooperação entre operadoras, plataformas digitais, instituições financeiras, reguladores e forças policiais. “Não há bola de prata. O que a gente tem que fazer é: abriu uma brecha, vai lá e fecha aquela brecha, e assim sucessivamente”, disse.
APIs verificam informações sem transferir dados
Diogo Della Torres apresentou o Open Gateway como uma camada adicional de verificação. A iniciativa padroniza APIs das operadoras para que bancos, seguradoras e outras empresas consultem informações da rede durante processos de autenticação e análise de risco.
As operadoras brasileiras já padronizaram quatro APIs: SIM Swap, para identificar troca recente do chip; verificação de número; localização do dispositivo; e Know Your Customer, para confrontar informações cadastrais. Segundo Diogo, essas interfaces não formam um banco de dados unificado das operadoras nem, em geral, transferem os dados consultados à empresa solicitante.
“Essas APIs não transferem dados. Elas fazem uma resposta, na maior parte das vezes, booleana, binária. Você vai confirmar que aquela informação recebida está válida ou está divergente da informação que você tem na rede”, explicou.
O coordenador da Conexis acrescentou que a finalidade e o consentimento são tratados pelo protocolo das APIs. A integração pode ocorrer diretamente entre a empresa e cada operadora, por meio de um integrador ou por uma estrutura desenvolvida pelo próprio usuário das interfaces.
Diogo citou o caso de uma instituição financeira brasileira que montou seu próprio integrador para se conectar às prestadoras e distribuir o acesso às APIs entre diferentes departamentos. O nome do banco não foi revelado. “Não são as operadoras criando um banco de dados único para comercializar informação. Isso é feito individualmente por elas ou pelo integrador, que vai estar conectado individualmente com cada uma”, ressaltou.
Rede do governo terá criptografia pós-quântica
A EAF apresentou a proteção da Rede Privativa de Comunicação da Administração Pública Federal como outra etapa dessa cadeia. A infraestrutura está sendo construída para futura operação pela Telebras e atenderá órgãos federais por meio de redes metropolitanas e acessos fixos. A previsão é entregar aproximadamente 2,2 mil equipamentos de criptografia para proteção das comunicações governamentais.
Segundo Otavio Scardelato Junior, a solução também está sendo preparada para incorporar algoritmos resistentes à capacidade futura dos computadores quânticos. “A solução que a gente está trazendo para que a Telebras possa fornecer aos seus clientes é de criptografia pós-quântica”, afirmou.
A preocupação inclui ataques nos quais dados protegidos são capturados atualmente e armazenados até que novas tecnologias permitam decifrá-los. “Harvest now, decrypt later. Significa: vamos colher agora para decifrar depois”, explicou Otavio. “O ataque hoje não é só para uso imediato. É para tomar essa informação, não fazer nada com ela nesse momento e, no futuro, ter ferramentas para decifrá-la.”
A rede também reúne mecanismos de identificação, autenticação, análise de privilégios e controle dos dispositivos conectados. Para o representante da EAF, a infraestrutura precisa proteger tanto os dados que circulam atualmente quanto informações que ainda poderão ser sensíveis quando novas capacidades computacionais estiverem disponíveis.
O post Confiança digital depende de proteção em toda a cadeia apareceu primeiro em TeleSíntese.
