Egidio
Dossiê · 2026

Como um número pode mentir

Uma ligação que mostra o número do seu banco não é necessariamente o seu banco. O spoofing — a falsificação do número exibido — é uma técnica antiga, ainda usada em massa, que os protocolos recentes estão apenas começando a combater.

Um mecanismo distinto do deepfake de voz

Este dossiê trata da falsificação do número exibido, não da clonagem da voz por inteligência artificial — um assunto distinto, tratado no dossiê IA generativa & deepfake de voz. O spoofing de número consiste em falsificar o identificador de chamada exibido na tela do destinatário, explorando protocolos históricos de telefonia, criados em uma época em que essa verificação não era uma questão de segurança.

O "neighbor spoofing"

A técnica mais comum documentada pelo regulador americano (FCC) consiste em exibir um número com o mesmo prefixo local, para parecer familiar e aumentar as chances de você atender — mesmo que quem liga não tenha absolutamente nenhuma relação com sua região. A mesma lógica se aplica à falsificação direta do número de uma empresa ou órgão que você já conhece. Nos Estados Unidos, a lei prevê multas de até US$ 10.000 por infração para esse tipo de spoofing malicioso.

Fonte: Federal Communications Commission (FCC), "Caller ID Spoofing".

A resposta técnica: STIR/SHAKEN

Diante desse problema, um protocolo de autenticação de chamadas — o STIR/SHAKEN — foi implantado para permitir que as operadoras verifiquem se um número que liga é realmente legítimo antes de transmiti-lo. A adoção avança, mas continua desigual:

44%
Parcela das operadoras telefônicas registradas que implantaram totalmente o STIR/SHAKEN nos Estados Unidos, em setembro de 2025.
FCC, dados de 28/09/2025.
17,5%
Parcela do tráfego assinado e verificado entre operadoras pequenas em 2025 — contra uma taxa bem mais alta nas grandes operadoras, criando uma cadeia de verificação desigual.
TNS, 2026 Robocall Investigation Report.

Em outras palavras: a verificação técnica existe, mas enquanto não estiver generalizada em todas as operadoras de uma cadeia de chamada, um número falsificado ainda pode chegar ao destinatário final sem ser sinalizado como suspeito.

Spoofing

Falsificação do identificador exibido em uma ligação ou SMS, para se passar por um número confiável.

Neighbor spoofing

Variante do spoofing que usa um número com o mesmo prefixo local para parecer familiar.

STIR/SHAKEN

Protocolo técnico que permite às operadoras telefônicas verificar e assinar a autenticidade de um número que liga ao longo de toda a cadeia de chamada.

🔒 Enquanto a verificação técnica continuar incompleta do lado da rede, a proteção do lado do aparelho mantém todo o seu sentido: reconhecer um padrão de ligação suspeito mesmo quando o número exibido parece familiar. Veja como funciona a Medusa.

Perguntas frequentes

O spoofing de número é a mesma coisa que o deepfake de voz?

Não. O spoofing falsifica o número que aparece na sua tela — uma técnica que existe há muito tempo. O deepfake de voz clona uma voz usando IA. Os dois podem se combinar, mas são dois mecanismos distintos.

O que é o "neighbor spoofing"?

Uma técnica que exibe um número com o mesmo DDD ou prefixo local, para parecer familiar e aumentar as chances de você atender — mesmo que quem liga não tenha nenhuma relação com sua região.

O STIR/SHAKEN protege completamente contra o spoofing?

Ainda não totalmente. Esse protocolo de autenticação de chamadas está amplamente implantado nas grandes operadoras americanas, mas sua adoção continua parcial entre operadoras menores, o que deixa brechas na cadeia.

Para saber mais