A maioria dos problemas de segurança telefônica não parece filme de hackers. É uma senha reutilizada no painel administrativo, o PIN do correio de voz ainda em 0000, um atendente da operadora convencido a passar seu número para outro SIM ou um golpista ligando para clientes com seu número na tela. Todos são evitáveis, e a maioria das soluções leva uma tarde.
Este guia mostra as ameaças que atingem pequenas e médias empresas em linhas VoIP e móveis, como identificá-las e o que fazer. Termina com um checklist e perguntas para qualquer provedor. Regras e datas vêm das páginas da própria FCC, consultadas em 19 de outubro de 2026. São informações gerais, não orientação jurídica.
Por que VoIP exige atenção própria à segurança
Um sistema VoIP é software na internet. Tem contas, painel administrativo, apps em celulares e notebooks e conexões à rede telefônica pública. Isso soma riscos da internet (senhas roubadas, aparelhos vulneráveis) aos antigos riscos telefônicos (chamadas fraudulentas, engenharia social). A boa notícia é que as soluções também são conhecidas: acesso seguro, permissões mínimas, monitoramento e um plano.
1. Fraude tarifária
O que é: alguém invade seu sistema ou conta e faz ligações pagas por você, geralmente para números internacionais caros ou de tarifa especial, muitas vezes à noite ou no fim de semana, sem ninguém olhando. A conta pode chegar antes de alguém perceber.
Como entram: senha administrativa adivinhada ou roubada, correio de voz com PIN padrão que permite chamadas externas, PABX local exposto ou funcionário enganado para transferir a chamada para uma linha externa. A FCC alerta há tempos sobre essas rotas: seu guia sobre o golpe telefônico 90# descreve pedidos para discar códigos que liberam uma linha externa, e o guia sobre invasão do correio de voz aponta PINs padrão como fragilidade comum e recomenda desligar notificação remota, atendimento automático, encaminhamento e busca externa não utilizados (guia da FCC sobre o golpe 90#, ambos consultados em 19 de outubro de 2026).
- Bloqueie o que não precisa: Desative chamadas internacionais e de tarifa especial se não as utiliza. Muitos provedores permitem liberar apenas países específicos.
- Defina alertas e limites de gasto: Peça alertas de uso e um limite rígido de cobrança de chamadas ao provedor.
- Proteja o correio de voz: Use PINs longos e exclusivos e desative chamadas externas a partir do correio de voz.
- Treine a recepção: Nunca transfira desconhecidos para linhas externas nem disque códigos a pedido de quem liga.
2. Invasão de conta
O que é: alguém entra em uma conta de usuário ou administrador do sistema. Com uma conta administrativa, pode ler mensagens, ouvir gravações, mudar roteamento, adicionar usuários ou exportar contatos. Com uma conta de usuário, pode se passar por esse funcionário diante dos clientes.
- Verificação em duas etapas em todo lugar: Exija código de app autenticador para todo administrador e, idealmente, todo usuário. Códigos por SMS são melhores que nada, mas mais fracos devido à troca de SIM (abaixo).
- Login único quando possível: Se o provedor aceita login Google ou Microsoft, um único lugar para remover acessos é mais seguro que dez.
- Remova acessos no dia da saída: Quando alguém sair, remova o acesso ao sistema, as sessões nos apps e números direcionados ao celular pessoal dessa pessoa.
- Menos administradores: Conceda direitos administrativos ao menor número de pessoas possível e revise a lista trimestralmente.
3. Troca de SIM e portabilidade fraudulenta
O que é: um criminoso convence a operadora a passar seu número para um SIM sob controle dele ou para outra operadora, por portabilidade fraudulenta. Suas chamadas e mensagens, inclusive códigos de acesso, passam a chegar a ele. Para uma empresa, pode ser o número do proprietário, do site ou vinculado à conta bancária.
A FCC adotou regras em 15 de novembro de 2023 exigindo que operadoras móveis autentiquem clientes com métodos seguros antes de trocar SIM ou portar números e os notifiquem imediatamente quando houver solicitação (comunicado da FCC, consultado em 19 de outubro de 2026). A FCC publicou avisos separados sobre os prazos de cumprimento; confira a situação atual no site. De qualquer forma, suas próprias defesas importam.
- Adicione PIN de portabilidade ou bloqueio do número: A maioria das operadoras dos EUA oferece PIN de conta ou transferência, e algumas oferecem bloqueio do número. Pergunte à sua e ative as opções em todas as linhas comerciais, incluindo o celular pessoal do proprietário.
- Tire códigos de acesso do SMS: Use app autenticador ou chave de segurança para e-mail, banco e sistema telefônico.
- Reconheça o alerta: Um telefone que subitamente mostra “Sem Serviço” ou “Apenas SOS” onde normalmente há cobertura pode indicar que o número foi transferido. Ligue imediatamente para a operadora por outro telefone.
- Proteja os documentos de portabilidade: Números de conta e PINs de transferência são o que o ladrão precisa. Trate-os como senhas. Nosso guia de portabilidade explica a função de cada um.
4. Falsificação de identificador e STIR/SHAKEN
O que é: quem liga falsifica o número exibido. Golpistas usam números locais para obter resposta e, às vezes, o número de uma empresa real para enganar clientes. O guia da FCC sobre falsificação de identificador explica que, pela Truth in Caller ID Act, enviar identificação enganosa ou inexata com intenção de fraudar, causar dano ou obter valor indevidamente é ilegal, com multas de até US$10.000 por infração. Nem toda falsificação é ilegal: um médico usando o celular pessoal e exibindo o número do consultório é um uso legítimo (consultado em 19 de outubro de 2026).
STIR/SHAKEN é a estrutura do setor que permite assinar digitalmente chamadas para atestar que o originador pode usar o número exibido. A FCC exigiu sua implementação nas partes IP das redes até 30 de junho de 2021, com extensão até 30 de junho de 2023 para provedores menores, e hoje exige que a maioria, incluindo provedores de gateway e intermediários, autentique a identificação nas chamadas transportadas (página da FCC sobre autenticação de identificador, consultada em 19 de outubro de 2026). Veja STIR/SHAKEN no glossário.
- Escolha um provedor confiável: Pergunte como ele assina chamadas de saída e qual nível de atestação recebem. Números cuja legitimidade o provedor atesta têm menor chance de serem marcados como spam.
- Registre o envio de mensagens: Mensagens comerciais em números locais precisam de registro 10DLC, e números gratuitos precisam de verificação. Tráfego registrado recebe mais confiança. Veja os guias de 10DLC e verificação de número gratuito.
- Diga o que nunca pedirá: Por exemplo: “Nunca ligaremos nem enviaremos mensagens pedindo seu número completo de cartão ou código de acesso.” Publique no site e nos e-mails de pedido.
- Acompanhe reclamações: Se clientes relatarem chamadas suas que você não fez, denuncie à FCC e avise os clientes. Não é possível impedir alguém de falsificar seu número, mas é possível tornar o golpe menos convincente.
5. Escuta indevida
O que é: alguém captura áudio ou dados de estabelecimento de chamada ao atravessarem a rede. Em sistemas hospedados modernos, é raro: o principal risco era tráfego sem criptografia em redes compartilhadas. Ainda vale conferir.
- Pergunte sobre criptografia: Procure TLS para sinalização e SRTP para áudio, além de criptografia de gravações e correio de voz armazenados.
- Separe as redes do escritório: Coloque telefones de mesa e Wi-Fi de visitantes em redes separadas e troque senhas padrão dos roteadores e telefones.
- Cuidado com Wi-Fi público: Para chamadas sensíveis, use o app do provedor nos dados móveis ou em rede confiável.
6. Gravações, correio de voz e histórico
Um sistema telefônico reúne dados privados: gravações, recados, transcrições e mensagens com endereços, detalhes de pedidos e, às vezes, informações de saúde ou pagamento. O risco não vem só de fora. Também vem de ex-funcionários com acesso e gravações guardadas por anos sem motivo.
- Grave apenas com uma política: Conheça as regras de consentimento onde estão as pessoas que ligam. O guia de consentimento para gravação cobre a regra federal e os estados que exigem consentimento de todos.
- Defina a retenção: Exclua gravações e recados desnecessários em uma programação definida.
- Limite quem pode ouvir: Nem todo usuário precisa de todas as gravações. Prefira sistemas que registrem quem reproduziu ou baixou cada arquivo.
- Nunca receba números de cartão por voz ou mensagem: Direcione clientes ao checkout ou a uma página de pagamento segura.
7. Engenharia social contra a equipe
O ataque mais barato é uma ligação convincente. “Sou do TI, preciso do código que acabamos de enviar.” “Sou o cliente, mudei, atualize o endereço e reenvie o pedido.” Roteiros ajudam: decida antes o que a equipe nunca fará em chamadas recebidas (compartilhar códigos, mudar dados de repasse ou entrega sem verificar, transferir para linhas externas) e apoie quem disser não.
Checklist de segurança VoIP
- Acesso: Duas etapas para todo administrador e usuário; login único se disponível; sem logins compartilhados.
- Pessoas: Lista de administradores revisada trimestralmente; saídas removidas no mesmo dia; recepção treinada sobre golpes com transferência e códigos.
- Números: PIN de portabilidade ou bloqueio em todas as linhas, inclusive celulares dos proprietários; dados de portabilidade guardados como senhas.
- Chamadas: Internacionais e de tarifa especial desativadas salvo necessidade; alertas e limites de gasto ativos.
- Correio de voz: PINs longos e exclusivos; recursos remotos não utilizados desligados.
- Dados: Política de gravação escrita; retenção definida; acesso limitado e registrado.
- Mensagens: Registro 10DLC ou verificação de número gratuito concluído; comprovantes de consentimento guardados.
- Plano: Uma página com quem liga para a operadora e o provedor, como avisar clientes e onde estão os PINs das contas.
Perguntas para qualquer provedor
- Acesso: Há autenticação em duas etapas e login único? Posso exigir para todos?
- Controle de fraude: Posso bloquear chamadas internacionais ou de tarifa especial e definir alertas ou limites de gasto?
- Criptografia: Sinalização e áudio são criptografados em trânsito? Gravações e correio de voz são criptografados em repouso?
- Identificador: Como vocês assinam minhas chamadas de saída pelo STIR/SHAKEN?
- Proteção de números: Como protegem meus números contra portabilidade não autorizada?
- Registros: Posso ver quem entrou, mudou configurações e acessou gravações?
- Certificações: Quais auditorias independentes, como SOC 2, vocês têm? Posso ver o relatório?
Como o Chargezen cuida do que é sua responsabilidade
O Chargezen não é linha VoIP nem PABX. Itens acima, como telefones de mesa e roteamento de saída para outros países, não fazem parte dele. Veja o que faz nas áreas que controla:
- Número comercial, não celulares pessoais: Clientes ligam e escrevem para o número comercial, e colegas respondem pelo Finn ou navegador. Assim, nenhum celular pessoal de funcionário é o número conhecido pelos clientes. Veja por que isso importa.
- Acesso em duas etapas: Cada colega pode ativar autenticação em duas etapas no próprio acesso ao Chargezen.
- Gravação conforme suas regras: Configure cada número de acordo com sua política. Quem liga ouve o aviso antes da gravação, você escolhe a retenção, e cada reprodução e download é registrado com motivo. Veja gravação de chamadas.
- Um número comercial dos EUA para chamadas e mensagens: Obtenha um número local ou gratuito dos EUA, busque números disponíveis por código de área em números de telefone ou traga seu número atual. O Chargezen envia o registro 10DLC ou de número gratuito necessário para mensagens. Veja número comercial.
- Mudanças aguardam aprovação: Você decide o que o Concierge faz sozinho e o que espera por uma pessoa, como reembolsos e créditos. Veja aprovações.
O Chargezen não vende linhas VoIP, telefones de mesa nem PABX. Não tem URA ou menu telefônico, grupos de toque, encaminhamento ou toque simultâneo em celulares pessoais, roteamento por horário comercial, ramais nem números internacionais. Oferece apenas números locais e gratuitos dos EUA (+1). Se precisa desses recursos, contrate um sistema feito para isso e use o Chargezen onde fizer sentido.
O Concierge Starter custa US$20 por mês com 20.000 créditos. O Pro custa US$199 por mês com 199.000 créditos ou US$1.990 por ano. Mensagens custam US$0,02 por segmento e chamadas são cobradas conforme o uso, sem tarifas por usuário. Veja preços.
Termos relacionados: STIR/SHAKEN, portabilidade numérica, consentimento para gravação e 10DLC. Guias relacionados: como escolher um provedor VoIP, o que são chamadas Wi-Fi e como portar um número.
Perguntas frequentes
VoIP é menos seguro que uma linha fixa?
Não por natureza. Um sistema VoIP hospedado bem administrado, com criptografia e acesso em duas etapas, pode ser mais seguro que um PABX antigo sem atualização há anos. Os riscos são diferentes: VoIP acrescenta riscos de contas na internet, tornando a segurança de acesso mais importante.
Qual é o ataque VoIP mais comum contra pequenas empresas?
Invasão de conta e correio de voz levando à fraude tarifária, além de engenharia social contra funcionários, são os clássicos. Trocas de SIM miram o celular do proprietário, muitas vezes para acessar banco e e-mail.
Posso impedir a falsificação do meu número comercial?
Não totalmente. STIR/SHAKEN facilita identificar e rotular chamadas falsificadas, mas você não impede alguém de digitar seu número em uma ferramenta de falsificação. Avise clientes, denuncie à FCC e diga o que nunca pedirá.
STIR/SHAKEN bloqueia todas as chamadas automáticas?
Não. Verifica se quem liga pode usar o número exibido. Não decide se a chamada é desejada, e ligações que atravessam redes antigas sem IP podem não transportar a assinatura.
