Atualizado em 20/10/2026. Este artigo é informativo e não é parecer jurídico: a medida provisória ainda precisa ser convertida em lei e depende de regulamentação da Anatel.
No dia 13 de outubro de 2026 foi publicada no Diário Oficial a Medida Provisória nº 1.396, assinada em 9 de outubro. Ela obriga as operadoras a autenticar as chamadas e a bloquear as que não forem autenticadas, cria uma base nacional de numeração e prevê o bloqueio, por 15 dias, de quem faz uso abusivo de chamadas. Quem opera PBX, SIP trunk ou call center tem uma pergunta direta: a minha operação vai ser afetada? A resposta curta é que ela pode ser, mas boa parte das regras ainda depende da Anatel. Vamos separar o que já vale do que ainda vai ser definido.
O que a MP determina
O texto tem dez artigos. Os principais:
Art. 2º: A prestadora de origem autentica as chamadas feitas em sua rede, as de trânsito preservam a autenticação e a de terminação verifica antes de entregar a chamada ao destinatário.
Art. 3º: Bloqueio, na terminação, das chamadas não autenticadas, com ressalvas que a Anatel vai definir (inclusive para serviços públicos essenciais). Bloqueio também de chamadas e mensagens que usem código de acesso fora do padrão da Anatel.
Arts. 4º e 5º: Chamadas autenticadas de pessoas jurídicas passam a ser identificadas ao destinatário com o nome empresarial e, se houver, o logotipo. Para isso, nasce uma base centralizada de numeração, sob supervisão da Anatel, com titulares, CNPJ e logotipo. As prestadoras pagam a base e podem cobrar de quem origina chamadas.
Art. 6º: Uso abusivo: a prestadora bloqueia por 15 dias a capacidade de originar chamadas do usuário que, no mesmo dia e no mesmo serviço, tiver mais de 1.000 chamadas por acesso (ou 10.000 no total dos acessos) e pelo menos 85% de chamadas curtas.
Arts. 7º e 9º: Chamadas massivas ficam sujeitas à regulamentação e à fiscalização da Anatel, e o descumprimento leva às sanções da Lei nº 9.472/1997.
No art. 6º, chamadas curtas são as não completadas, as destinadas à caixa postal e as completadas com duração de até seis segundos. Ficam de fora do conceito de uso abusivo as chamadas de órgãos públicos e de prestadores de saúde, segurança pública e defesa civil, no exercício de suas atividades.
Quando cada parte passa a valer
A MP entrou em vigor na data da publicação, mas o art. 8º escalona as obrigações:
Em 30 dias da publicação (por volta de 12 de novembro): o limite por acesso do uso abusivo e o bloqueio de código de acesso fora do padrão.
Em 60 dias (por volta de 12 de dezembro): é o prazo para a Anatel editar ou alterar a regulamentação.
A partir da regulamentação da Anatel, nos prazos que ela fixar: a autenticação, o bloqueio de chamadas não autenticadas, a identificação de empresas e a base de numeração.
Ou seja, o bloqueio das chamadas não autenticadas não começa sozinho em 30 dias: depende da regulamentação. E, por ser medida provisória, o texto ainda precisa ser aprovado pelo Congresso.
O Ministério das Comunicações afirmou que a MP antecipa o cronograma de autenticação que ia até 2028 e dá segurança jurídica às medidas da Anatel, que até então se apoiavam em despachos cautelares questionados na Justiça.
O que já existe hoje: a Origem Verificada
A autenticação de chamadas não nasceu agora. No Brasil, o sistema se chama Origem Verificada e é a implementação local do STIR/SHAKEN. Segundo as informações disponíveis, a ABR Telecom exerce o papel de Autoridade de Identificação e Autenticação, sob regulação da Anatel, e a regulamentação anterior previa a integração de todas as prestadoras até 2028. A MP vem acelerar esse caminho e dar base legal a ele.
Vale uma observação sobre números: há estimativas diferentes sobre quanto do tráfego já passa por esse sistema (a cobertura da imprensa fala em cerca de 6 bilhões de chamadas por mês em agosto de 2026, enquanto a ABR Telecom chegou a estimar menos de 20% das chamadas autenticadas). Como as bases e as datas diferem, o mais seguro é tratar o volume como crescente, mas ainda parcial.
Como a autenticação aparece na sinalização SIP
O STIR/SHAKEN usa assinatura digital para provar que o número exibido pertence a quem está ligando. Em termos de SIP:
A operadora de origem assina a chamada. A assinatura é um token (o PASSporT, um JWT, definido na RFC 8225), e o cabeçalho Identity do INVITE carrega esse token (RFC 8224).
O certificado usado na assinatura é indicado no próprio cabeçalho e segue o modelo da RFC 8226.
A operadora de terminação valida a assinatura. Se ela passa, a chamada pode ser entregue com a indicação de origem verificada.
Em uma captura, o cabeçalho tem este aspecto (exemplo fictício, com o token abreviado):
INVITE sip:+5511999990000@pbx.example.com SIP/2.0
Via: SIP/2.0/UDP 198.51.100.30:5060;branch=z9hG4bKabc123
From: <sip:+5511999990001@example.com>;tag=1234
To: <sip:+5511999990000@pbx.example.com>
Call-ID: exemplo-1@198.51.100.30
CSeq: 1 INVITE
Identity: eyJhbGciOi...;info=<https://cert.example.com/sti.pem>;alg=ES256;ppt=shakenA autenticação tem níveis de atestação. No nível A, a operadora conhece o cliente e confirma que ele está autorizado a usar aquele número. No B, conhece o cliente, mas não confirma o direito ao número. No C, a chamada apenas entrou na rede por um gateway, sem verificação real da origem. Só o nível A dá a verificação plena.
Dois limites importantes: a autenticação não resolve tudo (a própria Anatel descreve o sistema como uma camada adicional de segurança, não uma solução universal) e, na fase de transição, chamadas legítimas ainda circulam sem o selo.
O que muda para PBX, SIP trunk e call center
A MP impõe obrigações às prestadoras (origem, trânsito e terminação) e ao uso abusivo por usuário. Quem opera um PBX ou um call center sente o efeito de forma indireta, pelo provedor e pelo padrão de uso. As consequências mais prováveis, que são análise nossa e não texto da MP:
Quem apenas recebe chamadas: pode passar a ver chamadas identificadas com nome da empresa e logotipo e deixar de receber chamadas bloqueadas na terminação.
Quem origina chamadas por SIP trunk: o seu provedor é quem assina a chamada. Se o número de origem (o CLI) que o seu PBX envia não for um número que ele reconheça como seu, a chamada tende a ser mal atestada, ou até bloqueada quando a regra de bloqueio entrar em vigor.
Quem faz discador, campanhas ou volume alto: o art. 6º importa. Mais de 1.000 chamadas por acesso no mesmo dia, com 85% ou mais de chamadas curtas (não completadas, caixa postal ou até 6 segundos), pode levar ao bloqueio de originação por 15 dias.
Empresas que ligam para clientes: a identificação com nome e logotipo depende do cadastro na base de numeração, e a MP prevê que as prestadoras podem cobrar das empresas originadoras.
Checklist para a sua operação
Pergunte ao provedor de SIP trunk se ele já participa da Origem Verificada, qual atestação ele aplica às suas chamadas e o que ele precisa de você (CNPJ, comprovação do número).
Confira o número de origem (CLI) enviado no INVITE e no P-Asserted-Identity: deve ser um número seu, no formato que o provedor aceita.
Meça a taxa de chamadas curtas da operação (não completadas, caixa postal e até 6 segundos) e o volume por acesso e por dia.
Guarde os CDRs e os registros de sinalização para investigar bloqueios e contestações.
Ajuste discadores e campanhas para evitar rediscagem agressiva e chamadas para números inexistentes.
Acompanhe a regulamentação da Anatel (o prazo é de até 60 dias) e a tramitação da MP no Congresso.
Teste com captura: veja nas mensagens recebidas se o cabeçalho Identity está presente e o que o seu provedor entrega.
Como conferir na captura
Quando uma chamada de teste chega ao seu PBX, copie a mensagem do sngrep, do Wireshark ou do log do Asterisk e cole no analisador de mensagens SIP da EDCA. A ferramenta é gratuita, roda no seu navegador (nada do que você cola é enviado) e lista os cabeçalhos da mensagem, incluindo o Identity, ao lado de Via, From, To, Contact e dos demais. Use o botão de mascarar dados sensíveis antes de compartilhar a captura. Se você quiser entender cada campo, o artigo Estrutura do protocolo SIP e SIP URI é um bom ponto de partida.
O que ainda não sabemos
Quais exceções a Anatel vai definir para o bloqueio das chamadas não autenticadas.
Prazos finais de cada obrigação, depois da regulamentação.
Como serão tratadas chamadas internacionais e de roaming, e qual será o custo da base de numeração para as empresas.
Se o Congresso vai converter a MP em lei, com ou sem alterações.
Vamos atualizar este artigo quando a Anatel publicar a regulamentação.
Para aprender mais
Se você quer entender SIP, INVITE, cabeçalhos e como ler capturas de verdade, veja o curso Introdução ao SIP e Wireshark básico para VoIP, da EDCA, na Udemy. O curso Troubleshooting de Rede e SIP com Wireshark para VoIP está em breve. Conheça todos em edca.com.br/cursos.
Fontes
Medida Provisória nº 1.396, de 9 de outubro de 2026 (publicada no DOU de 13/10/2026): texto no Planalto.
TELETIME, MP antecipa autenticação de chamadas prevista para 2028, diz MCom (13/10/2026).
Mobile Time, Anatel tem até 6 bi de ligações por mês no Origem Verificada (agosto de 2026).
IETF, RFC 8224 (Authenticated Identity Management in SIP), RFC 8225 (PASSporT) e RFC 8226 (Secure Telephone Identity Credentials).