O que ele realmente protege
O benefício concreto é que seu número de celular pessoal nunca entra no banco de dados de terceiros. Isso importa porque números de telefone são identificadores duráveis: uma vez que um marketplace, um aplicativo de relacionamento ou um fórum tem o seu, ele pode ser vendido, vazar em um incidente, ser cruzado com outros conjuntos de dados ou usado para spam por anos.
Verificar com um número que não é seu rompe essa cadeia para aquele cadastro. E um vazamento naquele serviço expõe um número reciclado, não o número que seu banco usa.
O que ele não oculta
Um número virtual não é anonimato. A plataforma em que você se cadastra continua vendo seu endereço IP, a impressão digital do seu dispositivo e navegador, sua forma de pagamento se você pagar a ela e seu comportamento na conta. Qualquer um desses pode identificar você, independentemente do número usado na verificação.
Ele também não oculta nada de nós nem do processador de pagamentos: uma carteira tem histórico de pagamentos, e mantemos os registros que qualquer operador precisa manter. Se você precisa de anonimato real diante de uma plataforma, o número de telefone é o menor dos problemas.
O risco real: reutilização
A regra de segurança mais importante é não vincular nada que importe a um número que você não vai manter. Quando a ativação termina, o número volta ao conjunto comum, e quem o tiver depois pode disparar uma redefinição de senha em qualquer conta que ainda aponte para ele.
Então: use ativações apenas para códigos de cadastro. Se uma conta precisa guardar um número de telefone — qualquer coisa com dinheiro, documentos ou anos de histórico —, use um número que você controla permanentemente, ou alugue um pelo tempo que a conta precisar.
Códigos são segredos, por pouco tempo
Trate um código de uso único como uma senha de vida curta. Nunca o repasse a ninguém, por mais oficial que a pessoa pareça — nenhuma equipe de suporte legítima precisa de um código que você recebeu. A maioria das tentativas de roubo de conta nessa área é simplesmente alguém convencendo o usuário a ler o código em voz alta.
É também por isso que páginas públicas de «SMS grátis» são inseguras para qualquer coisa privada: elas publicam exatamente esse segredo, para todos, na hora.
Onde está a linha
O uso legítimo é privacidade: manter seu número pessoal fora de bancos de dados que não precisam dele, ter uma segunda conta onde a plataforma permite ou se cadastrar em um serviço indisponível para o seu número local. Isso é comportamento comum e lícito.
O uso ilegítimo é fraude, se passar por outra pessoa, burlar um bloqueio ou as autoridades, criação massiva e automatizada de contas ou qualquer coisa abusiva contra outra pessoa. Nossa política de uso aceitável proíbe tudo isso, e contas que fazem isso são encerradas. Uma ferramenta de privacidade vale ser defendida justamente porque não é uma ferramenta de fraude.