6. Pix: o dinheiro que some em segundos

A noite de 1º de julho

Na noite de terça-feira, 1º de julho de 2025, uma empresa de São Paulo chamada C&M Software foi atingida por um ataque. A C&M não é um banco nem uma marca conhecida do público. É uma prestadora de tecnologia que liga instituições financeiras ao sistema de pagamentos do Banco Central, e por ela passam as ordens de Pix de várias instituições de pagamento. Naquela noite, segundo o Banco Central e a cobertura da imprensa, houve desvio de recursos de contas de reserva que essas instituições mantêm no próprio Banco Central. A reserva é o dinheiro que dá lastro às operações da instituição. Ela não pertence ao cliente que abriu uma conta em um aplicativo. Pertence à instituição, e é com ela que o sistema se acerta no fim de cada dia.

Nos dias seguintes, os números mudaram conforme a fonte e a fase da investigação. A Polícia Civil de São Paulo falou em cerca de R$ 541 milhões a R$ 542 milhões desviados da BMP, uma instituição de pagamento. O jornal O Estado de S. Paulo, por meio do Broadcast, apurou ao menos R$ 800 milhões e registrou que fontes do mercado estimavam um total que poderia chegar a R$ 1 bilhão. Em setembro, a Polícia Federal falaria em cerca de R$ 1,2 bilhão ligados à C&M, em reportagem sobre uma nova operação. Quem lê a notícia de hoje encontra, portanto, quatro cifras diferentes para o mesmo episódio, e todas vêm de fontes sérias. A diferença está em quem conta, em quais instituições entram na soma e em quando a conta foi feita. É um bom aviso de método para o resto do capítulo.

O que parece mais estável é a descrição geral. O Banco Central mandou desconectar a C&M do ambiente em que ela operava, o que suspendeu o Pix de algumas instituições, e depois autorizou a volta de forma controlada. A empresa afirmou que não houve invasão de seus sistemas: o que as evidências mostravam, disse, era o uso de credenciais verdadeiras de clientes. Na quinta-feira, 3 de julho, a polícia prendeu em São Paulo um profissional de TI de 48 anos, João Nazareno Roque, que trabalhava com a C&M. Segundo a Polícia Civil, ele teria entregado seu login e sua senha a outras pessoas, e a imprensa registrou que ele confessou ter vendido as credenciais por R$ 15 mil. A Justiça autorizou o bloqueio de R$ 270 milhões em uma conta que teria recebido parte dos valores.

Tudo isso aconteceu num único sistema, em poucas horas, com dinheiro de instituições e não de pessoas comuns. E mesmo assim o episódio revela o princípio que este capítulo vai desenvolver: o Pix é um trilho que corre depressa e não volta. Quem consegue colocar uma ordem válida nesse trilho, seja com R$ 200 de uma aposentada, seja com centenas de milhões de uma reserva, depende do mesmo fato: o dinheiro sai, atravessa contas em minutos, e quando alguém percebe, o rastro já se dividiu.

A cifra que mais importa para o leitor comum é outra. Ela está no número de quem foi ao banco, no dia seguinte ao golpe, e ouviu que o Pix não podia ser cancelado. O capítulo vai mostrar o que o Banco Central construiu para tentar mudar essa resposta, o que essa construção consegue, e por que ela chega tarde em tantos casos.

O que você vai levar deste capítulo

A irreversibilidade do Pix é uma escolha de projeto que torna o pagamento seguro para quem recebe, e é a mesma característica que faz do Pix o meio preferido do golpe. Não existe versão do Pix sem esse atributo que seja boa para o lojista e ruim para o golpista.

O dinheiro de um golpe atravessa contas de passagem, as chamadas contas laranja, em minutos. A defesa do lado de quem recebe depende de bloquear a conta enquanto o valor ainda está lá, e é por isso que a velocidade da vítima ao avisar o banco decide quase tudo.

O Mecanismo Especial de Devolução, o MED, é real, útil e limitado. Ele só recupera o que ainda está nas contas de destino, e o prazo para pedir é medido em dias, não em semanas.

O ataque à C&M mostra que o elo fraco do sistema pode estar numa credencial interna de um fornecedor, e não numa falha do Pix. Presunção de inocência vale para todos os acusados naquele caso.

Por que o Pix não volta

O projeto do trilho

O Pix foi lançado pelo Banco Central em novembro de 2020. Seu regulamento é o anexo à Resolução BCB nº 1, de 12 de agosto de 2020, e o desenho tem uma propriedade central: a transferência é instantânea, funciona a qualquer hora de qualquer dia e, uma vez concluída, é definitiva. O dinheiro vai da conta do pagador à conta do recebedor em segundos, e o recebedor pode usá-lo imediatamente. Para o comércio, isso é um ganho enorme. O lojista não espera dois dias úteis, não paga a tarifa do cartão e não corre o risco de a venda ser desfeita por um estorno meses depois.

A definitividade é, portanto, um benefício que o sistema entrega. O Banco Central a reafirma ao tratar do MED: segundo a cobertura sobre a regulamentação mais recente, o Pix segue, como regra, irreversível, e o mecanismo de devolução se aplica a casos de fraude, não a arrependimento ou erro de compra. O pagador que escolheu enviar o dinheiro e depois descobriu que o produto não existia está, do ponto de vista do sistema, na mesma situação de quem entregou dinheiro em mãos.

O contraste com os outros meios

Vale comparar com os meios que o Pix substituiu em parte. No cartão de crédito, o consumidor pode contestar uma compra e o banco desfaz o lançamento em um processo conhecido como chargeback, com prazos e regras definidos pelas bandeiras. O custo dessa proteção, que existe há décadas, é pago no preço: tarifas para o lojista e fraude absorvida pelo sistema. No boleto, a compensação leva algum tempo, e o beneficiário aparece nos dados do documento. Na TED, existia horário de funcionamento, o que limitava a velocidade.

O golpista, com o Pix, ganha três coisas ao mesmo tempo. Ganha velocidade, porque o dinheiro chega agora. Ganha definitividade, porque a vítima não tem um botão de desfazer. E ganha disponibilidade, porque o sistema não dorme, o que importa para golpes que usam a madrugada e o fim de semana, quando a equipe do banco é menor. Nenhuma dessas propriedades foi desenhada para ajudar o golpista, e todas ajudam. É a razão pela qual a discussão sobre segurança do Pix não se resolve com uma única regra.

A resposta do regulador

O Banco Central respondeu em camadas. A primeira foi limitar o valor em certos horários, tratada mais adiante. A segunda foi criar o MED, que permite pedir a devolução de valores em casos de fraude. A terceira, mais recente, foi reformular o MED para acompanhar o dinheiro por mais de uma conta. A lógica das três é a mesma: em vez de desfazer o Pix, que quebraria a propriedade que torna o sistema útil, tentar congelar o dinheiro enquanto ele ainda está perto da origem.

A conta laranja

A anatomia

Todo golpe que usa o Pix precisa de uma conta que receba o dinheiro. Essa conta não pode ser do golpista, porque seu titular seria identificado. A solução é usar contas de terceiros, que o jargão chama de contas laranja. O laranja pode ser alguém que cedeu a conta em troca de uma pequena quantia, pode ser alguém enganado que acredita estar fazendo um trabalho legítimo (receber e repassar valores, por exemplo, como parte de um falso emprego), ou pode ser uma conta aberta com documentos de pessoa que nem sabe que foi usada. Os três casos aparecem em investigações, e a proporção de cada um é desconhecida. Este livro não explica como se abre ou se aluga uma conta dessas, porque isso seria manual de execução. Para o perito, o que interessa é a função.

A função é a de interromper o rastro. O dinheiro entra numa conta, é dividido em partes e sai para outras contas, que repetem o processo, até chegar a um destino de onde é difícil recuperá-lo: um saque, uma compra de bem, uma conversão em outro ativo, um pagamento a um terceiro de boa-fé. Cada salto custa poucos minutos e acrescenta uma camada de incerteza para quem investiga. Quando a polícia ou o banco chegam à primeira conta, o dinheiro costuma já ter saído dela.

A lei brasileira trata esse circuito como lavagem de dinheiro. A Lei 9.613, de 1998, define o crime como ocultar ou dissimular a natureza, a origem, a localização, a movimentação ou a propriedade de bens provenientes de infração penal. O titular da conta que recebe e repassa pode responder, conforme as provas de que sabia ou assumiu o risco, e o laranja enganado tem uma defesa diferente do laranja que vendeu a conta. Quem tem essa dúvida deve procurar um advogado ou a Defensoria Pública, porque a linha entre vítima e participante é decidida caso a caso.

Cenário ilustrativo: doze mil reais em quarenta minutos

Imagine uma pessoa que, às 14h02 de uma terça-feira, faz um Pix de R$ 12.000 para uma conta que lhe foi indicada como segura. Às 14h06, na conta de destino, o valor é dividido: R$ 4.000 vão para uma segunda conta, R$ 4.000 para uma terceira e R$ 3.400 para uma quarta. Ficam R$ 600 na primeira, que são a comissão de quem cedeu a conta, cerca de 5% do total. Às 14h20, cada uma das três contas seguintes fez nova divisão. Às 14h42, quarenta minutos depois do primeiro Pix, o dinheiro já passou por nove contas, e boa parte dele saiu do sistema bancário em saques ou em pagamentos que o destinatário final aceita sem perguntar de onde veio.

A vítima só percebe o golpe às 16h30. Liga para o banco às 16h50. Quando o banco do recebedor recebe o pedido e bloqueia a primeira conta, estão ali R$ 600. O MED, no modelo antigo, só enxergava a primeira conta. No modelo novo, que acompanha as transferências seguintes, o bloqueio pode alcançar as contas posteriores, mas só encontrará o que ainda não saiu. Os números são inventados e arredondados, e servem para mostrar uma proporção: o que se recupera é a sobra do que o fluxo deixou, e a sobra depende do relógio.

Por que a conta laranja continua barata

A conta laranja é barata porque a oferta é grande. Há pessoas dispostas a ceder a conta por pouco, pessoas enganadas, e documentos vazados que permitem abrir contas em nome de terceiros. O custo para as instituições de combater esse mercado é alto: exigir mais verificação na abertura de conta afasta clientes legítimos, e monitorar o comportamento depois da abertura exige sistemas caros. Um banco digital que quer crescer a milhões de clientes tem incentivo para baixar o atrito da abertura. O resultado é a corrida que descrevi no capítulo 3, entre quem fornece contas e quem tenta fechá-las.

Boleto adulterado e QR falso

O caso do boleto de R$ 19 mil

No capítulo 5 apareceu o Recurso Especial 2.077.278, do STJ. Vale voltar a ele com outro ângulo. Segundo a notícia do tribunal, uma cliente que pediu por e-mail informações ao banco para quitar um financiamento foi contatada dias depois por WhatsApp por alguém que se apresentou como funcionário da instituição, e pagou um boleto de cerca de R$ 19 mil emitido por criminosos. A Terceira Turma, com relatoria da ministra Nancy Andrighi, restabeleceu a sentença que declarou válido o pagamento e determinou a devolução das parcelas pagas indevidamente.

A decisão importa aqui por duas razões. A primeira é a lógica do golpe: o criminoso sabia que a vítima estava negociando com o banco, conhecia o e-mail trocado e tinha dados do financiamento. Esse conhecimento sustentou a credibilidade da cobrança. A segunda é a observação da relatora, segundo o texto do tribunal, de que um boleto falso pode apresentar diferenças em relação ao verdadeiro que uma pessoa comum não consegue identificar, e de que "não se espera que uma pessoa comum seja sempre capaz de identificá-las".

A anatomia do boleto e do QR

O princípio é o mesmo nas duas formas. Um boleto, assim como um código de Pix copia-e-cola ou um QR, é um conjunto de dados que diz para quem o dinheiro vai e quanto. O golpista não precisa mexer no sistema do banco. Precisa que a vítima use o conjunto de dados dele em lugar do conjunto de dados legítimo. Isso pode acontecer substituindo o documento que chega por e-mail ou aplicativo de mensagem, apresentando um código que parece o do estabelecimento, ou construindo uma cobrança falsa com os dados de uma negociação real.

O QR é só uma maneira de transportar o texto. A imagem em si não prova nada, assim como um cartão de visitas bonito não prova quem o entrega. O que prova é o que o aplicativo do banco mostra na tela de confirmação, antes do pagamento: o nome do recebedor. Se o nome não bate com quem você espera pagar, o pagamento não deve seguir. Essa é, na maior parte dos casos, a defesa mais eficaz e a mais negligenciada, porque a tela de confirmação aparece no momento em que a pessoa já decidiu pagar e está com pressa.

A defesa

Para a pessoa, a regra é conferir o nome do beneficiário na tela de confirmação, comparando com o que você espera. Para boletos de dívida real, obtenha o documento por um canal que você inicia, como o aplicativo do banco ou o site oficial, e desconfie de boleto recebido por mensagem depois de uma conversa que você não começou. Para o comércio, vale deixar o QR do estabelecimento num suporte que não possa ser coberto por outro, e conferir periodicamente se não foi substituído. Para a empresa, qualquer mudança de dados bancários de um fornecedor deve ser confirmada por telefone, usando um número que já estava no cadastro, e nunca o que veio na mensagem que anuncia a mudança. O capítulo 11 trata dessa fraude em detalhe.

O MED: o que ele faz e o que não faz

As regras, como estão no guia do Banco Central

O Mecanismo Especial de Devolução é um conjunto de procedimentos que o Banco Central impôs aos participantes do Pix para tentar recuperar valores em casos de fraude e de falha operacional. Os prazos que seguem foram conferidos no Guia de Implementação do Banco Central, versão 4.3, e coincidem com os que o Apêndice C do livro Design Viciante registrou em outubro de 2026. O próprio guia informa a existência de uma versão 4.4, com vigência prevista a partir de 1º de setembro e 26 de outubro de 2026, de modo que os detalhes podem mudar, e é prudente conferir a versão em vigor no site do Banco Central.

O pedido é feito ao banco ou à instituição de pagamento de quem pagou. Segundo o guia, esse participante deve abrir o procedimento, hoje chamado de Recuperação de Valores, o mais rápido possível, e não deve analisar o mérito da reclamação nem exigir documentos como o boletim de ocorrência antes de abri-lo. Só depois de aberto o procedimento a instituição pode pedir documentos e analisar o caso. A transação original precisa ter ocorrido há, no máximo, 80 dias (ou 30 dias, se ela própria foi uma devolução).

Aberto o procedimento, o sistema avisa a instituição que recebeu o dinheiro e, no modelo atual, as instituições das contas seguintes que o rastreamento identificar. Cada uma deve bloquear imediatamente o valor solicitado, na conta de seu cliente, e, se o saldo for menor, bloquear o saldo total. O banco do recebedor tem até sete dias corridos para analisar se o cliente cometeu fraude. Se aceitar a notificação, mantém o bloqueio. Depois da análise, a instituição de quem pagou tem 72 horas para iniciar a devolução, e cada instituição recebedora tem seis horas para efetuá-la. Como as solicitações são enviadas em sequência, o guia observa que o prazo da etapa de devolução pode chegar a 24 horas quando há quatro instituições envolvidas.

O que mudou com o rastreamento em cadeia

O guia descreve a Recuperação de Valores como um processo que permite rastrear transações e bloquear recursos suspeitos não apenas na conta de destino da transação original, mas também em transações subsequentes, aumentando as chances de recuperação. A reformulação do MED, que a imprensa chama de MED 2.0, ampliou o alcance do bloqueio, que antes ficava na primeira conta. As regras foram publicadas em agosto de 2025, com a Resolução BCB nº 493, que alterou o Regulamento do Pix, segundo apresentações do Banco Central. O uso facultativo começou em 23 de novembro de 2025. A obrigatoriedade para todos os participantes entrou em vigor em 2 de fevereiro de 2026, conforme a nota do Banco Central de 28 de agosto de 2025 e a Resolução BCB nº 493. Até 10 de maio de 2026, a Resolução BCB nº 546 dispensou a instauração de processos por descumprimento, o que a imprensa descreveu como tolerância regulatória sem adiar a obrigatoriedade. Em 11 de maio de 2026, segundo o cronograma do Fórum Pix, passou a valer a ampliação da profundidade do rastreamento e o desligamento dos endpoints antigos, com convivência até essa data.

O limite que ninguém gosta de ouvir

O MED recupera o que está na conta. Se o dinheiro já saiu, em saque, em compra, em transferência para quem não é suspeito, não há o que bloquear naquele ponto. O guia diz isso expressamente ao tratar do tema: devolução parcial ou ausência de saldo são resultados previstos do processo. Por isso o cenário ilustrativo dos R$ 12.000 termina com R$ 600 na primeira conta. O mecanismo funciona bem quando a vítima avisa em minutos. Funciona mal quando ela descobre o golpe dias depois.

O MED também depende da qualificação do caso como fraude. A instituição recebedora decide, em até sete dias, se o cliente dela cometeu fraude ou golpe. Quando o cliente alega que o pagamento foi legítimo, a análise pode ser difícil, e a instituição tem incentivo para não bloquear contas de clientes por engano. O tema aparece de novo na parte jurídica.

Cenário ilustrativo: duas vítimas, dois resultados

Considere duas pessoas que caíram no mesmo golpe, cada uma pagando R$ 5.000. A primeira percebe em dez minutos e liga para o banco, que abre a Recuperação de Valores em 15 minutos. A conta de destino ainda tem R$ 4.750, e o bloqueio os prende. Em sete dias, se a análise confirmar a fraude, ela recupera R$ 4.750, 95% do valor. A segunda só percebe no dia seguinte. A conta de destino está vazia, e o rastreamento em cadeia encontra R$ 300 numa conta posterior. Ela recupera 6% do valor. Os dois casos são inventados e os percentuais foram escolhidos para a conta fechar. A diferença entre eles é o relógio.

Limites noturnos e outros freios

A regra de 2021

Em setembro de 2021, o Banco Central anunciou um teto de R$ 1.000 para transferências entre pessoas físicas, incluindo microempreendedores individuais, entre 20h e 6h, fixado pela Resolução BCB nº 142, de 23 de setembro de 2021. A regra passou a valer em 4 de outubro de 2021 e abrangia Pix, TED e cartão de débito, inclusive entre contas da mesma instituição. A motivação declarada foi o aumento do sequestro relâmpago, crime em que a vítima é mantida sob coação enquanto faz transferências. O Banco Central citou, segundo a imprensa, um levantamento com a Secretaria de Segurança Pública de São Paulo que apontava alta de 39,1% desse crime entre novembro de 2020 e agosto de 2021. Esse número vem da cobertura da imprensa e não foi conferido na fonte original.

Uma norma posterior, de novembro de 2021, permitiu que o cliente escolhesse entre o período padrão, de 20h às 6h, e uma faixa mais curta, de 22h às 6h. O aumento do limite noturno depende de pedido do cliente, com prazo mínimo de 24 horas para entrar em vigor, segundo a cobertura da época. A imprensa mais recente diz que o limite pode ser definido por cada instituição conforme o perfil do cliente, mas essa informação veio de fonte sem data clara, e a regra atual deve ser conferida no site do Banco Central ou no aplicativo do seu banco.

O que esses freios resolvem, e o que não resolvem

O limite noturno é um freio contra um tipo de crime, o sequestro relâmpago, e contra golpes que exploram a madrugada. Para a falsa central e o golpe do falso parente, que acontecem de dia, ele pouco importa. A razão é simples: a vítima que está sendo manipulada ao telefone faz o Pix no horário comercial, e o limite não incide.

Isso é um padrão do desenho de segurança. Cada freio ataca um comportamento, e o golpista passa para outro. Quando o teto noturno entrou em vigor, os golpes foram, naturalmente, para o horário diurno. Quando uma instituição adota limite baixo por padrão, o golpe passa a pedir vários Pix pequenos, ou a convencer a vítima a pedir o aumento do limite. A defesa em camadas, que combina limite, aviso e tempo de espera, funciona porque exige que o golpista vença várias barreiras, e cada uma encarece o golpe.

A espera como defesa

Entre os freios, o mais subestimado é o atraso. Um intervalo entre o pedido de uma transferência grande e sua efetivação permitiria à vítima desistir. O Pix foi desenhado sem esse intervalo, e as soluções existentes são optativas: limites que o cliente define, avisos e confirmações adicionais. A pessoa que quer proteger a si mesma ou a um familiar idoso pode usar esses recursos, configurando o limite para o uso real e exigindo que o aumento tenha prazo. A proteção que o sistema não oferece por padrão pode ser construída pelo usuário.

O caso: a C&M Software e as reservas

O que se sabe, com a data de cada coisa

Voltemos à noite de 1º de julho de 2025, agora com a visão de perito. Os fatos abaixo estão como eram em reportagens entre julho e setembro de 2025. Nenhuma sentença foi localizada nas fontes consultadas até outubro de 2026, e todos os investigados e denunciados têm a presunção de inocência.

A C&M presta serviços de tecnologia a instituições financeiras. O ataque, segundo o Banco Central, resultou no desvio de recursos de contas de reserva mantidas por instituições no Banco Central. O Banco Central determinou que a C&M desligasse o acesso das instituições à infraestrutura do sistema de pagamentos, e algumas operações de Pix foram suspensas. Segundo a reportagem do Estadão, nenhum sistema do Banco Central foi atingido. O Banco Central também suspendeu cautelarmente do Pix instituições que teriam recebido recursos desviados, segundo a cobertura que consultei.

A empresa declarou que não houve invasão de seus sistemas, e que as evidências indicavam engenharia social e uso indevido de credenciais. A Polícia Civil prendeu o profissional de TI já citado. O Ministério Público de São Paulo, segundo a cobertura, o denunciou por furto qualificado mediante fraude eletrônica e pediu a prisão preventiva, que a Justiça decretou. Não confirmei o andamento do processo em 2026.

Em 15 de setembro de 2025, a Polícia Federal prendeu oito pessoas suspeitas de participar dos ataques à C&M e à Sinqia, outra empresa que conecta instituições ao sistema financeiro, que teria tido cerca de R$ 710 milhões desviados, segundo a reportagem. A ação partiu de uma denúncia sobre um novo ataque, desta vez contra a Caixa Econômica Federal, em que uma máquina com credencial de acesso externo teria sido retirada de uma agência com a ajuda de um funcionário, segundo a PF. Os oito presos negaram envolvimento, e um optou pelo silêncio. A PF seguia com perícias para identificar outros integrantes. Mensagens apreendidas indicariam contato com doleiros para dar destino aos valores, segundo a reportagem.

A anatomia, em nível de princípio

O ataque à C&M não é um golpe contra uma pessoa. É uma fraude contra uma estrutura, e tem uma anatomia reconhecível. O alvo é um fornecedor que tem acesso privilegiado a ordens de pagamento de várias instituições. O contato é com um funcionário ou terceirizado. O pretexto e o gatilho, segundo as investigações, envolvem aliciamento e pagamento, não engano técnico: a polícia descreve uma credencial vendida, não uma vulnerabilidade desconhecida. O isolamento é o isolamento do insider, que age sozinho dentro de uma organização que confia nele. O pagamento irreversível é o Pix, em grande volume. A saída do dinheiro envolve contas de passagem e destinos que, segundo as mensagens citadas pela PF, incluíam doleiros. E o apagamento de rastros depende da velocidade, como em qualquer golpe por Pix.

O ponto de princípio é o seguinte. Quando o sistema aceita uma ordem válida, ele a executa. Se a ordem veio de uma credencial legítima usada por quem não deveria, o sistema não sabe. A defesa, portanto, não está só na criptografia nem no firewall. Está na pessoa que tem a credencial: em quantas pessoas a têm, em quais limites a credencial impõe, em quem aprova uma operação grande, em quanto tempo alguém demoraria a perceber. Não vou descrever, e nenhum material sério descreve, como se obtém ou se usa uma credencial dessas. O que serve à defesa é o desenho de controles.

A defesa, para a instituição

Para uma instituição, a lição se resume em cinco controles. Menos credenciais com poder de iniciar ordens grandes. Dupla aprovação, por pessoas diferentes, em transferências acima de um limite. Limites por credencial e por horário, de modo que uma conta não consiga mover reservas inteiras sem alerta. Monitoramento de comportamento, que identifique uso de credencial fora do padrão (volume, horário, lugar). E um canal de reação rápida com o regulador e com as instituições receptoras, porque a recuperação depende de bloquear o dinheiro enquanto ele ainda está no circuito. A prisão de 3 de julho e o bloqueio de R$ 270 milhões em contas de destino mostram essa lógica funcionando em parte, e a distância entre o valor desviado e o valor bloqueado mostra o quanto ela ainda falha.

Devolução e Justiça

Quem responde pelo Pix de golpe

A pergunta da vítima é se o banco deve devolver o dinheiro. O capítulo 5 tratou da Súmula 479 do STJ e da fronteira entre fortuito interno e culpa exclusiva da vítima. A lógica se aplica ao Pix: se o banco permitiu operações fora do perfil do cliente, a Justiça tende a responsabilizá-lo. Se as operações cabiam no perfil e a conduta da vítima foi a causa do prejuízo, tende a não responsabilizar.

Há decisões do STJ que mostram a variedade de situações. No Recurso Especial 2.222.059, de outubro de 2025, relatado pelo ministro Villas Bôas Cueva, o tribunal estendeu às instituições de pagamento o dever de indenizar em um caso de 14 transações em um dia, num total superior a R$ 140 mil. No Recurso Especial 2.124.423, de agosto de 2024, relatado pela ministra Nancy Andrighi, o tribunal analisou um golpe do leilão falso com transferência por Pix. Segundo o levantamento do STJ, não houve defeito no serviço do banco digital que recebeu o dinheiro, porque a relação se limitou ao recebimento do valor, e uma operação única não justificaria monitoramento. O tribunal registrou também que o autor não provou falha na abertura da conta e não pediu a inversão do ônus da prova.

O resumo do segundo caso é importante para o leitor. O banco do recebedor não é, só por ter recebido o dinheiro, responsável pelo golpe. Para responsabilizá-lo, é preciso provar falha no serviço dele, e provar falha na abertura de uma conta laranja é difícil sem acesso aos documentos da instituição. O consumidor tem o direito de pedir a inversão do ônus da prova em relações de consumo, e a decisão sugere que pedir faz diferença. Isso não é conselho jurídico, é a leitura de um caso, e cada situação depende dos fatos.

O caminho prático

Pelo que o Apêndice C do Design Viciante registrou e pela sequência usual de reclamações de consumo, o caminho depois de um golpe com Pix é: contato imediato com o banco para abrir a Recuperação de Valores; registro do boletim de ocorrência, que em muitos estados pode ser feito pela internet; reclamação na ouvidoria; depois Procon, Consumidor.gov.br e Defensoria; e, se necessário, ação no Juizado Especial. O capítulo 19 detalha a sequência das primeiras 24 horas. O que importa aqui é a ordem de prioridades: o banco primeiro, porque o relógio do MED corre. O boletim de ocorrência fortalece o pedido, mas, segundo o guia do Banco Central, o banco não deve exigi-lo para abrir o procedimento.

O lado criminal

Do lado criminal, o golpe se enquadra no estelionato do artigo 171 do Código Penal, com a modalidade de fraude eletrônica do §2º-A, introduzida pela Lei 14.155, de 2021, que prevê reclusão de quatro a oito anos e multa quando o golpe se vale de informações fornecidas pela vítima, ou por terceiro induzido a erro, por meio de redes sociais, contatos telefônicos ou e-mail fraudulento. O ataque à C&M foi tratado pelo Ministério Público, segundo a cobertura, como furto qualificado mediante fraude eletrônica. Quem recebe e repassa o dinheiro pode responder também por lavagem de dinheiro. A pena prevista é uma coisa. A chance de alguém ser identificado, processado e condenado é outra, e o livro já mostrou a distância entre elas.

A defesa em camadas

Para a pessoa

A primeira regra é a do relógio: descobriu um golpe com Pix, ligue para o banco naquele momento, do telefone que estiver à mão, e peça a abertura da Recuperação de Valores e o bloqueio dos valores. Não espere o boletim de ocorrência, não espere o dia seguinte, não faça outra tentativa de contatar o golpista. Cada minuto reduz o que sobra na conta de destino.

A segunda é a regra do nome. Antes de confirmar qualquer Pix, leia o nome do recebedor na tela de confirmação, e compare com quem você acredita estar pagando. É o controle mais barato que existe.

A terceira é configurar limites. Escolha um limite de Pix diurno e noturno próximo do seu uso real. Peça que aumentos tenham prazo. Um limite baixo não impede o golpe, mas reduz o dano máximo e dá tempo para reagir.

A quarta é combinar com a família. A pessoa mais velha pode ter um limite menor, e o familiar de confiança pode receber alertas de movimentações altas. O capítulo 18 tem o protocolo completo.

Para a empresa

A empresa tem de tratar o Pix como tratava o cheque: com dupla aprovação. Quem cadastra um fornecedor não deve ser quem aprova o pagamento. Mudança de dados bancários de fornecedor é confirmada por um contato prévio do cadastro. Limites por usuário e por horário são definidos no internet banking empresarial. Há alerta para pagamento fora do padrão. E o lojista que recebe por Pix precisa de rotina para detectar quando um QR foi trocado e para reconciliar o que entrou com o que foi vendido.

Para as instituições, os controles já foram descritos na seção do caso C&M. Há ainda um ponto de política: a velocidade com que uma instituição responde a um pedido de bloqueio é, hoje, uma das variáveis que mais determinam se uma vítima recupera algo. Cada hora de atraso é, de fato, dinheiro.

Verdades desconfortáveis

O Pix é um sucesso, e esse sucesso é a origem do problema. A mesma velocidade que democratizou pagamentos entregou ao golpista um trilho imediato. Não existe Pix mais seguro para o consumidor que mantenha todas as vantagens para o lojista. Cada escolha de desenho é uma troca, e a pergunta política é quem arca com o custo da fraude: o consumidor, o banco, o lojista ou o sistema como um todo.

A recuperação depende de a vítima agir em minutos, e quem é vítima de um golpe raramente percebe nos primeiros minutos. O sistema de devolução funciona melhor para quem entende rápido o que aconteceu, e pior para quem foi manipulado por mais tempo, que costuma ser quem estava mais isolado e mais exposto. A desigualdade de resultado é estrutural.

A conta laranja só existe porque há gente disposta a vendê-la e instituições que as abrem. Parte dos titulares são vítimas de aliciamento, e parte é cúmplice. As instituições têm incentivo para crescer rápido, e o custo de verificar mais é tomado como atrito. Quem paga o preço da frouxidão na abertura de contas é, em geral, outra pessoa: a vítima do golpe que passa pela conta.

O caso da C&M mostra que o elo fraco pode ser uma pessoa com uma credencial, não um sistema. Todo o investimento em tecnologia de segurança de um fornecedor pode ser neutralizado por uma credencial entregue por R$ 15 mil, se for verdade o que a polícia e a imprensa registraram, e se os controles de uso dela forem frouxos. O desenho que protege contra o insider é de processo, e é caro, e é por isso que costuma ser negligenciado.

E o discurso de que "o Pix é seguro" é correto e enganoso ao mesmo tempo. O sistema é seguro contra falhas técnicas e contra intrusão direta. É inseguro contra a manipulação de quem usa. A segurança que o usuário comum precisa não está na criptografia, mas nas regras de uso: conferir o nome, limitar o valor, ligar rápido.

Protocolo de defesa

Para a pessoa e a família:

• Se foi vítima de golpe com Pix: ligue para o banco agora, peça a abertura da Recuperação de Valores (MED) e o bloqueio. Anote o horário da ligação e o número do protocolo.
• Depois, registre o boletim de ocorrência, de preferência pela internet, e guarde comprovantes, prints e conversas.
• Antes de qualquer Pix, leia o nome do recebedor na tela de confirmação e compare com quem você pretende pagar.
• Defina limites de Pix diurno e noturno próximos do seu uso real. Peça aumento só quando precisar, e lembre que ele leva prazo.
• Boletos e códigos recebidos por mensagem depois de uma conversa que você não iniciou devem ser confirmados por outro canal, usando o aplicativo ou o site oficial.
• Nunca empreste a conta, mesmo para "receber e repassar" um valor. Isso pode virar processo contra você.
• Combine com a família quem avisa quem se houver um pagamento incomum.

Para a empresa:

• Dupla aprovação em pagamentos acima de um limite, com pessoas diferentes para cadastrar e aprovar.
• Confirmação por canal prévio de qualquer mudança de dados bancários de fornecedor.
• Limites por usuário e por horário no internet banking, e alertas para pagamentos fora do padrão.
• Conciliação diária de recebimentos por Pix, e vistoria periódica dos QR do estabelecimento.
• Poucas credenciais com poder de iniciar ordens grandes, revisadas periodicamente, e desligamento imediato de acessos de quem sai.
• Telefone e contato de plantão do banco para pedir bloqueio fora do horário comercial.

Sinais de alerta

• Pedem um Pix para "desbloquear", "liberar" ou "proteger" dinheiro seu.
• A conta de destino está em nome de uma pessoa ou empresa que não tem relação com o que você está comprando ou pagando.
• O nome na tela de confirmação não bate com o do vendedor ou do beneficiário esperado.
• O boleto ou o QR chegou por mensagem, depois de um contato que você não iniciou.
• Um fornecedor comunica mudança de conta bancária por e-mail ou mensagem.
• Oferecem pagamento por "receber e repassar" valores, ou por emprestar a conta.
• Há pressa para pagar antes de um prazo curto, e o pagamento é por Pix.
• Pedem que você aumente o limite de Pix do aplicativo para concluir a operação.

Exercícios

1. Refaça o cenário dos doze mil reais com tempos diferentes: a vítima percebe em dez minutos, em duas horas e no dia seguinte. Em cada caso, estime quanto sobra na primeira conta se o dinheiro sai a uma taxa constante, e explique o que isso diz sobre o MED. Entrega: uma tabela com os três casos e um parágrafo com a conclusão.

2. Abra o aplicativo do seu banco e anote o limite de Pix diurno e noturno, o tempo para aumentá-lo e se há aviso para valores altos. Compare com o seu maior Pix dos últimos seis meses. Entrega: a anotação e o novo limite que você pretende definir.

3. Leia a notícia sobre o ataque à C&M em duas fontes diferentes e liste as divergências de números e de fatos. Marque o que cada fonte afirma como investigação e o que afirma como fato comprovado. Entrega: uma tabela com as divergências e um parágrafo sobre o que você aceitaria citar.

4. Se você cuida de uma empresa, desenhe o caminho de um pagamento por Pix, do pedido à liberação. Quantas credenciais podem iniciar o pagamento? Quem aprova? Qual o maior valor que uma pessoa sozinha pode liberar? Entrega: o desenho e dois controles a adicionar.

5. Procure no Guia de Implementação do MED, no site do Banco Central, a versão em vigor hoje e compare os prazos com os deste capítulo. Entrega: a versão consultada, os prazos que mudaram e o que isso muda na sua orientação à família.

Prompt de estudo

Vou descrever uma situação em que fiz ou recebi um Pix suspeito, sem dados pessoais, nomes ou números de conta. Quero que você me ajude a analisá-la como um perito: diga qual era o pretexto, em que momento eu poderia ter conferido o nome do recebedor, o que eu deveria ter feito nos primeiros dez minutos depois de perceber o problema e quais limites eu poderia ter configurado antes. Não invente regras do Banco Central nem prazos; se não souber, diga que preciso conferir no site oficial.

Faça-me dez perguntas curtas sobre este capítulo: por que a irreversibilidade é central no golpe com Pix, o que é uma conta laranja, o que o MED recupera e o que não recupera, qual a utilidade do limite noturno e o que o caso da C&M ensina sobre credenciais. Depois de cada resposta minha, diga se acertei e explique o que faltou.

Fontes e leituras

• Banco Central do Brasil, Regulamento do Pix, anexo à Resolução BCB nº 1, de 12 de agosto de 2020, e Guia de implementação dos procedimentos de devolução no Pix, com ênfase no Mecanismo Especial de Devolução, versão 4.3 (existe versão 4.4), em bcb.gov.br.
• Banco Central do Brasil, apresentações do Fórum Pix e do Circuito Pix sobre o MED 2.0, e a Resolução BCB nº 493, de 2025, que alterou o Regulamento do Pix, em bcb.gov.br.
• Design Viciante, Apêndice C, "Onde buscar ajuda", para os prazos do MED conferidos em outubro de 2026.
• Superior Tribunal de Justiça, notícia de 24 de outubro de 2023 sobre o REsp 2.077.278 (golpe do boleto), e "Golpes virtuais, danos reais: o STJ diante das fraudes envolvendo instituições financeiras", de 11 de outubro de 2026, que cita os REsp 2.222.059 e 2.124.423, em stj.jus.br.
• Cobertura do ataque à C&M Software: Estadão Conteúdo e InfoMoney (5 de julho de 2025), CNN Brasil (4 de julho de 2025), Baguete (15 de setembro de 2025, sobre a prisão de oito suspeitos pela Polícia Federal).
• Cobertura do limite noturno do Pix (setembro e novembro de 2021): Suno Notícias, Tecnoblog e Jornal Contábil, entre outros.
• Código Penal, artigo 171 e §2º-A; Lei 14.155, de 27 de maio de 2021; Lei 9.613, de 3 de março de 1998; Súmula 479 do STJ, em planalto.gov.br e stj.jus.br.