Em 2025, o Brasil registrou quase 80 bilhões de transações realizadas através do Pix, conforme apontado no Relatório de Gestão do Banco Central (BC) divulgado recentemente. Um aspecto significativo desse panorama é que a infraestrutura central do sistema permanece livre de ataques bem-sucedidos. Isso implica que: 1) a rede sob a supervisão da autoridade monetária continua intacta; e 2) as fraudes ocorrem fora dessa estrutura.
Rodrigo Gava, CTO da Vultus, em entrevista ao Olhar Digital, enfatiza que o relatório do BC esclarece essa distinção. “A vulnerabilidade está nos dispositivos, aplicativos, credenciais, APIs, iniciadores de pagamento e nos intermediários operando nas extremidades dessa infraestrutura”, comenta o especialista em segurança cibernética.
O combate a contas-laranja e o ‘pente-fino’ do BC
Para compreender como os golpes são realizados, é essencial observar a dinâmica do ecossistema. Criminosos costumam utilizar contas legítimas ou abertas com dados de terceiros em instituições financeiras diversas para movimentar valores rapidamente, muitas vezes em questão de segundos. Essa dispersão veloz torna difícil o congelamento dos fundos antes que sejam sacados ou transferidos para outros bancos.
A fim de combater essa prática, o Banco Central revisou o Mecanismo Especial de Devolução (MED). Com essa atualização, as vítimas podem contestar diretamente pelo autoatendimento em seus aplicativos bancários. A nova abordagem permite rastrear e bloquear o dinheiro mesmo quando ele transita por várias contas consecutivas.
“A atualização do MED é crucial porque adota uma lógica de resposta distribuída a incidentes”, observa Gava. “Os fraudadores aproveitam contas legítimas e a rapidez do Pix para dispersar os recursos. Portanto, a defesa deve ter capacidade de rastreamento e contenção na mesma magnitude.”
De forma prática, essa nova estrutura combina inteligência analítica com alertas automáticos entre as instituições financeiras. Quando um alerta é emitido, o sistema sinaliza informações de risco no Diretório de Identificação de Chaves Pix (DICT) e compartilha essas informações com todos os participantes do ecossistema. Essa colaboração facilita a identificação de contas-laranja e a interrupção rápida de movimentações suspeitas.
Além das ações voltadas para recuperação financeira, o Banco Central intensificou as exigências para fintechs e instituições que operam com o Pix. O relatório menciona regras mais rigorosas para autorizações de funcionamento e cumprimento obrigatório de protocolos operacionais de segurança. A intenção é eliminar brechas que permitiam a atuação de empresas com controles frágeis.
Segundo Gava, essa uniformização é vital para evitar que falhas isoladas coloquem os usuários em risco. “O endurecimento das normas também deve ser compreendido como uma gestão de riscos associados a terceiros. A autorização, supervisão e requisitos operacionais mais rígidos estabelecem um padrão mínimo de segurança nas extremidades do sistema, onde controles frágeis podem ser aproveitados para fraudes em larga escala”, destaca o especialista.
IA antifraude, filtro de mensagens e a expansão internacional do Pix
Além das medidas contra furto direto dos recursos financeiros, a gestão do ecossistema também procura conter desvios comportamentais que utilizam os próprios recursos disponíveis no sistema. O relatório do Banco Central indica que o espaço reservado às mensagens nas transferências tem sido empregado para disseminar ofensas, ameaças e cobranças indevidas.
Com o intuito de discutir alternativas e analisar possíveis regulamentações para prevenir esses abusos sem comprometer uma experiência positiva ao usar o Pix, o órgão regulador criou um grupo de trabalho dentro do Fórum Pix em 2026.
O Banco Central ainda planeja desenvolver um indicador que avalie a probabilidade de fraude utilizando modelos baseados em inteligência artificial (IA) e machine learning. Esses modelos serão alimentados pela própria base de dados da instituição para gerar avaliações de risco em tempo real.
Ainda que esta ferramenta seja projetada como um recurso poderoso para análise inteligente dos dados, cabe ressaltar que cada instituição continuará sendo responsável pela decisão final sobre reter, permitir ou recusar uma transferência financeira. A implementação desse indicador no mercado dependerá da calibração adequada do modelo e da análise jurídica referente ao compartilhamento das informações.
No tocante aos planos expansivos do Pix além das fronteiras nacionais, o relatório revela progressos nas negociações para integrar o sistema brasileiro com plataformas internacionais de pagamentos instantâneos. Isso inclui acordos bilaterais com outros países e participação em hubs multilaterais com o objetivo facilitar remessas e compras internacionais com disponibilização dos fundos em moeda local em questão de segundos.
O futuro da segurança: Pix por Aproximação, Pix Offline e novas ameaças
O documento elaborado pelo Banco Central delineia inovações futuras relacionadas ao Pix como pagamentos por aproximação, cobranças automáticas recorrentes e transações realizadas sem necessidade de conexão à internet. Entretanto, essas novas facilidades exigem uma reavaliação das estratégias de segurança aplicadas.
Com a eliminação da necessidade dos usuários abrirem seus aplicativos bancários e digitarem senhas constantemente durante cada operação, os riscos cibernéticos se deslocam para outros pontos críticos. “A implementação do Pix por aproximação, assim como outras funções automáticas ainda em desenvolvimento que não requerem conexão à internet mudará novamente o paradigma das ameaças”, avalia Gava.
<p“Agora será fundamental garantir a integridade dos dispositivos utilizados, proteger as carteiras digitais, gerenciar adequadamente as autorizações concedidas e assegurar a detecção comportamental eficaz”, acrescenta ele.
A fim de assegurar que as inovações não comprometam a confiança dos usuários no sistema financeiro digital, é necessário acompanhar rigorosamente os resultados práticos decorrentes das medidas adotadas pelas instituições financeiras.
“O próximo passo rumo à maturidade nesse contexto será medir e divulgar a eficácia desses controles: tempo necessário para detecção e bloqueio das fraudes, taxa de recuperação através do MED, incidência de falsos positivos e perdas relativas ao volume transacionado”, conclui Gava. “Na área da cibersegurança, monitorar cada controle implementado auxilia na compreensão real sobre a mitigação dos riscos envolvidos.”
