O Pix passou por uma série de reforços de segurança depois de ataques cibernéticos que expuseram fragilidades na infraestrutura utilizada por instituições financeiras. Mais de um ano após um dos episódios de maior repercussão no sistema financeiro brasileiro, o cenário é de controles mais rígidos, especialmente para empresas de tecnologia que fazem a conexão entre participantes e a infraestrutura do Banco Central.
A evolução, porém, não significa que o Pix esteja livre de riscos. Enquanto os mecanismos de proteção da infraestrutura foram aprimorados, os criminosos continuam explorando um caminho diferente: convencer o próprio usuário a autorizar a transferência.
Esse cenário tornou a segurança do Pix uma responsabilidade compartilhada entre bancos, empresas de tecnologia, reguladores e consumidores.
Leia mais:
Golpe do Pix errado cresce e exige atenção redobrada
O que aconteceu com a segurança do Pix?
Um dos episódios que aceleraram a discussão ocorreu em julho de 2025, quando criminosos exploraram uma vulnerabilidade em uma empresa que prestava serviços tecnológicos para instituições financeiras conectadas à infraestrutura do sistema.
O caso mostrou que a segurança não dependia apenas dos aplicativos dos bancos ou das barreiras existentes nos celulares dos clientes. A cadeia tecnológica que conecta as instituições ao sistema financeiro também precisava de controles mais rigorosos.
A resposta regulatória veio rapidamente. Em setembro de 2025, o Banco Central criou regras específicas para os Provedores de Serviços de Tecnologia da Informação (PSTIs), empresas responsáveis por serviços de processamento de dados utilizados para acesso à Rede do Sistema Financeiro Nacional (RSFN). A Resolução BCB nº 498 estabeleceu requisitos de credenciamento, governança, segurança da informação e gestão de riscos.
Banco Central endureceu regras para empresas de tecnologia
Uma das principais mudanças foi justamente tirar os fornecedores tecnológicos de uma posição menos supervisionada.
As novas regras passaram a exigir uma estrutura mais robusta de governança e controles internos. O Banco Central também reforçou critérios relacionados à capacidade técnica dos administradores, rastreabilidade, conformidade e comunicação de informações ao regulador. Em janeiro de 2026, a autarquia ainda ajustou a regulamentação para tornar os requisitos de credenciamento dos PSTIs mais rigorosos.
Na prática, o objetivo é reduzir o risco de que uma vulnerabilidade em um fornecedor consiga abrir caminho para sistemas críticos do setor financeiro.
Instituições que utilizam PSTIs não credenciados também ficaram sujeitas a restrições, incluindo limite de R$ 15 mil por transação de Pix e TED enquanto o processo de credenciamento não for concluído de forma favorável.
Segurança do Pix ganhou novas camadas
As exigências não ficaram restritas aos fornecedores.
O Banco Central e o Conselho Monetário Nacional também aprovaram medidas para elevar o nível de segurança cibernética das instituições financeiras. Entre as exigências estão autenticação multifator para acessos administrativos aos ambientes Pix e Sistema de Transferência de Reservas (STR), isolamento dos ambientes críticos, monitoramento de credenciais e controles sobre chaves privadas.
Também foram estabelecidos requisitos para testes de intrusão realizados por profissionais independentes, além de mecanismos de rastreabilidade e correção de vulnerabilidades. O prazo geral de adequação às novas regras foi estabelecido para março de 2026.
Isso significa que a proteção passou a considerar não apenas o momento em que o consumidor realiza um Pix, mas toda a cadeia tecnológica responsável por processar a operação.
O maior risco para o consumidor ainda pode ser o golpe
Mesmo com o avanço da segurança da infraestrutura, existe um problema que nenhuma barreira tecnológica consegue eliminar completamente: a engenharia social.
Nesse tipo de golpe, o criminoso não precisa invadir a conta da vítima. Ele tenta convencê-la de que precisa fazer uma transferência.
É o caso de falsas centrais bancárias, compras inexistentes, oportunidades de investimento, pedidos urgentes de familiares ou mensagens que simulam empresas e órgãos públicos.
Por isso, uma transferência feita pelo próprio usuário pode parecer legítima para os sistemas de segurança. A diferença está em analisar se aquela operação foge do comportamento habitual do cliente.
Gostou? Siga o Seu Crédito Digital no Google e receba notícias de benefícios, INSS e crédito em primeira mão.
+311 mil seguidores
Esse tipo de monitoramento ganhou importância justamente porque a prevenção de fraude não depende somente de identificar uma invasão, mas também de reconhecer transações fora do padrão.
O que fazer se cair em um golpe pelo Pix?
A orientação do Banco Central é agir rapidamente.
Quem perceber que foi vítima de fraude deve entrar em contato imediatamente com o banco e solicitar a devolução dos valores. A instituição poderá registrar a ocorrência e iniciar o Mecanismo Especial de Devolução (MED).
O banco do recebedor pode bloquear os recursos disponíveis enquanto o caso é analisado. O procedimento prevê análise em até sete dias e, quando a fraude é confirmada, a devolução pode ocorrer em até 96 horas após o encerramento dessa avaliação, desde que existam recursos disponíveis para devolução.
O MED, entretanto, não garante que todo o dinheiro será recuperado. Se o criminoso já tiver retirado ou movimentado os valores, a recuperação pode ser parcial.
Por isso, velocidade é fundamental.
Pix ficou mais seguro, mas os golpes continuam evoluindo
A segurança do sistema também precisa acompanhar a expansão do próprio Pix. Novas funcionalidades, como pagamentos por aproximação, integração com carteiras digitais e outras soluções baseadas em Open Finance, ampliam a conveniência, mas também exigem controles proporcionais aos novos riscos.
O Banco Central vem adotando uma estratégia de aperfeiçoamento contínuo. A própria autarquia mantém mecanismos para monitorar incidentes e já determinou medidas específicas em casos de exposição de dados cadastrais relacionados a chaves Pix. Em ocorrências recentes, o BC destacou que informações como senhas, saldos e movimentações financeiras não foram expostas.
Isso mostra uma diferença importante: um incidente envolvendo dados cadastrais não significa necessariamente que o dinheiro das contas tenha sido acessado.
Imagem: Reprodução/Seu Crédito Digital
