O Banco Central (BC) divulgou um Relatório de Gestão que aponta que quase 80 bilhões de transações foram realizadas via Pix em 2025. Embora a infraestrutura central do Pix nunca tenha sofrido um ataque bem-sucedido, o relatório esclarece que as fraudes ocorrem fora dessa rede, ou seja, em suas bordas.
Análise da Superfície de Ataque
Rodrigo Gava, CTO da Vultus, explicou em entrevista ao Olhar Digital que a superfície de ataque reside nos dispositivos, credenciais, aplicativos, APIs, intermediários e participantes que operam nas margens da infraestrutura. Os golpes são facilitados pela alta velocidade do ecossistema, permitindo que criminosos utilizem contas válidas ou abertas com dados de terceiros em diversos bancos para dispersar fundos em segundos, dificultando o congelamento dos valores.
Para enfrentar essa tática, o Banco Central modernizou o Mecanismo Especial de Devolução (MED), permitindo que a vítima conteste a transação diretamente pelo autoatendimento do aplicativo bancário. Essa atualização possibilita que o sistema consiga rastrear e reter o dinheiro mesmo quando ele é movido sequencialmente por múltiplas contas.
Novos Mecanismos de Defesa e Regulamentação
Gava ressaltou que a evolução do MED segue uma lógica de resposta distribuída a incidentes, pois a defesa necessita de rastreabilidade e capacidade de contenção equivalentes à velocidade de pulverização do dinheiro pelos fraudadores. Na prática, a nova estrutura integra inteligência de dados e alertas automáticos entre as instituições financeiras. Ao ser gerada uma notificação, o sistema sinaliza os riscos no Diretório de Identificação de Chaves Pix (DICT) e compartilha esses indicadores com todo o ecossistema, auxiliando na identificação e bloqueio ágil de contas suspeitas.
Adicionalmente, o órgão regulador elevou os padrões exigidos para fintechs e outras entidades que operam no Pix. O relatório estabelece normas mais estritas para a obtenção de autorizações de funcionamento e exige o cumprimento de protocolos operacionais de segurança, visando eliminar vulnerabilidades em empresas com controles mais fracos. O especialista enfatiza que este endurecimento representa uma gestão de risco de terceiros, criando um piso mínimo de segurança nas bordas do sistema.
Além do combate direto a roubos financeiros, o BC também aborda o uso indevido do campo de mensagens das transferências para disseminar ameaças, ofensas e cobranças ilegais. Para discutir formas de coibir esse abuso sem prejudicar a experiência do usuário, o órgão regulador criou, em 2026, um grupo de trabalho dentro do Fórum Pix.
O Futuro do Pix: IA e Expansão Internacional
Um dos planos futuros do BC é desenvolver um indicador de probabilidade de fraude, utilizando modelos de aprendizado de máquina e inteligência artificial alimentados pela base de dados do próprio Banco Central para emitir notas de risco em tempo real. Contudo, o BC mantém que a decisão final sobre a retenção, autorização ou rejeição de qualquer transferência permanecerá sob a responsabilidade exclusiva de cada instituição, mantendo sua autonomia. A implementação desse indicador depende da calibração do modelo e de avaliações jurídicas sobre o compartilhamento de dados.
O relatório também detalha que os planos de expansão do Pix transcendem as fronteiras nacionais. Há avanços nas negociações para conectar o sistema brasileiro a plataformas de pagamento instantâneo estrangeiras, seja por acordos bilaterais ou através de hubs multilaterais, com o objetivo de viabilizar remessas e compras internacionais em moeda local em poucos segundos.
Os próximos anos do Pix incluirão inovações como pagamento por aproximação, cobranças automáticas recorrentes e a possibilidade de transações sem conexão à internet. No entanto, essas conveniências alteram o foco dos riscos cibernéticos. Gava aponta que o surgimento do Pix por aproximação e do modelo de iniciação sem internet desloca o foco dos riscos para a integridade do dispositivo, a segurança das carteiras digitais e a detecção comportamental.
Para assegurar a evolução do sistema sem comprometer a confiança dos usuários, o ecossistema deve monitorar de perto os resultados práticos de cada medida adotada pelas instituições financeiras. O especialista conclui que o próximo nível de maturidade será mensurar e divulgar a eficácia desses controles, incluindo tempo de bloqueio, taxa de recuperação pelo MED e falsos positivos, para confirmar a redução efetiva do risco.
