Banco Central aprova mudanças no Pix: Pix Automático para contas-salário e novas regras antifraude

O Banco Central implementou alterações nas diretrizes do Pix, visando expandir o uso da funcionalidade em contas destinadas a salários e fortalecer os sistemas de proteção contra fraudes.

As modificações regulamentam também a cobrança híbrida, agilizam a remoção de entidades sancionadas e impõem novas responsabilidades a bancos e fintechs caso haja suspeita de fraude.

Novas regras para Pix Automático em contas-salário

A partir de 1º de julho de 2027, os trabalhadores terão permissão para autorizar o pagamento de despesas recorrentes diretamente de suas contas-salário através do Pix Automático. Esta modalidade se tornará a única aceita para transferências de saída realizadas a partir dessas contas.

O mecanismo funciona de modo que o cliente autoriza a cobrança uma única vez, e os subsequentes pagamentos ocorrem automaticamente. No entanto, o recebimento de outras transferências via Pix permanecerá vedado, com exceção de devoluções e pagamentos efetuados pela Secretaria do Tesouro Nacional.

De acordo com o Banco Central, essa alteração visa adequar as normas do Pix aos mais recentes padrões sobre débitos automáticos interbancários, ampliando assim as funcionalidades das contas-salário.

Regras específicas para cobrança híbrida

A cobrança híbrida também recebeu regras detalhadas e entrará em vigor em 1º de fevereiro de 2027. Este modelo combina o código de barras convencional do boleto com o QR Code do Pix em um único documento.

Essa modalidade só poderá ser utilizada em cobranças Pix que possuam vencimento e estará limitada a boletos comuns e boletos dinâmicos que não estejam vinculados a ativos financeiros.

Alterações no tratamento de suspeitas de fraude

O conjunto de regras modifica como as marcações de fundada suspeita de fraude são registradas no Diretório de Identificadores de Contas Transacionais. A partir de 1º de fevereiro de 2027, as instituições financeiras serão obrigadas a notificar o cliente sempre que houver uma marcação, informando a data do registro e a possibilidade de contestação.

Será igualmente exigido que sejam disponibilizados canais para esclarecimentos e solicitações de revisão, devendo haver um prazo máximo de sete dias para resposta ao usuário. As demais normas relativas a essas marcações já estão em vigor, incluindo a obrigação de cancelar o registro quando não houver mais elementos que sustentem a suspeita.

As disposições sobre a entrada, manutenção e saída de instituições do Pix também passam a valer imediatamente. A participação compulsória pode ser dispensada para instituições que possuam mais de meio milhão de contas transacionais ativas, desde que as características dos clientes ou o modelo de negócio não justifiquem o acesso à infraestrutura do sistema.

As regras também preveem a anulação de aprovações obtidas com dados falsos ou omissões importantes, além de determinar a suspensão imediata de instituições sujeitas à liquidação extrajudicial. Os mecanismos de saída organizada devem assegurar a proteção dos clientes dessas instituições.

Adicionalmente, há uma redução no período de permanência de participantes excluídos por descumprimento das regras. Anteriormente, eles podiam permanecer no Pix por até trinta dias após a decisão final; agora, a exclusão terá efeito imediato após a comunicação da penalidade.

Histórias semelhantes

História e impacto do Pix: como a tecnologia mudou o sistema financeiro brasileiro

O Pix, uma das tecnologias brasileiras que transformaram o cenário global, alterou profundamente a maneira como o dinheiro circula no Brasil. Lançado pelo Banco Central em 2020, ele rapidamente se estabeleceu como o método de pagamento mais utilizado no país, demonstrando uma mudança completa no mercado em pouco mais de cinco anos, com planos contínuos de aprimoramento.

O desenvolvimento do Pix começou com técnicos do Banco Central em maio de 2018, culminando no lançamento do sistema de pagamentos em novembro de 2020, após um período de 31 meses de trabalho. Murilo Rabusky, especialista em tecnologia financeira, afirmou que o Pix redefiniu a lógica monetária nacional.

Anteriormente, operações de transferência realizadas fora do horário bancário exigiam até um dia útil (DOC) ou incorriam em custos (TED). O Pix eliminou essa espera, operando 24 horas por dia, sete dias por semana, incluindo feriados. Para pessoas físicas, o serviço é totalmente gratuito, e os valores são creditados na conta em questão de segundos.

Rabusky destacou que o fator crucial para o sucesso do Pix foi seu desenho estrutural. O Banco Central o concebeu como uma infraestrutura pública, diferentemente de produtos bancários tradicionais como TED, DOC, boleto e cheque. Essa abordagem forçou todas as instituições, desde grandes bancos até fintechs, a aderirem às mesmas normas e ao mesmo sistema.

Gustavo Siuves, outro especialista em finanças, complementou que o Pix estabeleceu uma camada conectora que permitiu ao mercado inovar sobre essa base. Essencialmente, o Pix é um sistema de pagamento instantâneo, garantindo que o dinheiro caia na hora, seja via débito ou crédito, na conta do recebedor.

A funcionalidade do Pix permite a criação de chaves, que podem ser um CPF, e-mail, CNPJ, telefone ou uma combinação aleatória de caracteres. Essa simplificação substituiu dados bancários complexos, tornando o ato de pagar ou transferir tão simples quanto enviar uma mensagem, e a gratuidade para pessoas físicas removeu barreiras existentes em outros métodos.

Siuves ressaltou que o Pix integrou diversas jornadas financeiras, beneficiando tanto empresas quanto consumidores. Surgiram novas modalidades de cobrança, como pagamentos por QR Code, além de novas experiências comerciais focadas em recorrência e proximidade.

O sistema ganhou rápida aceitação no Brasil. Segundo o Banco Central, mais de 170 milhões de pessoas físicas já utilizaram o Pix, o que representa 80% da população brasileira, consolidando-o como o sistema de pagamentos mais usado no país. Siuves mencionou que o Pix facilita desde compras em lojas até a divisão de contas entre amigos e o recebimento de pagamentos por profissionais autônomos.

Além disso, Rabusky apontou o papel do Pix na inclusão financeira, pois possibilitou o acesso a pagamentos digitais para indivíduos sem conta bancária tradicional ou cartão. Também ofereceu aos pequenos negócios e autônomos uma maneira imediata de vender e receber sem custos.

Gustavo Siuves, que atua como CRO na infratech Azify, adicionou que o Pix suporta iniciativas maiores, como o Open Finance. Os dados de movimentação gerados pelo Pix auxiliam as instituições financeiras a compreenderem melhor o perfil econômico de clientes e empresas, facilitando a construção de crédito e produtos mais alinhados às necessidades individuais.

Em termos globais, o Pix posicionou o Brasil como um modelo em pagamentos instantâneos, sendo estudado por outras nações ao projetarem suas próprias infraestruturas. O Banco Central encara o Pix como um processo de evolução contínua, onde novas funcionalidades são implementadas gradualmente.

Para 2025, o Banco Central planejou o lançamento do Pix Automático e do Pix por Aproximação, com refinamentos previstos para 2026. Outros desenvolvimentos incluem o Pix Garantido, que permitirá parcelamento dentro do próprio sistema, e o Pix Offline, que viabilizará transações sem conexão à internet.

No entanto, Rabusky enfatizou que a internacionalização é a frente mais relevante para os próximos anos. Atualmente, o uso do Pix no exterior depende de acordos bilaterais com instituições financeiras em países como Argentina, Chile, Portugal e Espanha. O Banco Central está investigando um avanço maior: conectar o Pix diretamente aos sistemas de pagamento instantâneo internacionais, permitindo que transações iniciadas no Pix interajam nativamente com a infraestrutura de outros países, superando a dependência de acordos pontuais entre bancos.

Novo vírus altera QR Code do Pix em compras online no Brasil, desviando fundos de consumidores

Um novo tipo de malware comprometeu 90 lojas virtuais no Brasil, realizando a adulteração dos códigos Pix em tempo real durante transações de compras online. A empresa de cibersegurança Kaspersky confirmou a ocorrência da fraude após a identificação feita pelo pesquisador independente conhecido como “eremit4”.

De acordo com a Folha, este código malicioso modifica tanto o QR Code quanto a funcionalidade Pix Copia e Cola no exato momento em que o consumidor finaliza a aquisição. Os valores são então redirecionados para contas sob controle de golpistas, sem que o comprador perceba qualquer indício visual da irregularidade.

O ataque visa especificamente sites de comércio eletrônico que empregam a plataforma Magento. Quando o cliente gera o pagamento para concluir seu pedido, um script substitui o QR Code original por um código fraudulento gerenciado pelos criminosos. Como essa modificação ocorre internamente no próprio website, o comprador não detecta nenhuma anomalia.

A natureza do ataque

O pesquisador eremit4 apelidou esta operação de “o novo magecart brasileiro”, fazendo alusão ao método tradicional de fraude utilizado para furtar informações de cartões de crédito. Além disso, se o cliente optar pelo pagamento via cartão de crédito, o mesmo malware tem a capacidade de capturar os dados para uma fraude subsequente. Neste cenário, o comerciante recebe o pagamento normalmente, mas o cliente fica vulnerável à clonagem do seu cartão.

Uma vez que o invasor infecta o site e não o dispositivo da vítima, o potencial de dano é significativamente maior, atingindo todos os clientes da loja. Fabio Assolini, diretor da equipe de investigação da Kaspersky na América Latina, comentou sobre a situação para a Folha.

Medidas de segurança e recuperação

É crucial que o consumidor identifique a fraude rapidamente para haver chance de reaver o dinheiro. O Mecanismo Especial de Devolução (MED) do Pix possibilita o rastreamento da transação por um máximo de cinco transferências, conforme alertou Assolini. Contudo, os criminosos podem dispersar o montante em diversas contas de fachada em questão de poucas horas, o que complica a recuperação dos valores.

Assolini ressaltou que “Os criminosos sabem que o limite de transferências rastreáveis é de cinco passagens. O MED é válido quando a pessoa percebe rapidamente”. Embora o consumidor disponha de até 80 dias para solicitar o MED, o Banco Central aconselha que a contestação seja registrada mesmo que a recuperação não seja assegurada, pois isso auxilia as instituições financeiras a mapear as contas usadas nos esquemas fraudulentos.

Visto que a alteração no pagamento não apresenta sinais visíveis, a principal linha de defesa do consumidor reside na verificação minuciosa dos dados antes de autorizar a transferência. Comerciantes impactados pelo vírus notaram um aumento nas desistências de pedidos. Alguns optaram por divulgar o CNPJ e o nome da empresa para que o cliente possa confirmar o beneficiário do Pix, enquanto outros implementaram o uso de plataformas de pagamento externas.

Recomendações de prevenção

Para diminuir o risco de futuras infecções, a Kaspersky sugere manter a plataforma Magento sempre atualizada, empregar senhas fortes e exclusivas no acesso administrativo do site, além de realizar monitoramento contínuo com softwares de qualidade. O código responsável pelo ataque pode estar disfarçado em trechos ofuscados, o que dificulta a detecção do comportamento malicioso. Essa mesma ameaça também consegue roubar dados de cartão quando o cliente escolhe essa modalidade de pagamento.

Caso alguém identifique um Pix fraudulento, deve acessar a seção Pix no aplicativo bancário, selecionar a opção “Contestar Pix” e declarar que se trata de um golpe ou fraude. As contas envolvidas podem permanecer bloqueadas por até 11 dias durante o processo de apuração, e qualquer estorno dependerá da disponibilidade de saldo e da análise das instituições financeiras.