Pix, 6 anos: quem paga a conta da fraude?

A agenda antifraude do Banco Central quer padronizar o que é fraude e medir o risco em tempo real. Falta decidir como o sistema divide o prejuízo

Por Susana Taboas

Em 16 de novembro de 2026, o Pix completa seis anos de operação, consolidado como infraestrutura central de pagamentos do Brasil.

O que nasceu como uma alternativa eficiente aos meios tradicionais de transferência tornou-se a espinha dorsal da economia digital do país. Os números oficiais do Banco Central (BC) impressionam: em 2025, o sistema registrou 79,8 bilhões de transações, movimentando R$ 35,36 trilhões. O sucesso operacional e a capacidade de inclusão financeira do Pix são inquestionáveis.

No entanto, à medida que o Pix atinge sua maturidade plena, um tema ganha peso nessa expansão: o custo econômico e financeiro das fraudes e dos golpes digitais.

A discussão pública sobre a segurança nos pagamentos instantâneos costuma ser abordada sob a ótica do serviço ao consumidor ou do conselho preventivo (“caiu no golpe? saiba o que fazer”). Mas, sob a perspectiva da economia de um país e da governança de sistemas financeiros, a fraude não deve ser interpretada como um mero infortúnio individual de quem foi enganado.

A fraude é, rigorosamente, um custo de transação imposto a todo o ecossistema.

Esse custo se manifesta em três frentes: no prejuízo direto sofrido pela vítima, no orçamento bilionário exigido das instituições financeiras para prevenção e cibersegurança, e no atrito reputacional, que gera desconfiança e limita o potencial pleno da economia digital.

A questão central que se impõe ao iniciarmos o sétimo ano do Pix não é apenas como barrar o fraudador, mas sim: quanto custa essa conta e como ela está sendo distribuída?

As métricas da fraude e a assimetria dos números

Ao analisar o custo da fraude no Brasil, o primeiro desafio é a ausência de uma métrica única e unificada. Diferentes organismos medem recortes distintos do mesmo fenômeno, o que explica as divergências entre os números divulgados. A própria existência dessas discrepâncias é um dado relevante sobre a maturidade do acompanhamento estatístico do setor.

• Banco Central (via Lei de Acesso à Informação): registrou R$ 4,94 bilhões em perdas com fraudes no Pix em 2024, alta de 70% sobre os R$ 2,91 bilhões de 2023. A métrica corresponde aos pedidos de devolução abertos após fraudes confirmadas que não puderam ser concluídos, por exemplo porque a conta recebedora já havia sido esvaziada ou encerrada. É, portanto, o valor que não voltou para a vítima dentro do arranjo.

• Levantamento do jornal O Globo (com base em dados do BC): aponta que, entre novembro de 2021 e junho de 2025, as vítimas fizeram 11,2 milhões de pedidos de devolução pelo Mecanismo Especial de Devolução (MED), somando R$ 17,6 bilhões, mas apenas R$ 1,4 bilhão (8,2%) foi efetivamente recuperado. Ou seja, a cada R$ 100 contestados em golpes no Pix, cerca de R$ 8 retornam ao bolso de quem sofreu a perda. A triagem também pesa: entre janeiro de 2022 e junho de 2025, só 11,4 milhões de um total de 27 milhões de notificações foram consideradas procedentes pelas instituições.

• Febraban (perdas declaradas pelo setor bancário): reportou, em março de 2025, R$ 2,7 bilhões em prejuízos acumulados com golpes envolvendo o Pix em 2023 e 2024, com alta de 43% de um ano para o outro. Na divulgação, o dado foi apresentado como rombo do setor bancário que também recai sobre os clientes, o que impede tratar o número como perda exclusivamente absorvida pelos balanços.

• Fórum Brasileiro de Segurança Pública (pesquisa de vitimização feita pelo Datafolha): estimou em quase R$ 29 bilhões o prejuízo de 24 milhões de vítimas de golpes envolvendo Pix ou boleto falso entre julho de 2024 e junho de 2025, com perda média de R$ 1.198 por pessoa. O número soma os dois meios de pagamento e, portanto, não se restringe ao Pix. Essa pesquisa mede o dano percebido pela população, capturando fraudes de engenharia social em que a vítima faz a transferência voluntariamente e muitas vezes não obtém registro ou recuperação bancária.

• Investimento em segurança (setor bancário): segundo a Febraban, as instituições financeiras destinaram aproximadamente R$ 5 bilhões em 2023 à prevenção de fraudes e crimes cibernéticos.

Cada fonte mede um recorte isolado: o valor de fraudes confirmadas que não foi devolvido; o outro o que as vítimas pediram de volta pelo MED e o que de fato recuperaram; o da Febraban, o prejuízo declarado pelo setor bancário; e a pesquisa de vitimização, a perda percebida pelo cidadão. Analisados em conjunto, esses dados evidenciam o mesmo fato: a maior parcela do prejuízo financeiro permanece concentrada na ponta final, a vítima.

Vale, porém, colocar esses números em perspectiva. As perdas de 2024 apuradas pelo BC equivalem a 0,019% dos R$ 26,4 trilhões movimentados pelo Pix naquele ano, e o BC estima cerca de sete casos de fraude a cada 100 mil transações, índice que considera razoável na comparação com outros sistemas de pagamento instantâneo e com o cartão de crédito.

O problema, portanto, não está na segurança da infraestrutura do Pix, mas na escala absoluta das perdas em um sistema desse tamanho e na forma como elas são distribuídas. Boa parte dos golpes é de engenharia social, em que a própria vítima autoriza a transferência, fenômeno que acompanha qualquer meio de pagamento instantâneo, como mostra a experiência britânica discutida adiante.

A resposta regulatória: a agenda antifraude de 8 itens do BC

Ciente dessa assimetria e da necessidade de reforçar a resiliência do ecossistema, o Banco Central estruturou uma agenda de segurança detalhada no Relatório de Gestão do Pix 2023-2025, publicado em 10 de agosto de 2026, e acompanhada nas plenárias do Fórum Pix. A estratégia foca em padronização, inteligência preditiva e resposta rápida:

1. Critérios objetivos mínimos para definir “suspeita” e “fundada suspeita” de fraude: substitui as regras heterogêneas adotadas individualmente por cada instituição e uniformiza a classificação de risco no sistema.
2. Indicador de probabilidade de fraude calculado pelo BC em tempo real: uso de modelos de machine learning, alimentados pelas marcações de fraude e pelo conjunto de transações que o BC detém, para estimar a probabilidade de cada operação ser fraudulenta. O resultado poderá ser oferecido às instituições como subsídio para seus próprios sistemas antifraude; a decisão de autorizar ou rejeitar a transação continua com cada participante.
3. Bloqueio cautelar com fluxo automatizado: comunicação direta e automática entre a instituição recebedora, que aplicou o bloqueio cautelar, e a instituição pagadora, para agilizar a troca de informações e a detecção de fraudes.
4. Medidas cautelares graduadas: restrições operacionais mais brandas e rápidas de aplicar, como limite de valores, restrição de horários de envio e recebimento, restrição no cadastro de novas chaves e no acesso ao DICT.
5. Alerta de golpe padronizado no momento da transação: critérios mínimos e formato uniforme para os avisos de risco exibidos nos aplicativos quando o cliente inicia um Pix, em discussão no Fórum Pix.
6. Atuação direta do regulador sobre chaves problemáticas: novos fluxos para que o próprio BC possa bloquear e excluir chaves Pix com problemas quando as instituições não agirem a tempo.
7. Cruzamento de dados com a Receita Federal: toda nova chave terá de coincidir com os dados de CPF/CNPJ da Receita, ficando bloqueada até a correção, para coibir o uso de documentos falsos ou “laranjas”.
8. Inclusão de iniciadores de pagamento no MED: integração das instituições que prestam serviço de iniciação de transação de pagamento (ITPs) ao Mecanismo Especial de Devolução.

Essas medidas somam-se ao MED 2.0, obrigatório para todas as instituições participantes desde 2 de fevereiro de 2026 (Resolução BCB nº 493/2025).

A nova versão do Mecanismo Especial de Devolução permite rastrear e bloquear recursos em múltiplas camadas (em cadeia), superando a limitação da versão anterior, que alcançava apenas a primeira conta de destino, frequentemente esvaziada em minutos.

Sob a ótica econômica, os dois primeiros itens da agenda do BC são os mais relevantes. Estabelecer um critério padronizado de fraude e um indicador único de risco em tempo real são pré-requisitos técnicos indispensáveis. Sem uma definição consensual e mensurável do que constitui a falha de segurança ou a atitude suspeita, torna-se inviável construir qualquer modelo regulatório focado na alocação objetiva de responsabilidade financeira.

E é justamente aí que mora a cautela. O próprio BC afirma que desenvolver o indicador não significa necessariamente disponibilizá-lo às instituições: isso dependerá da confiança no ajuste do modelo e de avaliação jurídica sobre o compartilhamento desse tipo de informação. O cronograma apresentado no Fórum Pix estabelece sua conclusão em 2027, ou seja, ainda não existe o pré-requisito que tornaria possível uma regra objetiva de divisão do prejuízo.

Quem paga a conta hoje no Brasil: a definição ainda é via Judiciário

Na ausência de uma regra regulatória estrita sobre a divisão compulsória do prejuízo em golpes de engenharia social, o modelo brasileiro atual transfere a arbitragem do custo para o Poder Judiciário.

Historicamente, a responsabilidade das instituições financeiras em casos de fraudes bancárias é regida pela Súmula 479 do Superior Tribunal de Justiça (STJ). O texto estabelece que as instituições respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias, em conformidade com o artigo 14 do Código de Defesa do Consumidor.

Contudo, a dinâmica dos golpes no Pix introduziu nuances complexas, e a própria Terceira Turma do STJ ilustra bem a oscilação. Em outubro de 2025, no REsp 2.222.059, o colegiado decidiu, por unanimidade, que bancos e instituições de pagamento devem indenizar vítimas do golpe da falsa central de atendimento quando houver falhas na proteção de dados ou na identificação de transações suspeitas, e deu provimento aos recursos dos consumidores.

Menos de um ano depois, no REsp 2.209.868/SP, julgado em maio e divulgado em julho de 2026, a mesma Turma manteve decisão que afastou a responsabilidade do banco em um caso do mesmo golpe. O entendimento foi que a responsabilização não é automática: depende da demonstração de falha na prestação do serviço, como a não identificação de operações incompatíveis com o perfil do cliente ou a insuficiência dos mecanismos de segurança. Sem esses elementos, pode ser caracterizada a culpa exclusiva da vítima e de terceiros.

As duas decisões não são contraditórias no plano técnico; ambas giram em torno da existência de falha do serviço. Mas mostram que o resultado depende da prova produzida em cada processo. A linha divisória passa a ser, na prática, se a transação fraudulenta saiu do perfil habitual de consumo do cliente e se os sistemas de monitoramento da instituição deveriam ter acionado mecanismos de bloqueio preventivo.

O resultado econômico desse cenário é a insegurança jurídica estrutural:

• Para o consumidor: o custo do litígio e o tempo de resposta tornam a reparação incerta, desestimulando a busca pelo ressarcimento em valores de menor monta.
• Para a instituição financeira: a imprevisibilidade das decisões judiciais dificulta a precificação exata do risco operacional e a reserva de provisões para perdas.
• Para o sistema: o custo de transação aumenta devido à sobrecarga de processos judiciais e às despesas operacionais e jurídicas, sem que se crie um incentivo econômico claro e previsível para a prevenção contínua nas duas pontas.

O contraponto internacional: a experiência do Reino Unido

Enquanto o Brasil utiliza a via judicial para resolver as controvérsias caso a caso, o Reino Unido adotou uma abordagem regulatória direta de alocação de responsabilidade econômica.

Desde 7 de outubro de 2024, o regulador britânico de sistemas de pagamento (Payment Systems Regulator, PSR) tornou obrigatório o reembolso de vítimas de fraudes de pagamento autorizado (Authorised Push Payment, ou APP fraud) feitas pelo Faster Payments, o sistema de pagamentos instantâneos do país. O modelo estabeleceu regras objetivas:

• Teto de ressarcimento: cobertura obrigatória de até £ 85 mil por caso [14].
• Divisão em partes iguais: o custo do reembolso é compartilhado 50% pelo banco que envia o dinheiro e 50% pelo banco que recebe a transferência.
• Inversão do ônus: o ressarcimento é a regra geral. A instituição só se isenta da obrigação se provar negligência grave (gross negligence) por parte do cliente ou que ele participou da fraude.

Os resultados do primeiro ano vêm de duas fontes. Os dados do próprio PSR mostram que, entre outubro de 2024 e setembro de 2025, 88% do valor perdido nos golpes cobertos pela regra foi devolvido às vítimas, somando £ 173 milhões. Já a avaliação independente da consultoria Frontier Economics, publicada pelo PSR em 1º de julho de 2026, estimou que as perdas com APP fraud no Faster Payments caíram cerca de 21%, o equivalente a aproximadamente £ 73 milhões por ano. No mesmo período, a taxa de reembolso por valor subiu de 54% para 65%. Ou seja: menos fraude e, ao mesmo tempo, mais dinheiro devolvido a quem foi enganado.

A própria avaliação faz ressalvas que merecem registro. Ela cobre apenas o primeiro ano e deve ser lida como evidência de efeitos de curto prazo; os autores reconhecem que não conseguem controlar quantitativamente todos os fatores que afetam o mercado e apontam o risco de deslocamento da fraude para canais fora do escopo da regra. Ainda assim, concluem que a queda da fraude provavelmente superou os custos impostos às instituições e apontam a regra de reembolso como um dos principais motores do resultado.

O mecanismo que explica esse efeito é o incentivo. A obrigação de arcar com 50% do valor fraudado fez com que as instituições recebedoras aumentassem rigorosamente os filtros na abertura de contas e no monitoramento de contas laranjas. Afinal, acolher uma conta fraudulenta passou a gerar um passivo direto e imediato para o balanço do banco recebedor.

Atualmente, o debate britânico evoluiu para o questionamento sobre a responsabilidade de outros elos da cadeia. As instituições financeiras argumentam que a grande maioria das abordagens golpistas se origina em plataformas de redes sociais e redes de telecomunicações.

Defende-se, portanto, que a responsabilidade econômica seja estendida às empresas de tecnologia e operadoras telefônicas, alinhando os incentivos de segurança ao longo de toda a jornada digital. No Brasil, a discussão encontra terreno no debate sobre a responsabilidade das plataformas aberto pelo julgamento do artigo 19 do Marco Civil da Internet no Supremo Tribunal Federal, que declarou o dispositivo parcialmente inconstitucional em junho de 2025 e concluiu a análise dos recursos contra a tese em junho de 2026.

Os limites da comparação

Importar o modelo britânico não é trivial, e as objeções merecem ser levadas a sério.

A primeira é o risco moral. Se o reembolso for garantido, parte dos usuários pode relaxar os cuidados. O Reino Unido respondeu a isso com a exceção por negligência grave, mas a fronteira entre descuido e negligência grave tende a ser disputada, o que pode simplesmente deslocar o litígio de lugar.

A segunda é a fraude de primeira parte, quando o próprio “cliente” age de má-fé. O Brasil já convive com o chamado “golpe do MED”, em que compradores contestam pagamentos legítimos para prejudicar lojistas. Um reembolso automático sem critérios robustos de validação ampliaria esse incentivo.

A terceira é a estrutura do mercado. O ecossistema do Pix reúne centenas de instituições, muitas delas de pequeno porte, e um volume de transações muito superior ao britânico. Impor 50% do prejuízo à instituição recebedora pode pesar desproporcionalmente sobre participantes menores, e o custo adicional tende a ser repassado em tarifas e no preço do crédito.

Nenhuma dessas objeções invalida a lógica do modelo, mas todas indicam que ele precisaria ser calibrado: tetos, critérios de negligência e regras de validação pensados para a realidade brasileira. O próprio Reino Unido passou por esse ajuste, ao reduzir o teto inicialmente fixado, de £ 415 mil para £ 85 mil, após a reação do setor e preocupações com a solidez de instituições menores. E é aqui que a agenda do BC volta ao centro: sem critérios padronizados de fraude e um indicador comum de risco, não há como fazer essa calibragem de forma objetiva.

O custo que não aparece na conta

O impacto financeiro das fraudes no Pix não se limita à perda direta registrada no extrato bancário da vítima. Existe uma série de custos indiretos e distribuições cruzadas que afetam a eficiência da economia como um todo:

• Repasse para a taxa de juros do crédito ao consumidor: perdas com fraudes e falhas operacionais elevam o custo operacional e o custo do risco das instituições, componentes que se refletem no spread bancário. Na prática, o custo acumulado com ressarcimentos, disputas judiciais, provisões para perdas e fraudes não recuperadas tende a ser repassado na precificação geral dos produtos de financiamento e empréstimos. O cidadão que jamais caiu em um golpe paga uma fração dessa conta sob a forma de juros de crédito mais elevados.
• Desconfiança e retrocesso no uso de canais digitais: vítimas de fraudes, especialmente a população idosa e as classes de menor renda (justamente os segmentos mais beneficiados pela bancarização promovida pelo Pix), podem adotar comportamentos defensivos, como reduzir o uso de pagamentos instantâneos e voltar ao dinheiro em espécie, o que aumentaria o custo logístico de custódia e circulação de papel-moeda na economia.
• Custo de oportunidade do capital: os bilhões investidos anualmente em infraestrutura antifraude e provisões para litígios representam um capital que deixa de ser alocado em inovação de produtos, ampliação de linhas de financiamento produtivo ou redução de tarifas operacionais.
• A infraestrutura paralela das contas “laranja”: as contas de passagem funcionam como a logística do crime organizado no ambiente digital. Como o MED só devolve o que ainda resta nas contas alcançadas pelo rastreamento, a velocidade com que essas contas são esvaziadas explica boa parte da baixa taxa de recuperação. Cada conta laranja derrubada ou impedida de ser aberta eleva o custo operacional dos fraudadores, desestruturando a rentabilidade do crime.

O Pix rumo ao sétimo ano

Ao completar seis anos, o Pix consolida-se como uma das maiores inovações da história do sistema financeiro brasileiro. A agenda de segurança desenvolvida pelo Banco Central, incluindo o MED 2.0 e os critérios de monitoramento de risco em preparação, demonstra compromisso técnico e regulatório constante.

Entretanto, o modelo de gestão do custo econômico da fraude no Brasil permanece incompleto. A alocação das perdas ainda é decidida de forma pulverizada no Poder Judiciário, gerando insegurança jurídica para os consumidores e para as instituições financeiras, enquanto os custos indiretos continuam diluídos na sociedade e na composição das taxas de crédito oferecidas no mercado.

A experiência internacional demonstra que avançar na prevenção exige alinhar os incentivos econômicos de todos os participantes do ecossistema. Não se trata de copiar o modelo britânico, mas de reconhecer o que ele ensina: quando quem recebe o dinheiro fraudado passa a dividir o prejuízo, a prevenção deixa de ser custo e vira proteção de balanço.

Enquanto o sistema não contar com regras claras e previsíveis sobre a divisão da responsabilidade financeira pelas falhas de segurança e pela recepção de valores ilícitos, o Brasil continuará lidando com uma conta de bilhões de reais distribuída de forma pouco transparente.

Resta a reflexão para o próximo ciclo do Pix: o país continuará delegando ao Judiciário a tarefa de decidir quem paga a conta da fraude a cada evento, ou avançará para um modelo regulatório de responsabilidade compartilhada que estimule a prevenção ativa de ponta a ponta?

Como você avalia a divisão da responsabilidade pelas fraudes digitais no Brasil? O país deveria adotar um modelo de reembolso automático e compartilhado entre bancos como o Reino Unido? Compartilhe sua visão e participe do debate no Crypto ID.

Banco Central amplia controle sobre marcações de fraude no Pix e exige mecanismos de contestação das instituições financeiras

Do onboarding ao Pix: a identidade virou o novo perímetro de segurança dos bancos

Pioneiro no Pix, o país reage devagar a ataques cibernéticos no sistema bancário

Depois do Pix e da aproximação, para onde caminham os pagamentos?

Sobre Susana Taboas

Susana Taboas | COO – Chief Operating Officer – CryptoID. Economista com MBA em Finanças pelo IBMEC-RJ e diversos cursos de extensão na FGV, INSEAD e Harvard University. Durante mais 25 anos atuou em posições no C-Level de empresas nacionais e internacionais acumulando ampla experiência na definição e implementação de projetos de médio e longo prazo nas áreas de Planejamento Estratégico, Structured Finance, Governança Corporativa e RH. Atualmente é Sócia fundadora do Portal Crypto ID e da Insania Publicidade.

Leia outros artigos escritos por Susana.

Acesse o Linkedin da Susana!

Leia outros artigos sobre Mercado Financeiro

Em destaque: Do onboarding ao Pix: como a HID está redefinindo a segurança da identidade nos bancos. Baixe o e-book da HID aqui!