Pix BACEN Fraude

Jenésio Costa, Head de Segurança e Risco • 21 de Março, 2026 • 14 min de leitura

Desde novembro de 2020, o Pix virou a principal forma de pagamento do Brasil. Em 2024, foram mais de 63 bilhões de transações movimentando R$ 26,4 trilhões, segundo dados do Banco Central. Junto com a popularização veio um problema previsível: a fraude cresceu na mesma velocidade. Os prejuízos com golpes no Pix chegaram a R$ 4,9 bilhões em 2024, um aumento de 70% em relação ao ano anterior.

O Banco Central criou o MED (Mecanismo Especial de Devolução) lá em 2021 pra tentar resolver isso. A ideia era simples: se alguém cai num golpe, a instituição financeira consegue pedir a devolução do dinheiro. Na prática, não funcionou tão bem. A taxa de recuperação ficou abaixo de 7%. Os criminosos aprenderam rápido a usar contas de passagem, espalhando o dinheiro em segundos por dezenas de contas.

Em agosto de 2025, o Banco Central publicou a Resolução BCB nº 493, criando o que o mercado passou a chamar de MED 2.0. As regras entraram em vigor obrigatoriamente em fevereiro de 2026 e mudaram a dinâmica. Se você opera uma fintech, subadquirente, e-commerce ou qualquer negócio que recebe Pix, precisa entender como isso funciona, e por que pode afetar diretamente a sua operação.

Antes de tudo: como funciona uma transação Pix

Pra entender o MED, ajuda saber o que acontece por trás de cada Pix. A transação passa por dois sistemas do Banco Central:

O DICT (Diretório de Identificadores de Contas Transacionais) é onde ficam registradas todas as chaves Pix. Quando alguém faz um Pix usando CPF, telefone, email ou chave aleatória, o DICT busca os dados da conta de destino. É também no DICT que ficam registradas as marcações de fraude, mas isso a gente explica mais adiante.

O SPI (Sistema de Pagamentos Instantâneos) é o motor que processa a transação. Ele debita da conta de quem paga, credita na conta de quem recebe, e faz isso em menos de 10 segundos. Os bancos e instituições de pagamento se conectam ao SPI como participantes diretos (com conta própria no BC) ou indiretos (através de um participante direto).

Todo esse processo acontece em segundos. E é justamente essa velocidade que cria o problema: quando a transação é fraudulenta, o dinheiro já saiu da conta antes de qualquer análise. O MED existe pra lidar com esse cenário depois que a transação já foi concluída.

O que era o MED 1.0 e por que não deu conta

O MED original, criado em 2021, funcionava assim: a vítima entrava em contato com o banco, relatava a fraude, e o banco abria uma notificação de infração no DICT pedindo o bloqueio dos valores na conta de destino. Se o dinheiro ainda estivesse lá, era devolvido.

O problema era óbvio: os criminosos não deixavam o dinheiro parado. Em poucos minutos, transferiam tudo para outras contas, as chamadas contas de passagem. O dinheiro era pulverizado em 3, 4, 5 contas diferentes, cada uma em uma instituição diferente. Quando o bloqueio chegava na conta original, o saldo já era zero.

Na prática, o resultado: menos de 7% do valor das fraudes era recuperado. De cada R$ 100 roubados via Pix, menos de R$ 7 voltavam pra vítima.

MED 2.0: o que muda na prática

A Resolução BCB nº 493 reformulou o mecanismo por completo. As principais mudanças:

1. Rastreamento em cadeia (até 5 camadas)

A maior mudança é técnica e operacional. O MED 2.0 consegue rastrear e bloquear valores em até cinco camadas de contas subsequentes. Se o dinheiro saiu da Conta A pra Conta B, depois pra C, D e E, o sistema agora persegue essa trilha e bloqueia saldo em todas elas.

Na prática, isso significa que espalhar dinheiro em contas de passagem ficou muito menos eficaz. O rastreamento é automático e acontece dentro do SPI, sem depender de contato telefônico entre bancos.

2. Contestação direto pelo aplicativo

Desde outubro de 2025, todas as instituições participantes do Pix precisam oferecer um botão de contestação dentro do aplicativo. A vítima não precisa mais ligar pro banco, abrir protocolo no SAC ou ir até uma agência. Abre o app, seleciona a transação e contesta ali mesmo.

O prazo pra fazer a contestação é de até 80 dias após a transação. Isso dá uma janela considerável pra que pessoas que demoraram pra perceber o golpe ainda consigam acionar o mecanismo.

3. Bloqueio automático e preventivo

Quando uma contestação é aberta, o sistema bloqueia automaticamente o saldo disponível nas contas identificadas na cadeia de transferências. Antes, esse bloqueio dependia de análise manual e comunicação entre instituições. Agora é automatizado via SPI.

4. Prazo de devolução definido

Uma vez confirmada a fraude, as instituições têm até 11 dias pra devolver os valores à vítima (desde que haja saldo bloqueado). Antes, esse prazo não era fixo e variava de banco pra banco.

Aspecto	MED 1.0 (2021)	MED 2.0 (2026)
Rastreamento	Apenas a conta de destino original	Até 5 camadas de contas subsequentes
Como contestar	Telefone, SAC, presencial	Botão no app do banco
Prazo pra contestar	Variava por instituição	Até 80 dias após a transação
Bloqueio de valores	Manual, dependia de comunicação entre bancos	Automático via SPI, em cadeia
Prazo de devolução	Sem prazo fixo	Até 11 dias após confirmação
Taxa de recuperação	Menos de 7%	Meta: até 80%

Onde o MED entra no fluxo do Pix

O MED é acionado depois que a transação já foi liquidada. Não é um filtro preventivo, é um mecanismo de recuperação. O fluxo completo fica assim:

Como o MED afeta lojistas e empresas que recebem Pix

Aqui é onde a coisa fica séria pra quem opera no mundo de pagamentos. O MED foi pensado pra proteger vítimas de fraude, mas na prática ele também cria riscos pra quem recebe Pix de forma legítima.

O "golpe do MED" contra lojistas

Existe um tipo de fraude que já está acontecendo e que inverte a lógica do MED: o consumidor compra um produto ou serviço, paga via Pix, recebe a mercadoria, e depois contesta a transação no MED alegando fraude. É como um chargeback do Pix, mas sem as camadas de proteção que existem no cartão de crédito.

O lojista fica no prejuízo: perdeu a mercadoria e teve o dinheiro bloqueado ou devolvido. Não existe hoje um processo formal de "contestação da contestação" tão estruturado quanto o do cartão. O lojista precisa provar que a transação era legítima, e isso nem sempre é fácil, especialmente em vendas online onde não tem assinatura física.

A lista restritiva do DICT e o risco de marcação

Esse é o ponto que poucas pessoas discutem e que pode ser devastador pra um negócio. Quando um MED é aberto contra uma conta, o DICT registra uma notificação de infração vinculada àquela conta e à chave Pix usada. É como uma marcação de "suspeito de fraude".

Essa marcação é compartilhada com todas as instituições participantes do arranjo Pix. Ou seja: se sua empresa recebe muitos MEDs, sua conta começa a acumular notificações de infração no DICT. A partir de um certo ponto, sua instituição financeira pode:

• Bloquear preventivamente os Pix que chegam na sua conta
• Reduzir os limites de recebimento
• Encerrar sua conta
• Reportar sua empresa como de alto risco

Pior: essa informação é visível pra qualquer instituição que consulte o DICT antes de processar uma transação envolvendo suas chaves. Na prática, funciona como uma lista restritiva que pode afetar sua capacidade de operar em qualquer banco ou fintech.

Impacto pra o consumidor final

Do lado do consumidor, o MED 2.0 é uma boa notícia, com ressalvas. A contestação ficou mais fácil e o prazo maior. Mas existe um risco que pouca gente fala: a banalização.

Com o botão de contestação no app, fica tentador usar o MED pra resolver qualquer insatisfação com uma compra. "Comprei e não gostei? Contesto no MED." Acontece que o MED não serve pra arrependimento de compra ou disputa comercial. O Banco Central é claro nisso: o MED existe pra casos de fraude confirmada, coerção ou falha operacional. Usar pra outras situações pode configurar fraude por parte do próprio consumidor.

Na prática, o que estamos vendo: consumidores que usam o MED de forma indevida acabam gerando marcações de infração no DICT contra lojistas legítimos. E, ao mesmo tempo, se o banco identifica que o consumidor está abusando do mecanismo, pode marcar a conta dele também.

O que sua empresa pode fazer agora

Na Sentinex Risk, a gente acompanha casos de MED toda semana. Com base no que vemos na prática, essas são as medidas que fazem diferença:

1. Documente cada transação

Parece básico, mas a maioria das empresas não faz. Mantenha registro de comprovação de entrega, logs de comunicação com o cliente, confirmações de pedido e, em vendas presenciais, filmagem do ponto de venda. Se um MED for aberto contra você, essa documentação é o que vai sustentar sua defesa junto à instituição financeira.

2. Monitore suas notificações no DICT

Peça à sua instituição de pagamento um relatório periódico das notificações de infração abertas contra suas chaves Pix. Você precisa saber quantos MEDs estão sendo abertos contra sua operação e o motivo de cada um. Se o número começar a subir, é hora de agir antes que a instituição tome medidas restritivas.

3. Crie um processo de resposta a MEDs

Quando um MED é aberto, você tem uma janela curta pra responder com evidências de que a transação era legítima. Prepare um processo interno: quem recebe a notificação, quem reúne as evidências, qual é o prazo interno pra responder. Na Sentinex Risk, a gente estrutura esses processos pra que a empresa consiga reagir em horas, não em dias.

4. Avalie seus clientes antes de entregar

Em vendas de valor mais alto, faça uma verificação mínima antes de despachar o produto. Confira se o nome no Pix bate com o nome do comprador. Em e-commerce, implemente verificações de identidade pra pedidos acima de determinado valor. Isso cria uma camada de proteção tanto contra fraudes reais quanto contra contestações indevidas.

5. Diversifique os meios de pagamento

Pix é conveniente, mas concentrar 100% das vendas nele significa concentrar 100% do risco de MED. Manter opções de cartão de crédito, que tem seus próprios mecanismos de disputa, mas com regras mais claras pra o lojista, pode ser uma forma de diluir o risco.

6. Conte com apoio técnico

A gestão de risco em pagamentos não é algo que se resolve com um antivírus ou um firewall. Exige conhecimento do arranjo de pagamentos, das regras do Banco Central e dos processos internos das instituições financeiras. Esse é o tipo de trabalho que a Sentinex Risk faz: conectar a operação do dia a dia com os requisitos regulatórios e as melhores práticas de prevenção.

Como o mercado está reagindo

A Febraban tem pressionado o Banco Central por ajustes. As principais demandas das instituições financeiras incluem regras mais claras pra diferenciar fraude real de disputa comercial e limitar o uso indevido do MED por consumidores mal-intencionados.

Do lado das fintechs e subadquirentes, a preocupação é operacional: o rastreamento em cadeia do MED 2.0 exige que as instituições tenham sistemas preparados pra responder automaticamente aos bloqueios. Quem não se preparou antes de fevereiro de 2026 está correndo atrás agora.

Já os lojistas, especialmente no e-commerce, estão começando a tratar o Pix com o mesmo cuidado que tratam o cartão de crédito. Antes, o Pix era visto como "dinheiro vivo digital": recebeu, pronto, não tem estorno. Com o MED 2.0, essa visão não se sustenta mais.

O que esperar dos próximos meses

O Banco Central deixou claro que a fiscalização sobre o MED 2.0 será intensificada a partir de maio de 2026, após o período de estabilização técnica. As instituições que não estiverem com os sistemas prontos vão sentir no bolso.

Também há discussões sobre ampliar o rastreamento pra além de 5 camadas e incluir transações feitas via TED e DOC na mesma lógica de bloqueio em cadeia. Se isso acontecer, vai fechar mais uma porta pra os criminosos.

Pra quem opera no mercado de pagamentos, a mensagem é clara: o Pix deixou de ser só um meio de pagamento rápido e se tornou um ambiente regulado com responsabilidades sérias. Ignorar o MED é tão arriscado quanto ignorar as regras de chargeback no cartão de crédito.

Sua operação está preparada pro MED 2.0?

A Sentinex Risk faz o diagnóstico da sua exposição ao MED, estrutura processos de resposta e monitora notificações de infração no DICT.

Solicitar Diagnóstico Gratuito

Leia também