Nova regra do Banco Central contra o golpe do Pix: como proteger o caixa do seu pequeno negócio

A nova regra do Pix melhora a defesa do comerciante, mas não elimina o risco central do golpe: uma transferência feita fora do fluxo de devolução do banco pode gerar duas perdas para o mesmo pagamento. Desde 1º de setembro de 2026, quem recebeu legitimamente um Pix e teve o valor retirado pelo Mecanismo Especial de Devolução, o MED, passou a ter 80 dias para contestar a operação, contra 30 dias antes. A proteção só funciona se o dono do negócio reconhecer o problema, preservar as provas e agir pelo canal correto.

Essa mudança interessa diretamente a pequenos negócios porque o golpe combina pressa, confiança e uma falha de procedimento. O criminoso envia um Pix real, afirma que pagou por engano e pede uma nova transferência para outra chave. Quando o comerciante atende, o golpista aciona o MED no próprio banco e tenta recuperar também o pagamento original. O caixa fica exposto a uma devolução voluntária e a outra devolução determinada pelo sistema financeiro.

O prazo de 80 dias protege duas situações diferentes

Existem agora dois prazos iguais para situações opostas. A pessoa que enviou um Pix porque caiu em fraude continua tendo até 80 dias, contados a partir da transação original, para pedir a abertura do MED. Já o recebedor que teve um pagamento legítimo devolvido por uma contestação fraudulenta tem 80 dias, contados a partir da devolução, para questionar o caso.

A distinção é importante porque o relógio não começa no mesmo momento. Para o cliente enganado, começa quando o dinheiro saiu. Para a loja ou para o prestador de serviço, começa quando o valor recebido foi devolvido pelo MED. A Agência Brasil confirma que a ampliação para os recebedores foi estabelecida pelo Banco Central e está prevista na Instrução Normativa BCB 766, que atualizou o manual operacional do Pix.

O ganho prático está no tempo para descobrir o problema. Muitos pequenos negócios não conferem cada movimentação no mesmo dia. O proprietário pode depender de um contador, de um funcionário ou de uma conciliação semanal. Com 30 dias, uma devolução indevida podia ser percebida tarde demais. Com 80 dias, existe uma janela maior para localizar a transação, separar o comprovante da venda e apresentar a sequência completa ao banco.

O golpe começa com um pagamento verdadeiro e termina em duas saídas de dinheiro

O mecanismo depende de uma operação inicial que parece normal. O golpista faz um Pix para a empresa, geralmente associado a uma compra, reserva ou serviço. Em seguida, envia mensagem dizendo que escolheu a chave errada, digitou um valor maior ou precisa receber o dinheiro de volta com urgência. A solicitação parece plausível porque o crédito aparece de fato no extrato.

O segundo movimento é o mais perigoso. Em vez de usar a função de devolução vinculada à transação recebida, o comerciante faz um novo Pix para a chave informada pelo interlocutor. Esse novo pagamento pode ir para uma conta diferente da origem do dinheiro. Depois, o golpista afirma ao banco que o primeiro Pix foi fraudulento. Se a contestação for aceita e ainda houver saldo disponível, o banco devolve o valor original.

A perda potencial equivale à soma de duas operações. Se uma loja recebeu R$ 600, devolveu R$ 600 por uma nova transferência e depois sofreu a devolução do pagamento original, o impacto bruto chega a R$ 1.200. A conta é simples, mas costuma ficar escondida quando a equipe registra cada movimento em telas diferentes. O valor da venda desaparece, o produto ou serviço já foi entregue e a empresa ainda precisa provar a legitimidade do recebimento.

A Agência Brasil documentou o mesmo padrão em um caso de R$ 600 relatado por uma família. O golpista enviou o dinheiro, pediu que a vítima transferisse o valor para outra conta e usou o MED em paralelo. A reportagem explica que a conta que recebeu a segunda transferência pode estar vazia quando o banco tenta recuperar o prejuízo.

O botão de devolução é diferente de um novo Pix

O procedimento seguro começa dentro da própria transação recebida. O Banco Central orienta que o usuário localize o Pix no aplicativo, selecione a opção de devolver e confirme o valor. Essa função direciona o dinheiro para a conta que originou a operação. Uma transferência manual, mesmo com o mesmo valor, é outra operação e pode levar os recursos para uma conta escolhida pelo golpista.

A diferença deve virar regra interna. Funcionário de balcão, vendedor, atendente e responsável pelo financeiro precisam saber que uma mensagem no WhatsApp não autoriza uma devolução. O pedido deve ser conferido no extrato e, quando houver dúvida, encaminhado ao gerente ou ao responsável pela conta. Se a operação foi realmente um erro, a devolução pelo registro original continua disponível. A urgência criada pelo remetente não muda esse procedimento.

Também é preciso separar fraude de arrependimento comercial. O MED foi criado para casos de fraude, golpe, crime ou falha operacional. Ele não serve para cancelar uma compra porque o cliente mudou de ideia, corrigir um valor digitado pelo próprio pagador, desfazer um Pix enviado para a chave errada ou resolver um simples desacordo sobre um produto. A Agência Brasil lista essas situações entre as que não entram no mecanismo.

Um processo judicial mostra que o valor e a prova mudam o desfecho

Um caso analisado pelo Tribunal de Justiça do Distrito Federal e dos Territórios mostra como um pagamento eletrônico pode produzir prejuízo mensurável quando o fluxo falha. No processo 0705987-21.2025.8.07.0004, uma consumidora pagou R$ 717,71 por um QR Code Pix gerado no aplicativo de uma empresa varejista. A fatura permaneceu aberta e ela precisou fazer um segundo pagamento em uma loja física.

O tribunal manteve a condenação da empresa à restituição do valor pago indevidamente. A decisão reconheceu falha na prestação do serviço e responsabilidade objetiva do fornecedor. O caso não é idêntico ao golpe do falso pagamento enviado ao comerciante, mas ajuda a entender a lógica que vale para qualquer operação: o registro da transação, a divergência no sistema e a prova do pagamento formam o núcleo da discussão.

Para o dono de negócio, há uma lição operacional nesse processo. Guardar somente a notificação de crédito não basta. É necessário relacionar o Pix ao pedido, à nota fiscal, à conversa com o cliente, ao comprovante de entrega e ao fechamento do caixa. Se o banco questionar a transação, a empresa precisa mostrar o que foi vendido, quando foi vendido, quem recebeu e qual conta originou o pagamento.

Os números do MED mostram por que esperar é uma decisão cara

O levantamento publicado pelo O POVO, com dados do Banco Central, encontrou R$ 24,52 bilhões em fraudes por Pix entre janeiro de 2022 e abril de 2026. Desse total, R$ 2,2 bilhões foram restituídos pelo MED, equivalentes a 8,9% do dinheiro roubado. O principal motivo apontado para a falta de devolução foi a ausência de saldo nas contas dos fraudadores, responsável por R$ 13,7 bilhões, ou 61,7% do valor que não retornou.

O mesmo levantamento registrou 53 milhões de contestações e 14,1 milhões de pedidos aceitos. Isso significa que 38,9 milhões de solicitações foram recusadas, uma taxa de rejeição de 73,3% no recorte analisado. Esses números não medem exatamente o golpe contra lojistas, mas ajudam a calibrar a expectativa: o MED é um caminho de recuperação, não uma garantia de ressarcimento.

Há uma conta útil para o pequeno negócio. Dos R$ 24,52 bilhões em perdas, R$ 2,2 bilhões voltaram às vítimas. A diferença chega a R$ 22,32 bilhões quando se subtraem os valores arredondados publicados no levantamento. O resultado mostra por que agir cedo é mais importante do que simplesmente contar com o prazo máximo. Quanto mais tempo passa, maior a possibilidade de o dinheiro ser sacado ou transferido para outras contas.

O MED 2.0 rastreia mais camadas, mas continua dependente do saldo

Desde fevereiro de 2026, o MED 2.0 ampliou o rastreamento para acompanhar recursos transferidos entre contas diferentes. Antes, a análise ficava mais concentrada na primeira conta que recebia o dinheiro. A nova lógica pode ajudar quando o fraudador pulveriza os valores, porque permite identificar outras camadas da movimentação e tentar bloquear recursos ainda disponíveis.

A mudança tecnológica não transforma o procedimento em seguro automático. Se o dinheiro já foi sacado, consumido ou enviado para contas sem saldo, a recuperação pode ser parcial ou inexistente. O Procon de São Paulo também orienta que a vítima procure o banco imediatamente e lembra que o MED não garante devolução sem comprovação da fraude e sem recursos na conta recebedora.

Para o comerciante, isso reforça uma ordem de prioridade. Primeiro, impedir a segunda transferência. Depois, preservar as provas. Por fim, contestar rapidamente qualquer devolução que pareça incompatível com uma venda real. A regra dos 80 dias amplia o prazo de reação, mas não deve ser usada como motivo para deixar a conciliação para o fim do mês.

O que o dono do negócio deve fazer na segunda-feira

Na segunda-feira, o procedimento pode caber em uma reunião de 30 minutos e uma revisão da conta bancária. O objetivo é transformar uma orientação genérica em rotina verificável.

1. Defina o responsável: escolha uma pessoa autorizada a devolver Pix e registre o nome no procedimento interno. Funcionários não devem fazer devoluções por mensagem sem essa validação.
2. Crie a regra da origem: toda devolução deve ser feita pelo botão ligado à transação original. Uma nova chave enviada por cliente não deve ser usada para devolver dinheiro.
3. Monte uma pasta de prova: salve comprovante, pedido, nota fiscal, conversa, identificação do cliente e comprovante de entrega. Relacione cada venda ao código ou horário do Pix.
4. Faça uma conciliação semanal: compare vendas entregues, créditos recebidos e devoluções realizadas. Uma revisão fixa reduz o risco de a empresa só perceber o problema quando o prazo estiver acabando.
5. Configure alertas: ative notificações da conta e limite o acesso de funcionários ao aplicativo bancário. O dono precisa receber aviso quando houver contestação, bloqueio ou devolução.
6. Reaja ao primeiro sinal: se aparecer uma devolução que não corresponde ao pedido ou se o cliente exigir transferência para outra conta, acione o banco pelo canal oficial, registre protocolo e organize os documentos no mesmo dia.

Se a empresa já fez uma transferência manual e depois sofreu a devolução do Pix original, deve reunir os comprovantes, registrar a ocorrência e procurar imediatamente a instituição financeira. A contestação precisa explicar a sequência dos fatos: pagamento recebido, pedido de devolução, nova transferência e retirada posterior pelo MED. O prazo de 80 dias existe, mas a comunicação rápida aumenta a chance de ainda haver recursos para bloqueio.

Fontes consultadas

• Banco Central do Brasil, Instrução Normativa BCB 766
• Banco Central do Brasil, funcionamento do MED
• Agência Brasil, nova regra do Pix amplia prazo para contestar golpe
• Agência Brasil, golpe do Pix errado
• g1, nova regra do Pix e contestação de devoluções
• Tribunal de Justiça do Distrito Federal e dos Territórios, processo 0705987-21.2025.8.07.0004
• O POVO, dados sobre fraudes e restituições pelo MED
• Procon-SP, orientações sobre as regras do Pix