O sistema de pagamentos Pix deve permanecer como foco principal de criminosos digitais ao longo de 2026. A previsão é da ESET, empresa de cibersegurança, que aponta o uso avançado de inteligência artificial (IA) e técnicas sofisticadas de engenharia social como os grandes motores para a escalada e personalização das fraudes no Brasil.
Em 2025, os golpistas se concentraram em explorar características do Pix, como a agilidade das transferências, o funcionamento ininterrupto e a dificuldade de estorno. Dados da Associação de Defesa de Dados Pessoais e do Consumidor (ADDP) indicam que cerca de 28 milhões de brasileiros foram lesados por golpes via Pix nesse período, com pessoas acima de 50 anos representando 53% das vítimas.
Daniel Barbosa, pesquisador de segurança da ESET Brasil, afirmou que a tecnologia Pix não é o problema. “O problema está no uso combinado da tecnologia com pressão emocional, urgência e histórias cada vez mais convincentes. Para o golpista, isso significa dinheiro rápido e menos barreiras”, disse o especialista.
Principais tipos de fraudes registradas
Ao longo de 2025, alguns dos golpes mais praticados incluíram:
- Falsa central de atendimento: criminosos se passam por funcionários de bancos para convencer vítimas a fazer transferências para supostas regularizações de contas.
- Pix enviado por engano: uma modalidade que confunde o usuário e busca extrair valores em dobro, além de informações sensíveis.
- Falsas oportunidades de trabalho: anúncios inexistentes que exigem pagamentos via Pix como “taxa simbólica” para inscrição.
- Lojas online fraudulentas: perfis e sites falsos oferecem produtos com preços atrativos e direcionam o pagamento por Pix para fora das plataformas oficiais, sem que o item seja entregue.
- Pix da Receita Federal falso: propagação de notícias enganosas sobre cobranças de impostos ou monitoramento de transações, já desmentidas oficialmente pelo órgão.
Como a inteligência artificial intensifica os ataques
A inteligência artificial tem um papel decisivo na evolução das fraudes. Antes, os golpes eram genéricos; agora, são moldados em poucos segundos para perfis específicos, utilizando dados reais, linguagem natural e narrativas muito mais convincentes.
A ESET alertou que, em 2026, os golpes não terão erros de português. “Ele começa com o nome da vítima, sua cidade e uma história que faz sentido para ela. A IA potencializa a engenharia social, tornando o convencimento mais rápido e preciso”, informou a empresa.
Saiba mais: Polícia rastreia 29 empresas em golpe hacker que desviou R$ 541 milhões via PIX
O uso de deepfakes, vídeos e áudios manipulados por IA, também deve crescer. Já existem materiais falsos circulando com imagens de figuras públicas anunciando supostas taxações ou mudanças no Pix, e esses conteúdos tendem a se tornar ainda mais realistas e difíceis de diferenciar do real.
Novas medidas do Banco Central ainda não eliminam todos os riscos
Diante da crescente de fraudes, o Banco Central do Brasil implementou e aprimorou diversas medidas de segurança em 2025. Entre elas estão o bloqueio de chaves Pix associadas a atividades ilícitas, a exigência de verificação de CPF ou CNPJ junto à Receita Federal para o cadastro de chaves e a melhoria do Mecanismo Especial de Devolução (MED).
O MED agora permite rastrear o dinheiro mesmo após várias transferências entre contas intermediárias. No entanto, o próprio mecanismo se tornou alvo de exploração por criminosos. No golpe do Pix enviado por engano, o golpista transfere um valor para a vítima, pede uma nova transferência para “devolver” o dinheiro para outra conta e, em seguida, aciona o MED alegando fraude. Assim, a vítima devolve o dinheiro e ainda pode ter seus próprios recursos bloqueados na apuração, sofrendo prejuízo duplo.
Para combater esse abuso, o Banco Central anunciou em agosto de 2025 novos ajustes no regulamento do Pix. As mudanças permitirão que o MED identifique todo o percurso do dinheiro após a fraude, facilitando o compartilhamento dessas informações entre as instituições financeiras e ampliando as chances de recuperação dos valores. Essa funcionalidade se tornará obrigatória em fevereiro de 2026, visando desestimular fraudes e dificultar o uso de contas de terceiros.
O pesquisador da ESET afirmou que o MED é uma importante ferramenta de proteção, mas não deve ser usado para corrigir erros comuns. “Em caso de Pix recebido por engano, o único procedimento seguro é utilizar a função ‘devolver’ dentro do próprio aplicativo, para a conta de origem. Qualquer pedido diferente disso deve ser tratado como suspeito”, disse.
No mesmo tema: Avanço de inteligência artificial exige novas regras eleitorais para combater fraudes digitais
Apesar dos avanços tecnológicos e regulatórios, a ESET enfatiza que o maior desafio continua sendo o comportamento do usuário. A pressão emocional, a sensação de urgência e a aparência de legitimidade são os principais fatores explorados pelos criminosos.
Como se proteger de golpes envolvendo o Pix
A ESET recomenda atenção redobrada sempre que o Pix estiver associado a situações de urgência excessiva, ameaças de bloqueio ou multas, pedidos de sigilo ou cobranças fora dos canais oficiais. Nenhuma instituição séria ou órgão público exige o Pix como única forma de pagamento.
Para o caso específico do golpe do Pix enviado por engano, a orientação é clara: nunca devolva um valor por meio de uma nova transferência para outra conta. A devolução deve ser realizada exclusivamente pela função “devolver” dentro do aplicativo do seu banco, o que garante que o dinheiro retorne para a conta de origem. Em caso de dúvida, entre em contato direto com o banco antes de tomar qualquer medida.
Daniel reforçou que, “se chegou uma cobrança inesperada ou um pedido de devolução com pressa e instruções específicas sobre como pagar via Pix, o alerta deve acender imediatamente.”
O que fazer se cair em uma fraude
Mais sobre o assunto: Gigantes de Wall Street sofrem tentativas de ciberataques usando engenharia social
Se você identificar que foi vítima de um golpe envolvendo Pix, a ESET recomenda as seguintes ações:
- Entre em contato com o banco imediatamente: solicite o bloqueio da conta do golpista e acione o Mecanismo Especial de Devolução (MED) o mais rápido possível.
- Registre um Boletim de Ocorrência (BO): esta etapa é fundamental para apoiar a investigação e o processo de análise do caso.
- Aguarde a análise do MED: os bancos têm um prazo de 11 dias para avaliar a ocorrência e tentar bloquear os valores na conta do criminoso. No entanto, a devolução não é garantida e depende do saldo disponível e da conclusão da análise.
A ESET concluiu que, “a tecnologia evoluiu, então nosso senso crítico precisa evoluir junto. Em 2026, o golpe perfeito não é o mais tecnológico, é o que parece legítimo demais.”