Golpe no Pix em 2026: como usar o MED 2.0 para pedir o dinheiro de volta e os ajustes que travam o phishing

Quem cai num golpe via Pix em 2026 tem uma ferramenta que não existia até o ano passado: o bloqueio em cascata. Com o Mecanismo Especial de Devolução 2.0, o MED 2.0, obrigatório para todas as instituições que operam o Pix desde fevereiro, o banco da vítima consegue travar o dinheiro não só na conta que recebeu a transferência, mas também nas contas para onde o golpista repassou o valor em seguida. Na versão de 2021, o bloqueio parava na primeira conta, e bastava o criminoso mover o dinheiro em minutos para a devolução virar papel.

A mudança chega num momento em que o golpe ficou mais barato de montar. Ferramentas de inteligência artificial geram em poucas horas sites falsos de loja, de banco e de órgão público, e dados vazados como CPF, e-mail e histórico de compras deixam a mensagem personalizada o bastante para enganar quem já se acha escolado.

Como o MED 2.0 funciona

Segundo o resumo das regras publicado pelo Let’s Money, o sistema rastreia o caminho do dinheiro mesmo quando ele é dividido entre várias contas e instituições, e o pedido de contestação passou a ser feito pelo próprio aplicativo, no extrato, sem precisar ir à agência. As instituições tiveram até maio para estabilizar os sistemas. A Super Rádio Tupi descreveu o fluxo: o banco da vítima envia um alerta ao banco do recebedor, que bloqueia o valor, e se o dinheiro já tiver saído, o alerta segue para as próximas instituições da cadeia. A análise pode levar até 11 dias.

O MED tem limites que o cliente precisa conhecer antes de contar com ele. Ele vale para fraude e golpe, não para arrependimento de compra ou briga comercial com um vendedor que existe. E a devolução depende de haver saldo nas contas bloqueadas. Se o dinheiro já virou saque, criptomoeda ou boleto pago, o mecanismo pode não recuperar nada.

Caiu no golpe: o que fazer na primeira hora

1. Abra o aplicativo do banco, vá ao extrato, toque no Pix enviado e escolha a opção de contestar ou relatar fraude. Quanto mais cedo, maior a chance de o dinheiro ainda estar parado na primeira ou na segunda conta da cadeia.
2. Se não achar a opção, ligue para a central do banco pelo número impresso no verso do cartão e peça expressamente o acionamento do MED. Nunca use telefone que veio na mensagem do golpista.
3. Registre boletim de ocorrência. Em São Paulo, a Delegacia Eletrônica da Polícia Civil aceita o registro de estelionato pela internet. Guarde prints da conversa, o comprovante do Pix e o link do site falso.
4. Troque as senhas do banco e do e-mail se você digitou alguma coisa na página falsa, e desconecte aparelhos desconhecidos nas configurações do WhatsApp.
5. Acompanhe o protocolo pelo app. Se o banco negar a análise ou não responder no prazo, a reclamação pode ser registrada no canal de reclamações do Banco Central e no Consumidor.gov.br.

Por que o phishing ainda passa pelos filtros

Parte da resposta está na velocidade. Um estudo apresentado na The Web Conference 2025, que acompanhou mais de 286 mil endereços de phishing por cinco meses, encontrou vida média de cerca de 54 horas por página e mediana de apenas 5,46 horas. O Google Safe Browsing, usado por Chrome e outros navegadores para avisar sobre sites perigosos, identificou só 18,4% dessas URLs, e a maioria já tinha saído do ar antes de ser catalogada. Listas de bloqueio que dependem de denúncia chegam tarde para golpes que duram uma tarde.

Página falsa costuma sair do ar em horas, antes de entrar em lista de bloqueio

O tamanho do problema

O Pix registrou quase 80 bilhões de transações em 2025, segundo o Relatório de Gestão do Banco Central citado pelo Olhar Digital. O BC afirma que a infraestrutura central do sistema nunca sofreu ataque bem-sucedido. O golpe acontece na ponta, quando a própria vítima autoriza a transferência. No mesmo relatório, o banco descreve o plano de calcular, em tempo real, uma nota de risco de fraude para cada transação.

As perdas seguem subindo. O relatório Scamscope, da ACI Worldwide, estimou que as fraudes via Pix somaram R$ 2,12 bilhões em 2023 e podem chegar a R$ 11 bilhões em 2028. A Associação de Defesa de Dados Pessoais e do Consumidor (ADDP), citada pelo Let’s Money, contou mais de 28 milhões de vítimas de fraude digital no Brasil em 2025.

Os golpes que mais aparecem

O falso atendente do banco liga dizendo que há uma compra suspeita e pede para o cliente “proteger” o dinheiro transferindo para uma conta segura. Nenhum banco faz isso. A falsa central de entregas manda SMS sobre encomenda retida e cobra uma taxa pequena de liberação, e o link leva a uma página que captura os dados do cartão. O golpe do WhatsApp clonado usa a foto de um parente e um número novo para pedir Pix urgente. E as lojas falsas de fim de ano anunciam descontos muito abaixo do mercado em perfis patrocinados nas redes sociais, com pagamento só por Pix.

Ajustes que reduzem o prejuízo antes do golpe

O mais eficaz está no próprio app do banco. Desde novembro de 2024, por regra do Banco Central, celular ou computador nunca usado antes para Pix fica limitado a R$ 200 por transação e R$ 1.000 por dia até ser cadastrado. Confira quais aparelhos estão autorizados e apague os que não reconhece. O limite noturno, das 20h às 6h, pode ser reduzido para um valor baixo, e o banco só pode aumentá-lo depois de 24 horas do pedido, o que dá tempo de perceber uma invasão.

No WhatsApp, ative a confirmação em duas etapas, com PIN de seis dígitos, em Configurações, Conta. No e-mail, ligue a verificação em duas etapas por aplicativo autenticador, não por SMS. E trate todo link recebido sem pedido como suspeito: abra o site da loja ou do banco digitando o endereço, nunca pela mensagem.

O que vem a seguir

O Banco Central incluiu no plano de 2026 o monitoramento do MED 2.0, melhorias no bloqueio cautelar e regras para um alerta de golpe dentro dos aplicativos, segundo a apresentação do Fórum Pix de dezembro de 2025. Até 13 de outubro, a data de entrada em vigor desse alerta não tinha sido publicada.