BCB 766 muda o MED do Pix no Brasil

Cronologia da operação

Cadeia de ataque e TTPs

A atualização normativa do Pix não responde a uma única técnica de abuso, mas a um conjunto de vetores que se repetem e se combinam. O padrão dominante que aparece na pesquisa é o de engenharia social apoiada por mensageria instantânea, chamadas falsas, anúncios patrocinados, sites clonados e, cada vez mais, uso de IA para reforçar a credibilidade do golpe. A cadeia costuma terminar em uma transferência Pix, mas o engano anterior varia. Às vezes é uma falsa central bancária. Em outros casos, aluguel inexistente, renegociação de dívida, benefício público falso ou cobranças apócrifas de órgãos oficiais.

O MED 2.0 foi desenhado justamente para responder a uma realidade em que o dinheiro nem sempre fica na primeira conta que recebe o Pix fraudulento. Finsiders Brasil e Folha Jundiaiense explicam que a nova arquitetura permite mapear a árvore de transações derivadas de uma transação raiz e pedir bloqueios fracionados em vários bancos, de modo que a soma alcance o valor original mesmo quando o dinheiro já foi dispersado. Isso importa porque criminosos fragmentam os recursos para dificultar rastreamento e restituição.

As notificações de infração são o mecanismo de coordenação. Migalhas destaca que o DICT permite identificar rotas de escoamento de recursos e coordenar bloqueios e devoluções sequenciais entre instituições. A versão 8.5 adiciona um campo de profundidade no grafo, TransactionDepth, para indicar a camada a que a notificação pertence. Diário do Comércio informou que essa informação passará a constar, a partir de 26 de outubro de 2026, nas notificações enviadas ao participante que detém a conta do potencial fraudador.

A tática criminal, por sua vez, continua com forte componente humano. Correio do Povo cita estudos que atribuem cerca de 40% das fraudes financeiras no Brasil à engenharia social, com variantes como falsas centrais, suplantação de funcionários bancários e falsas operações policiais. A Super Rádio Tupi acrescenta que criminosos compram tráfego online, adquirem bases de dados e usam IA para refinar mensagens e anúncios antes de fechar a captura com o pagamento financeiro. O material também relata casos em que são usados dados pessoais reais, como CPF e data de nascimento, para simular atendimento individualizado.

Impacto regional

Panorama regional

O impacto regional da mudança se concentra no Brasil, porque é ali que Pix, DICT e MED formam um ecossistema operacional próprio. Os demais países do bloco não apresentam fatos verificáveis adicionais no material fornecido. Dentro do Brasil, a reforma afeta bancos, fintechs, adquirentes, provedores de serviços de pagamento, comerciantes com alto volume de Pix e equipes antifraude, que terão de ajustar conciliação, resposta a notificações e validação de identidades.

Brasil

O Brasil concentra a mudança regulatória e o restante dos países do relatório não tem cobertura factual adicional no material pesquisado. A Instrução Normativa BCB nº 766 e seu ajuste posterior, a IN nº 767, reorganizam a entrada em vigor das mudanças no Manual Operacional do DICT em dois grandes blocos: 10 de agosto, para o rastreamento e o monitoramento inicial, e 1º de setembro, para a ampliação do prazo de contestação do MED. Parte dos ajustes operacionais ligados às notificações de infração foi transferida para 26 de outubro.

A leitura das fontes permite separar três camadas. A primeira é a regulatória, com a versão 8.5 do manual e a revogação da IN nº 752. A segunda é a técnica, onde entram atributos de rastreamento, validação de CPF e CNPJ na Receita Federal ao registrar ou alterar chaves Pix, regras para o Pix Automático em caso de erros operacionais e uma estrutura de notificação capaz de refletir a profundidade da transação. A terceira é a antifraude, com o MED 2.0, a possibilidade de rastrear recursos em camadas e o uso de sinais centralizados para sustentar decisões de bloqueio ou devolução.

Ao mesmo tempo, a pressão do fraude é nacional e concreta. Os dados reunidos pela imprensa econômica e por estudos setoriais mostram aumento forte das perdas, percentual baixo de recuperação efetiva e uma variedade de golpes que já não depende só da suplantação telefônica. Há fraude com Pix em falsas renegociações de dívida, em anúncios de aluguel, em cobranças por benefícios inexistentes, em mensagens que exploram programas públicos, em lojas que recebem comprovantes adulterados, em contágio via WhatsApp e em ataques que usam malware para capturar credenciais ou SMS. Isso explica por que o BC também impulsiona alertas de golpe a clientes e um indicador centralizado de probabilidade de fraude com IA.

Na prática, a gestão de risco deixa de ser só transacional. As instituições terão de consolidar processos de verificação de chaves, análise de padrões atípicos, conciliação detalhada, rastreabilidade de pedidos e resposta a notificações de infraestrutura e recuperação. A Revista Empreende alerta que comerciantes e plataformas também precisam de registros mais finos, porque o fluxo de rastreamento pode alcançar contas posteriores, não apenas a primeira recebedora. Finsiders acrescenta um ponto jurídico: se as instituições não estruturarem bem o fluxo de aceite ou recusa de devoluções, podem ficar expostas a ações de vítimas e de recebedores afetados por estornos.

Indicadores técnicos

Não foram publicados IOCs clássicos, como hashes, IPs ou domínios únicos atribuíveis a um único ator, no material consolidado. O que é verificável nesta apuração são indicadores operacionais e regulatórios, úteis para monitoramento de fraude e compliance.

Análise para equipes de segurança

A atualização do Pix obriga a separar prevenção, detecção e resposta. Na prevenção, o primeiro ajuste é de identidade. A versão 8.5 do Manual Operacional do DICT incorpora a validação de CPF e CNPJ em bases da Receita Federal no momento de registrar ou alterar chaves Pix, o que torna mais rígida a higiene do diretório. Para bancos, fintechs e PSPs, isso exige depurar processos de onboarding e troca de chave, porque uma validação ruim pode abrir espaço para contas usadas como etapa intermediária em fraudes.

Na detecção, o foco não pode ficar só na transação individual. O material mostra que a fraude se fragmenta entre várias instituições e várias contas. O MED 2.0 e o rastreamento em camadas permitem seguir a rota do dinheiro e pedir bloqueios fracionados, mas essa capacidade depende de equipes operando regras de alerta sobre comportamentos atípicos, concentração incomum de destinatários, velocidade de dispersão dos fundos e coincidência com padrões de golpe conhecidos. Os casos judiciais citados em RRR Advogados e Correio Braziliense mostram que a ausência de bloqueios preventivos ou de reação no tempo certo pode terminar em condenações contra bancos.

Na resposta, a prioridade operacional é coordenar os tempos. O sistema entra numa fase em que algumas regras valem desde 10 de agosto, outras desde 1º de setembro e certas notificações só mudam em 26 de outubro. Isso obriga a mapear dependências entre tecnologia, jurídico, atendimento ao cliente e prevenção de fraude. Se uma instituição atualiza apenas a frente de atendimento, mas não seus fluxos internos de contestação, bloqueio e devolução, ficará exposta a uma pressão dupla, a da vítima que pede recuperação e a do recebedor afetado por um estorno que contesta a operação.

A superfície de ataque também é humana. As orientações do CERT.br e da M2Works são diretas: diante de uma suspeita de golpe, é preciso cortar o contato, entrar no aplicativo oficial, localizar a transação, registrar a contestação como fraude ou engenharia social, pedir a abertura do MED e preservar provas. Para equipes de segurança e fraude, isso se traduz em duas tarefas concretas. A primeira é treinar usuários e call centers para não validarem pedidos por canais não oficiais. A segunda é garantir que a evidência chegue íntegra ao back office, com mensagens, links, comprovantes e trilhas de acesso.

Na priorização, três vetores exigem mais urgência. Um, falsas centrais e suplantação de instituições, porque ainda concentram muitos casos e se apoiam em engenharia social de baixo custo. Dois, ataques com dados reais e suportes visuais, como o golpe do Desenrola ou campanhas que usam IA, porque elevam a taxa de confiança da vítima. Três, malware móvel e contas comprometidas, porque deixam uma marca mais difícil de reverter e podem viabilizar transferências em tempo real. Nos três casos, o objetivo operacional deve ser conter a fragmentação do dinheiro e elevar a qualidade da resposta nas primeiras horas.

Perguntas frequentes

O que mudou exatamente no Pix entre agosto e outubro de 2026?

Mudou o marco operacional do DICT e do MED em três datas. Em 10 de agosto começou o novo monitoramento ligado ao rastreamento de contas laranja. Em 1º de setembro, o prazo para contestar devoluções do MED foi ampliado para 80 dias. E em 26 de outubro algumas notificações de infração passaram a incluir mais detalhe sobre a camada do fluxo, segundo o Banco Central.

A nova versão do MED dá mais tempo para a vítima pedir devolução?

Não. Segundo a Revista Fórum e a Finsiders Brasil, o prazo de até 80 dias para a vítima solicitar a abertura do MED já existia. O que passou para 80 dias foi o tempo para o recebedor ou a instituição contestar uma devolução suspeita de fraude. A mudança afeta a resposta interna do sistema.

Qual é a relação entre o rastreamento em camadas e os golpes no WhatsApp?

O rastreamento em camadas responde a fraudes que não terminam na primeira transferência. O material mostra que muitos golpes usam o WhatsApp como vetor inicial e o Pix como etapa final, e que o dinheiro costuma ser fragmentado em várias contas. Por isso o MED 2.0 busca seguir a rota completa, e não só o primeiro giro.

O que bancos e fintechs precisam fazer com as novas regras?

Precisam validar melhor CPF e CNPJ nas chaves Pix, responder notificações dentro de novos prazos, preparar conciliação detalhada e sustentar bloqueios fracionados entre várias instituições. Além disso, se identificarem transações atípicas, terão de trabalhar com alertas de golpe e com processos que suportem disputas judiciais de vítimas e recebedores.

Quais tipos de fraude aparecem com mais força no material?

Aparecem falsas centrais bancárias, aluguel fantasma, golpes do Desenrola, phishing que imita a Receita Federal, anúncios com IA e trojans bancários para Android. Todos têm o mesmo desfecho: induzem o usuário a transferir via Pix ou permitem transferências fraudulentas a partir de dispositivos ou contas comprometidas.

O Banco Central considera que o Pix teve sua infraestrutura central comprometida?

Não. Segundo o Olhar Digital, o Banco Central afirmou que a infraestrutura central do Pix nunca sofreu um ataque bem-sucedido. O problema que a IN nº 766 enfrenta não é uma queda do sistema, mas a exploração fraudulenta dos fluxos por engenharia social, contas de aluguel, phishing e malware.

Limitações do material

A pesquisa não traz o texto integral da Instrução Normativa BCB nº 766 nem da nº 767, então este informe reconstrói seus efeitos a partir de coberturas especializadas e descrições técnicas secundárias. Também não há IOCs clássicos atribuíveis a um ator único, nem dados suficientes para afirmar com precisão como cada validação técnica é implementada internamente em todos os participantes.

Não foram verificados fatos adicionais para Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia, México, Estados Unidos ou Uruguai. A cobertura factual disponível se concentra no Brasil e em sua infraestrutura Pix. O indicador de probabilidade de fraude com IA aparece como projeto em desenvolvimento, sem cronograma de implantação confirmado no material.

Quanto à evolução do MED 2.0, parte das fontes o apresenta como já em produção desde maio de 2026, mas o trecho disponível não detalha os dispositivos normativos concretos que ativam cada fase. Por isso, este informe mantém a atribuição temporal exata quando ela foi verificada e trata como operacional a diferença entre produção prévia e vigência escalonada dos ajustes posteriores.