Banco Central endurece regras do Pix

O Banco Central do Brasil anunciou novas regras de segurança para o Pix, com vigência a partir de 1º de março de 2027. O pacote altera comprovantes, amplia o prazo para contestar transações suspeitas e impõe novas exigências aos aplicativos de bancos e instituições financeiras, com a meta declarada de reforçar o combate a fraudes.

O que muda nos comprovantes do Pix?

O Banco Central proibiu a inclusão de publicidade, ofertas comerciais, hiperlinks ou qualquer conteúdo alheio à transação nos comprovantes de pagamentos via Pix. Segundo a nota oficial citada pela Tribuna do Agreste, a medida busca evitar que esses comprovantes virem vetor de golpes por meio de links maliciosos.

A restrição também vale para qualquer elemento que não faça parte da operação. A decisão integra o pacote de novas regras de segurança divulgado pelo regulador em 3 de setembro de 2026, com início de vigência marcado para 1º de março de 2027.

Como muda a disputa de fraudes no MED?

O prazo para responder a transações suspeitas por meio do Mecanismo Especial de Devolução passou de 30 para 80 dias, segundo Tecmundo e IstoÉ Dinheiro. O Banco Central apresenta a mudança como uma forma de melhorar a análise dos casos e dar mais tempo para que lojistas e prestadores de serviços apresentem provas.

O G1 informou que os aplicativos de bancos e instituições financeiras deverão permitir que os clientes anexem documentos e comprovantes ao contestar uma transferência fraudulenta. Na prática, isso inclui notas fiscais e registros de entrega, que, conforme a cobertura citada, podem ajudar a demonstrar que uma operação foi legítima.

A IstoÉ Dinheiro acrescentou que a ampliação para 80 dias representa um aumento de 166% no tempo disponível para contestar acionamentos indevidos. A mesma cobertura informou que o Banco Central combinou essas medidas com a futura retirada do teto fixo de R$ 500 para o Pix por aproximação e com a obrigação de mapear fluxos de recursos fracionados em diferentes contas, em busca de maior controle sobre o uso do sistema na lavagem de dinheiro.

Quais outros mudanças de segurança aparecem no pacote regulatório?

Além do Pix, o endurecimento regulatório do Banco Central e do Conselho Monetário Nacional também aparece na frente cripto e nos requisitos de segurança para instituições financeiras. No caso das prestadoras de serviços de ativos virtuais, as Resoluções BCB nº 519, 520 e 521/2025, em vigor desde 2 de fevereiro de 2026, disciplinam autorização e funcionamento, além das operações de câmbio com criptoativos ligados a mercados internacionais.

A Vidigal Neto Advogados apontou que esse regime incorporou requisitos prudenciais e de governança ao universo das PSAV. A Fincatch acrescentou que essas empresas precisam demonstrar capacidade de implementar a Travel Rule, garantir segregação operacional e segurança dos ativos dos clientes, além de organizar documentação comprobatória para o processo de autorização.

A TrustSwap afirmou que, sob essas mesmas resoluções, os prestadores ficam sujeitos a exigências de capital mínimo entre cerca de R$ 10,8 milhões e R$ 37,2 milhões, conforme a atividade. A empresa também indicou que plataformas estrangeiras precisam operar por meio de uma entidade brasileira autorizada e que os fluxos com stablecoins usados para pagamentos internacionais e remessas passam a ser tratados como operações de câmbio, com limites por operação e obrigação de reporte desde 4 de maio de 2026.

O Portal do Bitcoin informou que o fechamento da Coinext refletiu um efeito concreto desse endurecimento regulatório sobre o mercado local, ao apontar que empresas que não conseguissem cumprir as novas exigências de autorização e controles teriam de encerrar as atividades. A TechCripto acrescentou que o Banco Central definiu o regime de PSAV como a nova categoria regulada para prestadores de serviços de ativos virtuais, marcando o início formal da supervisão prudencial e de cibersegurança sobre essas entidades.

Como se amplia a exigência de segurança sobre bancos e fintechs?

A atualização da Resolução CMN nº 5.274/2025 reforça controles sobre proteção de chaves e certificados, rastreabilidade, monitoramento contínuo, testes de segurança e gestão de riscos de fornecedores, segundo a Prodist. Esse esquema se soma à política de segurança cibernética já exigida pela Resolução CMN nº 4.893/2021.

O foco regulatório também se estende à cadeia de suprimentos tecnológica de bancos, cooperativas e fintechs. A Prodist descreve uma supervisão mais ampla sobre terceiros e ferramentas críticas, enquanto o material da Fincatch destaca que a cibersegurança passou a ser evidência de governança dentro dos processos de autorização das PSAV.

Mudanças adicionais no Pix, no MED e na frente cripto

O Banco Central do Brasil adicionou em 11 de setembro de 2026 medidas antifraude para operações com ativos virtuais. A novidade inclui retenção cautelar de até 24 horas em certas transferências ao exterior ou para wallets de autocustódia acima de US$ 10 mil. A autoridade também endureceu os requisitos para provedores de serviços de TI, com mais exigências de governança, controles internos, capital e rastreabilidade.

A proibição de publicidade, ofertas comerciais, anúncios e links externos nos comprovantes do Pix foi incorporada à nova versão do manual de requisitos mínimos para a experiência do usuário do Pix. A CNN Brasil informou que o veto atinge anúncios, ofertas comerciais, hiperlinks e qualquer conteúdo não relacionado à transação, enquanto a NSC Total disse que o objetivo é fechar brechas que vinham sendo exploradas em golpes com arquivos falsos. Outra cobertura local indicou que a Instrução Normativa BCB nº 774 exige informar o usuário quando uma transação for bloqueada por suspeita fundada de fraude.

Esse mesmo pacote regulatório também reforça a verificação de contatos cadastrados no Pix. Além disso, as instituições terão até 11 dias para responder se o pedido de devolução do MED foi aceito ou considerado procedente. A TNH1 apontou que o MED passou a ser definido de forma explícita como mecanismo exclusivo para fraudes e golpes, e que o usuário mantém até 80 dias para solicitar a devolução em casos de fraude.

A BBC News Brasil informou essa mudança, e o DOL disse que a ampliação busca proteger comerciantes e prestadores de serviços. Segundo o veículo, esse prazo extra permite reunir documentação como notas fiscais e comprovantes de entrega para provar a legitimidade da transação. O G1 acrescentou que os aplicativos de bancos e instituições financeiras deverão permitir que o cliente anexe documentos e comprovantes ao contestar uma transferência considerada fraudulenta pelo MED.

O portal especializado Clearing Post acrescentou que a Instrução Normativa BCB nº 766 elevou de 30 para 80 dias a janela para que o recebedor possa contestar uma devolução feita via Mecanismo Especial de Devolução, e que as instituições têm até 1º de março de 2027 para adaptar seus sistemas às novas regras de comprovantes.

O Banco Central também afirmou que seguirá intensificando ações regulatórias e de supervisão para elevar os padrões de segurança, governança e gestão de riscos no sistema financeiro. O Valor Econômico registrou essa definição oficial e disse que o regulador mira preservar a integridade operacional e o funcionamento adequado dos mercados.

Em paralelo, a cobertura especializada informou que o BC endureceu as exigências de segurança cibernética para instituições financeiras, com integração segura entre sistemas, controle de acessos, testes de intrusão e monitoramento de credenciais. Essa linha também aparece na agenda do regulador para o setor de ativos virtuais. Uma nota de análise financeira relacionou esse endurecimento normativo ao caso Master e acrescentou que a Resolução BCB nº 584 introduziu medidas específicas antifraude para serviços com ativos virtuais.

As empresas de ativos virtuais que já operavam no Brasil tinham até 30 de outubro de 2026 para apresentar a primeira fase do pedido de autorização ao Banco Central. O Global Legal Insights informou que as VASPs já existentes em 2 de fevereiro de 2026 podem continuar operando enquanto o regulador analisa o pedido, sob um regime de grandfathering.

A Resolução BCB nº 552 ampliou a aplicação de regras de conformidade, controles internos, auditoria e segurança cibernética a prestadoras autorizadas de serviços de ativos virtuais, segundo a Fincatch. O mesmo levantamento detalhou que as entidades já em operação têm esse prazo para pedir autorização e que o regime alcança a estrutura de governança, auditoria e segurança do setor.

A InfoMoney informou que as normas exigem autorização prévia, capital mínimo compatível com a operação, sede física própria no Brasil, segregação patrimonial entre a empresa e os clientes e controles efetivos de prevenção à lavagem de dinheiro. A BlockBR acrescentou que as SPSAV precisam ser pessoas jurídicas constituídas no Brasil, com objeto social exclusivo, capital mínimo escalonado por porte e risco operacional, políticas de compliance e gestão de riscos, processos de KYC e AML e padrões mínimos de continuidade operacional.

A Transfeera afirmou que as empresas que quiserem entrar no mercado sem histórico prévio não podem aderir ao regime transitório, o que eleva a barreira de entrada e as submete desde o início às exigências do regulador. A Veja acrescentou que, vencido o prazo de 30 de outubro de 2026, as instituições financeiras autorizadas não poderão mais viabilizar negócios com prestadoras de serviços de ativos virtuais que não tenham licença ou pedido de autorização em curso. A BitNotícias, por sua vez, informou que a auditoria de exchanges passa a ser um requisito estrutural permanente, e não um procedimento pontual.