Golpes financeiros digitais: como evitar e como reagir

A maior parte dos golpes financeiros digitais no Brasil não quebra a criptografia do banco. Ela quebra a rotina de quem está do outro lado. O golpista cria uma situação de urgência, se apresenta como alguém de confiança e conduz você a fazer, com as próprias mãos, a transferência que ele quer.

Por isso, segurança financeira digital é menos sobre tecnologia sofisticada e mais sobre reconhecer padrões. Este texto reúne os golpes mais comuns segundo fontes oficiais e do setor bancário, os hábitos que reduzem o risco e o que fazer, em ordem, se o pior acontecer.

Por que os golpes funcionam

O nome técnico do método é engenharia social: manipular uma pessoa para que ela entregue dados ou execute uma ação que favorece o criminoso. A cartilha de segurança do CERT.br, o centro de tratamento de incidentes ligado ao NIC.br, resume que fraudadores manipulam as emoções das pessoas e também se aproveitam de brechas de segurança para aplicar golpes (CERT.br, Golpes: Evite Fraudes).

Três ingredientes aparecem em quase todos os roteiros:

• Autoridade falsa: o contato diz ser do banco, da polícia, de uma loja ou de um parente.
• Urgência: sua conta “foi invadida”, a compra “precisa ser cancelada agora”, o parente “está em apuros”.
• Canal fora do controle da vítima: um link, um número de 0800 recebido por mensagem, um aplicativo indicado pelo próprio golpista.

O Pix entra nessa história porque é rápido. O Banco Central afirma que seus sistemas nunca sofreram ataques bem-sucedidos, mas reconhece que fraudes, golpes e ataques a instituições participantes têm usado o Pix cada vez mais como meio de distribuição dos recursos (Banco Central, Relatório de Gestão do Pix 2023-2025). Em outras palavras: o problema raramente é o Pix ser invadido, e sim alguém ser convencido a usá-lo.

Os golpes mais comuns e como reconhecê-los

Falsa central de atendimento

Alguém liga dizendo ser funcionário do seu banco e avisa que sua conta foi invadida ou clonada. A partir daí, pede dados pessoais e financeiros. Em uma variação, pede que você ligue para o número impresso no cartão, mas continua na linha simulando o atendimento e captura a senha que você digita, segundo a Febraban, a federação dos bancos (Febraban, Golpe da falsa central de atendimento).

A orientação da entidade é desligar na hora e procurar o banco pelo número oficial usando outro telefone. O motivo de trocar de aparelho é justamente evitar que a ligação do golpista continue “presa” na linha.

Falso motoboy e falso policial

O roteiro começa igual: uma ligação diz que o cartão foi clonado. O golpista pede a senha, orienta a vítima a cortar o cartão e manda alguém buscá-lo em casa. O chip, intacto, depois é usado em transações. A Febraban alerta que nenhum banco pede o cartão de volta nem envia portador para retirá-lo (Febraban, Bandidos usam novas abordagens para golpes antigos).

Aplicativo de acesso remoto

Com o pretexto de “resolver um problema de segurança”, o golpista pede que você instale um aplicativo. Esse programa dá a ele acesso ao celular. A Febraban descreve esse golpe como “mão fantasma” e reforça que o banco não liga pedindo que você instale aplicativo, informe senha ou número do cartão, nem faça transferência (Febraban).

O CERT.br acrescenta que um app desse tipo pode ser malware, isto é, um programa malicioso capaz de capturar dados e interferir nos aplicativos bancários, alterando valores e chaves Pix sem que você perceba (CERT.br, Golpes: Caiu? Veja o que Fazer).

Invasão de conta e falso parente

Na invasão de conta (em inglês, account takeover), o criminoso obtém sua senha ou um código de verificação e passa a agir como se fosse você: transfere dinheiro, pede empréstimo ou usa seu perfil em aplicativos de mensagem para pedir Pix aos seus contatos.

Uma variação conhecida é a do “parente com número novo”. A pessoa da foto é conhecida, mas o número é diferente. A recomendação do CERT.br é confirmar pelo contato de sempre antes de transferir qualquer valor e não salvar o número novo sem verificar (CERT.br, Golpes: Evite Fraudes).

Pix “por engano” que pede devolução para outra conta

Você recebe um Pix inesperado e, em seguida, alguém pede que devolva o valor para uma conta diferente. O CERT.br explica a armadilha: se o dinheiro não voltar para a conta de origem, o golpista pode pedir o estorno pelo mecanismo oficial de devolução e você acaba pagando duas vezes. A orientação é conferir no extrato se o Pix caiu mesmo e usar a opção de devolução do próprio aplicativo, sem fazer um Pix novo (CERT.br).

QR Code e boleto adulterados, lojas falsas e falso investimento

Golpistas trocam QR Codes em locais públicos, enviam cobranças falsas por mensagem e criam lojas com preços muito abaixo do mercado. Antes de pagar, o CERT.br recomenda conferir valor, nome e CNPJ de quem vai receber (CERT.br).

Ofertas de investimento “imperdíveis”, com pressa para decidir, também aparecem na lista da Febraban (Febraban). Quando a promessa envolve criptoativos, os padrões são parecidos e estão detalhados no texto sobre golpes com criptomoedas.

Hábitos que reduzem o risco

Nenhuma medida elimina o risco. Um conjunto de hábitos simples, porém, fecha as portas mais usadas:

1. Regra do telefone: banco não pede senha, número do cartão, código de verificação, instalação de app nem transferência. Diante de qualquer um desses pedidos, desligue e procure o banco por um canal que você mesmo abriu (Febraban).
2. Verificação em duas etapas em e-mail, aplicativos de mensagem e contas importantes, sem nunca repassar códigos recebidos por SMS (CERT.br).
3. Apps e sites só pelos canais oficiais: digite o endereço no navegador e instale aplicativos apenas da loja oficial, conferindo o desenvolvedor.
4. Confirme antes de pagar: nome e CNPJ do recebedor no Pix, no QR Code e no boleto.
5. Ajuste os limites do Pix. Pelas regras do Banco Central, as instituições devem permitir que você defina limite igual a zero para o Pix. Desde novembro de 2024, transações de pessoas físicas iniciadas em aparelho não cadastrado ficam limitadas a R$ 200 por transação e R$ 1.000 por dia (Banco Central, Relatório de Gestão do Pix). Um limite noturno ou diário mais baixo reduz o prejuízo máximo de um golpe.
6. Proteja seu CPF: o CERT.br indica ativar o BC Protege+, serviço do Banco Central que dificulta a abertura de contas em seu nome, e a proteção do CPF na Redesim, contra abertura de empresas com seus dados (CERT.br).
7. Combine uma “senha de família”: uma pergunta que só parentes próximos sabem responder ajuda a desmontar o golpe do falso parente.

O que é o MED e o que mudou em 2025 e 2026

O Mecanismo Especial de Devolução (MED) é o conjunto de regras do Pix que permite bloquear recursos e pedir a devolução de valores transferidos em casos de golpe, fraude ou crime. Ele funciona desde 2021, segundo o Banco Central (Relatório de Gestão do Pix).

Duas mudanças recentes importam para você:

• Botão de contestação. Em outubro de 2025, passou a valer o autoatendimento do MED: uma função dentro da área Pix do aplicativo do banco para contestar a transação e acompanhar o pedido sem depender de atendimento humano (Relatório de Gestão do Pix).
• Rastreamento além da primeira conta. A Resolução BCB nº 493, de 28 de agosto de 2025, criou a funcionalidade de recuperação de valores, que rastreia, bloqueia e devolve recursos em caso de suspeita de fraude. Ela pôde ser adotada de forma facultativa a partir de 23 de novembro de 2025 e passou a ser obrigatória para as instituições que mantêm contas a partir de 2 de fevereiro de 2026 (Resolução BCB nº 493/2025).

Antes, o bloqueio só alcançava a conta que recebeu o Pix original. O golpista, sabendo disso, espalhava o dinheiro rapidamente por outras contas, as chamadas contas-laranja. Com a mudança, o sistema do Banco Central mapeia os caminhos do dinheiro e envia notificações automáticas aos bancos dessas outras contas (Relatório de Gestão do Pix).

O que o MED cobre e o que não cobre

Segundo o guia do Banco Central para as instituições, o pedido de devolução vale para qualquer fraude envolvendo Pix, inclusive quando você mesmo autorizou a transação com senha ou biometria. Entram golpes de engenharia social, invasão de conta, celular roubado, compra em que o vendedor golpista não entrega o produto e coerção (Banco Central, Guia do MED).

Ficam fora:

• Desacordo comercial: produto atrasado, diferente do esperado ou que não agradou. Isso se resolve com a loja, nos órgãos de defesa do consumidor ou na Justiça.
• Terceiro de boa-fé: se o golpista usou o seu dinheiro para comprar algo de um vendedor honesto, esse vendedor não pode ser debitado.
• Erro seu de digitação: Pix enviado por engano para a pessoa errada também não é caso de MED. O guia recomenda sempre conferir o nome do destinatário antes de confirmar.

O guia deixa claro que o MED não é um estorno automático como o chargeback do cartão: não basta não reconhecer a compra, é preciso que o recebedor tenha cometido a fraude (Guia do MED).

Prazos que você precisa conhecer

• Para contestar: a transação deve ter ocorrido há no máximo 80 dias. Depois disso, o aplicativo deve informar que o prazo foi excedido.
• Para o seu banco agir: ao receber a reclamação, o banco deve abrir a recuperação de valores imediatamente, sem analisar o mérito e sem exigir boletim de ocorrência nesse momento. O guia recomenda fazer isso em até 10 minutos após o fim do atendimento.
• Para o banco do recebedor analisar: até 7 dias corridos para concluir se houve fraude, com o valor bloqueado nesse período.
• Para a devolução: confirmada a fraude, o seu banco tem até 72 horas para pedir a devolução, e o banco do recebedor tem 6 horas para devolver na grande maioria dos casos.

Todos esses prazos estão no guia do Banco Central, em versão vigente em outubro de 2026 (Guia do MED). O guia é atualizado com frequência; uma nova versão já publicada prevê ajustes com vigência em setembro e outubro de 2026, principalmente para contestação de devoluções.

O ponto mais importante: só volta o que ainda houver de saldo nas contas envolvidas. Se o dinheiro já tiver sido sacado ou gasto, o banco do recebedor registra a recusa por falta de saldo. É por isso que a velocidade da contestação faz tanta diferença.

Caiu em um golpe: o que fazer nas primeiras horas

A ordem abaixo segue as orientações do CERT.br e as regras do MED. As primeiras ações são as que mais influenciam a chance de recuperar dinheiro.

Nos primeiros minutos

1. Corte o contato com o golpista. Não envie mais dinheiro nem dados, não tente negociar e bloqueie o número ou perfil (CERT.br, Caiu? Veja o que Fazer).
2. Conteste o Pix no aplicativo do banco, na área Pix, ou pelos canais oficiais de atendimento. Escolha o tipo de ocorrência e anote o número do protocolo.
3. Se foi cartão, conteste as compras e bloqueie o cartão físico e os virtuais.
4. Se você passou senha ou código, troque as senhas das contas afetadas, encerre sessões abertas em outros aparelhos e ative a verificação em duas etapas. Peça ao banco o bloqueio do acesso ao aplicativo, se necessário.

Nas horas seguintes

5. Guarde evidências: prints de mensagens, links, números de telefone, nomes de perfis e comprovantes. Anote protocolos, nomes de atendentes, datas e horários (CERT.br).
6. Registre um boletim de ocorrência, com as evidências. Segundo o CERT.br, na maioria dos casos o registro pode ser feito pela internet, e o BO pode ser necessário para contestar fraudes e acionar seguros.
7. Denuncie o perfil ou anúncio na rede social ou plataforma usada no golpe e avise seus contatos se sua conta foi invadida.
8. Se você instalou um app indicado pelo golpista, o CERT.br recomenda restaurar o celular às configurações de fábrica e recuperar os dados de um backup confiável.

Nos dias e semanas seguintes

9. Acompanhe o pedido no aplicativo. O autoatendimento do MED deve mostrar a situação da contestação, o prazo de resposta e o valor devolvido, se houver (Guia do MED).
10. Se o banco não resolver, você pode registrar reclamação no Banco Central, procurar o Procon do seu estado ou consultar um advogado, como lista o CERT.br. Outra via é o Consumidor.gov.br, serviço público e gratuito monitorado pela Secretaria Nacional do Consumidor, em que a empresa tem 10 dias para responder. A plataforma não substitui o Procon (Consumidor.gov.br).
11. Monitore sua vida financeira: extratos, faturas, histórico de acessos e seus registros financeiros no Registrato, sistema do Banco Central indicado pelo CERT.br para essa conferência (CERT.br).

O que o MED não resolve

Na avaliação da redação, três limites merecem atenção. Primeiro, o mecanismo depende de saldo: golpistas organizados sacam ou dispersam o dinheiro em minutos. Segundo, ele não cobre erros nem disputas comerciais, que exigem outros caminhos. Terceiro, golpes fora do Pix, como transferências para corretoras de criptoativos no exterior, seguem regras diferentes e, na prática, costumam ser muito mais difíceis de reverter.

Quem é vítima de um ataque contra empresas, como o sequestro de dados com pedido de resgate, enfrenta outro tipo de problema, explicado no texto sobre ransomware e criptomoedas.

O que levar deste texto

• Golpes digitais exploram pressa e confiança. Banco não pede senha, cartão, app ou transferência por telefone; desligue e procure o banco por outro aparelho.
• Limites de Pix mais baixos, verificação em duas etapas e conferência do recebedor antes de pagar reduzem bastante a exposição.
• Se cair em um golpe pelo Pix, conteste no aplicativo imediatamente. Desde 2026, o MED pode seguir o dinheiro por várias contas, mas só devolve o que ainda houver de saldo, dentro de 80 dias e apenas em caso de fraude.