Phishing no PIX em 2026: os 4 golpes mais comuns e como reagir

O PIX foi pensado pra ser conveniente. Acabou sendo conveniente também pra quem está do outro lado. Em 2025, o Banco Central registrou crescimento expressivo de fraudes envolvendo o sistema — e 2026 vem com variações novas dos esquemas antigos.

Mapeamos os 4 mais comuns. Se você ainda não caiu em nenhum, ótimo. Se já caiu, a última seção é pra você.

Golpe 1: Falso reembolso ou prêmio

A vítima recebe mensagem (SMS, WhatsApp, e-mail) avisando de um reembolso pendente de imposto, conta de luz, plano de saúde — ou um prêmio de sorteio que ela "ganhou". O link leva a uma página falsa pedindo dados bancários ou um QR Code de PIX "pra liberar o crédito".

O detalhe que delata: reembolso real nunca pede que você pague nada. Se a história envolve "uma pequena taxa pra liberar", é golpe.

Golpe 2: Falsa central do banco

Ligação ou WhatsApp se passando pela central de fraudes do banco. O argumento: "detectamos uma transação suspeita, precisamos cancelar". O atendente convincente pede pra vítima:

• Instalar um app de "verificação" (que na verdade é controle remoto)
• Confirmar dados, senha ou token
• Fazer um PIX pra ela mesma que, por uma "falha do sistema", vai cair na conta do golpista

O detalhe que delata: nenhum banco vai te pedir pra instalar app, ditar senha por telefone ou fazer PIX "de teste". Em qualquer dúvida, desligue e ligue de volta pelo número oficial impresso no cartão.

Golpe 3: QR Code adulterado

Versão moderna do golpe da maquininha. A vítima paga uma compra (legítima ou não) lendo um QR Code que parece normal — mas o destinatário foi trocado. Existe em duas formas:

1. QR Code físico colado por cima. Comum em lojas e estacionamentos. O golpista cola um adesivo com QR próprio sobre o original.
2. QR Code digital recebido por mensagem. "Te mando o QR Code do PIX pra agilizar." O QR não é o do destinatário esperado.

O detalhe que delata: antes de confirmar o PIX, sempre cheque o nome do recebedor que o app mostra. Se for diferente da pessoa ou empresa que você espera pagar, cancele.

Golpe 4: Transferência por engano

O criminoso transfere uma quantia pequena pra conta da vítima — vinda de uma terceira conta (também roubada ou laranja). Em seguida, manda mensagem dizendo que foi engano e pedindo devolução pelo PIX.

Se a vítima devolve, o dinheiro vai pra conta do golpista. Aí o verdadeiro dono da conta de origem aciona o banco — e a vítima fica com o prejuízo, porque devolveu pra alguém errado.

O detalhe que delata: nunca devolva PIX por iniciativa própria. Se realmente caiu por engano, o banco tem o Mecanismo Especial de Devolução (MED) — a outra parte aciona via banco, e o sistema cuida.

Se você caiu: o passo a passo

Tempo importa muito. Quanto antes você agir, maior a chance de recuperar:

1. Imediatamente: abra o app do seu banco e use o MED (Mecanismo Especial de Devolução). Está disponível em todos os bancos brasileiros — funciona até 80 dias após a transação.
2. Em até 1 hora: ligue na central do banco e formalize o pedido de bloqueio do valor.
3. Em até 24 horas: registre um Boletim de Ocorrência (online em quase todos os estados serve). É necessário pra prosseguir com pedidos de estorno.
4. Em até 7 dias: notifique o Banco Central pelo canal de denúncias.
5. Documente tudo: screenshots de mensagens, comprovantes, número de protocolo. Vai precisar.

Como reduzir a chance de cair

• Configure limites baixos pra PIX, especialmente fora do horário comercial. A maioria dos bancos permite.
• Ative notificações pra qualquer movimentação acima de R$ 100.
• Use senha biométrica ou token forte pra liberar transações grandes.
• Desconfie de urgência. Todo golpe vem com prazo apertado ("você tem 30 minutos"). Bancos não trabalham assim.
• Cheque sempre o nome do destinatário antes de confirmar.

O PIX não é o problema. O problema é que ele tornou ataques antigos (engenharia social, phishing) muito mais rápidos de monetizar. Conhecer os padrões é metade da defesa.