Você recebeu uma ligação da “central de segurança” do seu banco, o atendente sabia seu nome, seu CPF, até a agência. Em questão de minutos, autorizou uma série de transferências via PIX achando que estava protegendo sua conta. Só depois percebeu: era um golpe. O dinheiro sumiu, e agora vem a pergunta que chega ao meu escritório com frequência alarmante — golpe do PIX como recuperar dinheiro e ainda processar quem fez isso? A resposta, ao contrário do que muitos imaginam, não é um simples «não tem mais o que fazer». O ordenamento jurídico brasileiro oferece ferramentas reais. Mas o tempo é um fator decisivo, e cada hora perdida reduz as chances de êxito.
O tamanho do problema: por que os golpes via PIX crescem sem parar
O PIX se tornou o meio de pagamento mais popular do Brasil em tempo recorde. Segundo dados do Banco Central, em 2025 mais de 170 milhões de brasileiros realizaram transferências por meio do sistema PIX, totalizando cerca de R$ 7 bilhões de transações realizadas somente em janeiro de 2026. Esse volume colossal também atraiu criminosos. Entre julho de 2024 e junho de 2025, cerca de 24 milhões de brasileiros foram vítimas de golpes através do PIX. É um número que deveria envergonhar qualquer debate sobre segurança digital no país. As perdas com o golpe do PIX podem chegar a US$ 1,937 bilhão — cerca de R$ 11 bilhões — até 2028. Diante desse cenário, conhecer os mecanismos de proteção e recuperação não é luxo: é necessidade.
O que diz a lei: o golpe do PIX tem nome e pena no Código Penal
Antes de falar em recuperação, é preciso entender o que juridicamente aconteceu. Quando um criminoso induz a vítima ao erro para obter vantagem financeira, o crime é estelionato, tipificado no artigo 171 do Código Penal. A Lei 14.155, de 27 de maio de 2021, inseriu o §2º-A no art. 171, criando a figura do estelionato cometido por meio de dispositivo eletrônico ou informático, com ou sem violação de mecanismo de segurança. A pena é de reclusão de 4 a 8 anos e multa. Não é crime leve. A Lei 14.155/2021 quadruplicou a pena mínima do estelionato cometido por meio eletrônico. A distância entre um estelionato simples (1 a 5 anos) e um estelionato eletrônico é abissal em termos de consequências penais, regime de cumprimento e possibilidade de acordo.
Um ponto prático que pouca gente sabe: o estelionato somente se procede mediante representação da vítima, salvo se a vítima for a Administração Pública, criança ou adolescente, pessoa com deficiência mental ou maior de 70 anos de idade ou incapaz. Isso significa que, na maioria dos casos, cabe à própria vítima dar início à persecução penal, registrando o boletim de ocorrência e formalizando a representação criminal. Quem demora perde esse direito — o prazo decadencial para a representação é de 6 meses a contar do conhecimento do autor do fato, nos termos do artigo 103 do Código Penal.
Para mais sobre como crimes cibernéticos evoluíram com o uso de tecnologia contra vítimas, vale ler também sobre deepfake e crime no Brasil, outra frente que os golpistas passaram a explorar com frequência.
O Mecanismo Especial de Devolução (MED): sua primeira linha de defesa
O Mecanismo Especial de Devolução (MED) foi criado pelo Banco Central para auxiliar possíveis vítimas de golpes com PIX e facilitar o pedido de devolução dos valores em duas situações: confirmação de uso do PIX para aplicação de golpe e falha operacional nos sistemas das instituições envolvidas na transação. É o instrumento mais imediato à disposição da vítima, e sua ativação deve ser a primeira providência após perceber o golpe — antes mesmo de registrar o boletim de ocorrência, se possível.
Como funciona o MED 2.0 em 2026
O MED ganhou sua nova versão: o MED 2.0. Originalmente criado para apoiar a resolução de falhas operacionais e contestações, o MED passou por atualizações tecnológicas importantes. O MED 2.0 introduz mudanças operacionais profundas, como o rastreio em múltiplas camadas (grafos de profundidade), novos critérios de valor mínimo para acionamento e a centralização da criação de Notificações de Infração (NIs) pelo próprio Banco Central.
Na prática, o que mudou foi significativo. O sistema anterior só conseguia acompanhar o dinheiro até a primeira conta que recebia os recursos fraudulentos. Dessa maneira, se o golpista pulverizasse o valor rapidamente, transferindo para outra conta logo em seguida, o rastro se perdia e as chances de recuperação caíam drasticamente. Em agosto de 2025, o Banco Central publicou a Resolução BCB nº 493 com mudanças significativas no MED, como a ampliação do rastreio de rotas do dinheiro em até 11 dias adicionais após a contestação. O sistema passou a rastrear o valor em até cinco transferências, funcionalidade que era facultativa e passou a ser obrigatória a partir de 2 de fevereiro de 2026. Com isso, é possível acompanhar o trajeto do dinheiro e ainda identificar todas as contas intermediárias por onde passou.
Prazos que você precisa conhecer
Legalmente, o pedido de recuperação de valores deve ser feito em até 80 dias corridos após a realização do PIX. Em caso de golpes ou fraudes, os principais prazos do MED são: 80 dias para registrar a contestação e até 11 dias para análise entre as instituições. Casos de fraude comprovada poderão ter devolução em aproximadamente 11 dias. Durante a investigação, os valores rastreados permanecem bloqueados para impedir saques ou novas transferências.
Atenção a uma limitação importante: o Banco Central esclarece que o MED só pode ser utilizado em situações de fraude, suspeita de golpe ou falhas operacionais das instituições financeiras. O mecanismo não vale para transferências feitas por engano pelo próprio usuário, como envio para chave PIX incorreta. Se você enviou dinheiro para a pessoa errada sem nenhuma fraude envolvida, o caminho é outro — e mais tortuoso.
Se não houver saldo suficiente para a devolução total, o banco do recebedor poderá fazer o monitoramento da conta por 90 dias e, conforme houver novas disponibilidades de recursos, são feitas as devoluções parciais. Não é a solução ideal, mas é melhor do que nada.
A responsabilidade do banco: quando a instituição financeira paga a conta
Aqui está o ponto que mais surpreende as vítimas: em muitos casos, o banco pode ser obrigado a devolver o dinheiro independentemente de o golpista ser identificado ou preso. A jurisprudência brasileira, baseada na Súmula 479 do STJ, estabelece que os bancos respondem objetivamente por fraudes cometidas por terceiros no âmbito das operações bancárias. Ou seja, se houve falha no filtro antifraude, a responsabilidade do banco em golpe do PIX é reconhecida judicialmente.
A jurisprudência consolidada em 2025-2026 distingue dois cenários. Quando o golpe explora a marca ou sistemas do banco — falsa central, falso aplicativo, acesso remoto via RAT —, há responsabilidade objetiva direta. Quando o golpe se inicia integralmente fora da relação bancária, sem falha sistêmica, o STJ admite excludente de responsabilidade, conforme o REsp 2.208.212, da 4ª Turma, julgado em março de 2026.
Um detalhe importante sobre o argumento de que «a culpa foi sua porque você confirmou a senha»: o REsp 2.220.333/DF, julgado pelo STJ em novembro de 2025, afastou a tese da culpa concorrente em engenharia social. Quando a vítima é induzida por falso preposto, falsa central ou aplicativo fraudulento, a confirmação por senha não exclui a responsabilidade do banco. Esse precedente é fundamental para quem foi vítima do golpe da falsa central de segurança.
A base legal é sólida: a lei brasileira protege a vítima de golpe do PIX em quatro frentes: Código de Defesa do Consumidor (art. 14, responsabilidade objetiva), Súmula 479 do STJ (responsabilidade por fortuito interno), Lei 14.155/2021 (que tipificou o estelionato eletrônico no art. 171, §2º-A do CP) e Resolução BCB 493/2025 (MED 2.0).
Boletim de ocorrência: por que é peça-chave e como registrar
O boletim de ocorrência (BO) cumpre funções simultâneas: é o documento que formaliza a representação criminal contra o golpista, é prova essencial para o processo judicial contra o banco e é requisito que algumas instituições exigem para dar andamento ao MED. Na esfera criminal, a vítima deve registrar o boletim de ocorrência na delegacia especializada em crimes cibernéticos ou delegacia comum. A maioria dos estados já permite o registro online, pelo site da delegacia digital, o que economiza tempo — justamente o recurso mais escasso nessa situação.
A comprovação de provas, como mensagens e documentos, é necessária ao registrar o Boletim de Ocorrência. Reúna tudo antes de ir: capturas de tela das conversas pelo WhatsApp, e-mails recebidos, comprovantes das transferências realizadas, o número de telefone do qual veio a ligação e qualquer protocolo de atendimento do banco. Para que a Justiça considere procedente sua reclamação, é essencial apresentar provas robustas. Entre os principais documentos estão: boletim de ocorrência, comprovantes de transferência, mensagens ou e-mails fraudulentos e relatórios do banco — que podem ser solicitados para demonstrar falhas no sistema.
Caso prático: o que acontece quando tudo se encaixa
Imagine a seguinte situação, baseada em padrão recorrente que chega a escritórios de advocacia: Carlos, engenheiro de 45 anos em São Paulo, recebe uma ligação de um número que parece ser do seu banco. O atendente cita seu nome completo, CPF e os dois últimos lançamentos na conta — dados que vazaram de alguma base comprometida. Sob o pretexto de «cancelar uma compra suspeita», Carlos realiza cinco transferências PIX em menos de vinte minutos, totalizando R$ 38 mil. Quando percebe o golpe, liga ao banco — que afirma não ter feito nenhuma ligação. A conta para a qual o dinheiro foi enviado pertencia a uma conta-laranja aberta com documentos falsificados em uma fintech. O que Carlos pode fazer? Acionar o MED imediatamente pelo aplicativo do banco, registrar o BO online ainda naquela tarde, notificar o banco por escrito e reunir os protocolos de atendimento. Com o MED 2.0, se o dinheiro ainda estiver em contas rastreáveis, há possibilidade real de bloqueio. Se o banco falhou em identificar as operações atípicas ou se a fintech abriu conta sem verificação adequada, ambas respondem objetivamente pelo prejuízo.
As ações cíveis e criminais disponíveis para a vítima
Na esfera cível: banco, Juizado Especial e danos morais
Se o banco negar a devolução ou o MED não for suficiente, a vítima pode ajuizar ação de indenização por danos materiais e morais. Juízes têm condenado duas instituições bancárias simultaneamente — incluindo fintechs — a indenizarem consumidores vítimas de golpe via PIX, quando as instituições, mesmo avisadas sobre o golpe, não cumpriram satisfatoriamente as medidas previstas em regulamentação do Banco Central. Além da devolução do montante retirado das contas, a Justiça tem determinado o pagamento de valores a título de danos morais — levando em conta a vulnerabilidade da vítima. Para valores até 20 salários mínimos, o Juizado Especial Cível é o caminho mais rápido e não exige advogado obrigatoriamente, embora contar com assessoria jurídica aumente consideravelmente as chances de êxito. Para valores maiores, a ação deve tramitar na Vara Cível comum.
Também é possível registrar reclamação no consumidor.gov.br, no Procon do seu estado e na plataforma de reclamações do próprio Banco Central. Esses registros fazem pressão administrativa e fortalecem qualquer ação judicial futura.
Na esfera criminal: representação, inquérito e ação penal
A tipificação penal é base do boletim de ocorrência e da ação penal, mas a recuperação civil corre em paralelo e de forma independente. Ou seja, você não precisa esperar o golpista ser preso para buscar ressarcimento na Justiça Cível. As duas esferas correm simultaneamente. Na via criminal, após o registro do BO e da representação formal, a Delegacia de Crimes Cibernéticos — ou, na ausência dela, qualquer delegacia — instaura inquérito para identificar o autor. Se a vítima for idosa, criança, adolescente, pessoa com deficiência mental ou maior de 70 anos, a lei prevê agravantes e, em alguns casos, facilita a ação do Ministério Público, tornando o crime de ação penal incondicionada. Isso significa que, nessas hipóteses, o MP age de ofício, sem depender de representação da vítima.
Sobre outros crimes que se enquadram em ações penais similares, o artigo sobre furto qualificado e suas hipóteses de agravamento traz contexto útil sobre como o Código Penal trata crimes contra o patrimônio praticados com meios tecnológicos.
O que fazer nos primeiros minutos após perceber o golpe
A ordem das ações importa. Primeiro: ligue ao banco e solicite o bloqueio imediato das contas envolvidas — guarde o protocolo de atendimento. Segundo: acesse o aplicativo do seu banco e acione o MED, descrevendo a situação como fraude. A partir de outubro de 2025, foi implementado canal de autoatendimento nos aplicativos das instituições, agilizando o processo de contestação e aumentando a chance de recuperação dos valores. Terceiro: registre o boletim de ocorrência — preferencialmente online, pelo site da delegacia digital do seu estado, para ganhar tempo. Quarto: reúna todas as provas antes que conversas sejam apagadas ou números bloqueados. Quinto: procure orientação jurídica especializada, pois o enquadramento correto do seu caso — se o golpe explorou o sistema do banco ou ocorreu integralmente fora dele — define qual estratégia processual adotar.
Em 2025, o MED conseguiu recuperar apenas pouco mais de 9% dos valores contestados. Esse número baixo reflete em grande parte o problema da demora em acionar o mecanismo — e reforça que agir nas primeiras horas faz toda a diferença prática. Especialistas apontam que as novas regras do MED 2.0 podem reduzir em até 40% os golpes considerados bem-sucedidos dentro do sistema de pagamentos instantâneos.
Golpe do PIX: o que muda quando o banco é o responsável
Existe uma diferença fundamental entre o golpe que ocorre inteiramente fora do ambiente bancário — como o falso anúncio em rede social — e aquele que explora vulnerabilidades, marca ou sistemas da própria instituição. Se você foi vítima da «falsa central» ou de engenharia social que se apresentou como funcionária do banco, saiba que a culpa nem sempre recai sobre o consumidor. Muitas vezes, o prejuízo financeiro ocorre devido a falhas críticas nos sistemas de segurança das instituições, que permitem transações totalmente atípicas sem qualquer bloqueio preventivo. Nesse segundo cenário, a Súmula 479 do STJ incide com força total, e a jurisprudência atual favorece a vítima de forma consistente. Já no primeiro cenário — o do golpe iniciado fora da relação bancária —, o banco pode se eximir, mas o golpista identificado responderá civil e criminalmente pelo prejuízo causado.
O cenário jurídico em 2026 oferece mais proteção do que muitas vítimas imaginam. Quem age com rapidez, preserva provas e busca orientação profissional adequada tem condições reais de reverter o prejuízo — ou ao menos de responsabilizar quem falhou em protegê-lo. Se você passou por uma situação como essa, o caminho começa com uma análise criteriosa do caso concreto por um profissional habilitado, que vai identificar se a responsabilidade está no golpista, no banco, em ambos — e qual a melhor estratégia para cada frente.
Perguntas frequentes
Qual o prazo para acionar o Mecanismo Especial de Devolução do PIX após um golpe?
O prazo legal para solicitar a devolução via MED é de até 80 dias corridos após a realização da transferência fraudulenta. Porém, quanto mais rápido o pedido for feito — preferencialmente nas primeiras horas —, maiores as chances de o dinheiro ainda estar disponível na conta do golpista ou em contas intermediárias rastreáveis pelo sistema.
Fui vítima de golpe do PIX e o banco se recusa a devolver o dinheiro. O que posso fazer?
Se o banco negar a devolução, você pode registrar reclamação no consumidor.gov.br, no Procon do seu estado e no Banco Central. Paralelamente, pode ajuizar ação de indenização no Juizado Especial Cível (valores até 20 salários mínimos) ou na Vara Cível comum, com base na Súmula 479 do STJ e no art. 14 do Código de Defesa do Consumidor.
É possível processar o golpista do PIX mesmo sem saber quem ele é?
Sim. O boletim de ocorrência inicia o inquérito policial para identificação do autor. Paralelamente, é possível mover ação judicial contra o banco responsável pela conta receptora, que responde objetivamente em muitos casos. Quando o golpista é identificado, pode ser incluído na ação cível para ressarcimento integral do prejuízo e danos morais.
O banco é sempre obrigado a devolver o dinheiro em caso de golpe do PIX?
Não em todos os casos. A responsabilidade do banco é mais clara quando o golpe explorou a marca, sistemas ou vulnerabilidades da própria instituição — como o golpe da falsa central de atendimento. Quando o golpe ocorreu inteiramente fora da relação bancária, sem falha sistêmica identificável, o STJ admite que o banco se exima, conforme o REsp 2.208.212, julgado em março de 2026.
Qual a pena para quem aplica golpe do PIX no Brasil em 2026?
O golpe do PIX configura estelionato eletrônico, tipificado no art. 171, §2º-A do Código Penal, com pena de reclusão de 4 a 8 anos e multa, conforme a Lei 14.155/2021. A pena pode ser agravada se a vítima for idosa, pessoa vulnerável ou se o crime for praticado com uso de servidores no exterior, podendo chegar a aumentos de até dois terços.