O Pix se consolidou como o meio de pagamento favorito dos brasileiros — e também dos criminosos. Em 2026, os golpes envolvendo o sistema de pagamentos instantâneos do Banco Central atingiram um novo patamar de sofisticação, impulsionados por inteligência artificial, deepfakes e engenharia social em escala industrial.
Resumo rápido:
- 12 ataques cibernéticos ao ecossistema do Pix nos primeiros 4 meses de 2026 — média de 3 por mês
- 28 milhões de brasileiros foram vítimas de golpes envolvendo Pix em 2025, tendência crescente em 2026
- Fraudes agora usam deepfake de voz e vídeo para autorizar transferências
- Novas regras do BC entraram em vigor em fevereiro de 2026 com o MED (Mecanismo Especial de Devolução) reforçado
- Maior vulnerabilidade continua sendo o fator humano
O cenário em 2026: uma escala alarmante
O sistema financeiro brasileiro registrou 12 ataques cibernéticos relacionados ao ecossistema do Pix apenas nos primeiros quatro meses de 2026, segundo dados divulgados pelo Finsiders Brasil. Isso representa uma média de três ataques por mês — um ritmo que acendeu alertas em bancos, fintechs e no próprio Banco Central (Finsiders Brasil).
Apenas em 2025, aproximadamente 28 milhões de brasileiros foram vítimas de golpes envolvendo Pix, com pessoas acima de 50 anos representando 53% dos casos, segundo levantamento da Associação de Defesa de Dados Pessoais e do Consumidor (ESET / Security Leaders).
O ataque mais recente ocorreu em 19 de junho de 2026, quando o Banco Central emitiu um alerta aos participantes do Sistema de Pagamentos Instantâneos sobre um “evento cibernético” envolvendo uma fintech — o mesmo fim de semana do ataque hacker à Defesa Civil (Valor Econômico).
Gráfico de barras mostrando os 12 ataques ao ecossistema Pix nos primeiros 4 meses de 2026, com destaque para a média de 3 ataques por mês.
Como os golpes com Pix evoluíram em 2026
Deepfake de voz e vídeo em tempo real
Criminosos passaram a usar inteligência artificial para clonar a voz de executivos, familiares e conhecidos em chamadas telefônicas em tempo real. A vítima recebe uma ligação de alguém que soa exatamente como um parente pedindo uma transferência Pix urgente. A tecnologia já permite, em alguns casos, deepfake de vídeo em chamadas de WhatsApp.
Phishing hiper-personalizado com IA
Em vez de e-mails genéricos, os golpistas agora usam LLMs (Large Language Models) para gerar mensagens personalizadas com base em dados vazados — nome da vítima, banco que utiliza, valor aproximado de transações recentes. O nível de realismo tornou o phishing tradicional irreconhecível.
Falsas lojas online e anúncios fraudulentos
Ao menos 115 conteúdos fraudulentos viralizaram no Brasil entre maio de 2024 e abril de 2026 segundo o Observatório Lupa. Em cerca de um terço dos casos, os golpistas exigiam pagamento exclusivamente via Pix (Finsiders Brasil).
Ataques diretos a fintechs
O ecossistema do Pix não é alvo apenas de golpes contra usuários — as próprias instituições financeiras estão na mira. Em fevereiro de 2026, a JD Consultores foi invadida, e em abril o Banco Rendimento sofreu um ataque que atingiu contas de clientes. A escalada levou o BC a intensificar o monitoramento sobre as fintechs.
As novas regras do Pix em 2026
Em 2 de fevereiro de 2026, entraram em vigor novas regras de segurança do Pix definidas pelo Banco Central, com foco especial no Mecanismo Especial de Devolução (MED) (Agência Brasil).
As principais mudanças incluem:
- Bloqueio preventivo de valores suspeitos por até 72 horas
- Notificação compulsória ao BC em casos de suspeita de fraude
- Rastreamento aprimorado das contas de destino
- Responsabilização mais rápida das instituições envolvidas
Apesar das medidas, o BC reconhece que a regulação sozinha não resolve o problema — a segurança do Pix depende de uma combinação de tecnologia, educação do usuário e cooperação entre instituições.
Infográfico com as principais mudanças nas regras de segurança do Pix em 2026: MED reforçado, bloqueio preventivo de 72h, notificação compulsória e rastreamento de contas.
O elo mais fraco: o fator humano
A ESET, empresa global de cibersegurança, alerta que o Pix em si não é inseguro — a vulnerabilidade está nas pessoas e nos processos ao redor dele. Os golpistas não invadem o sistema; eles enganam quem usa o sistema.
Os principais vetores continuam sendo:
- Engenharia social — explorar confiança e urgência
- Phishing — links maliciosos disfarçados de comunicação oficial
- Clonagem de WhatsApp — acesso à lista de contatos para pedir dinheiro
- Falso suporte bancário — criminosos se passam por funcionários do banco
Como se proteger em 2026
Para empresas e indivíduos, as recomendações se intensificaram:
- Nunca faça Pix baseado em ligação ou mensagem não solicitada — desligue e ligue de volta para o número conhecido
- Ative notificações de todas as transações no aplicativo do banco
- Desconfie de ofertas com desconto para pagamento via Pix — é a isca mais comum
- Empresas: implemente aprovação em duas etapas para transferências acima de determinado valor
- Use senhas fortes e MFA em todos os aplicativos bancários e redes sociais
Checklist visual com 5 dicas de proteção contra fraudes no Pix: verificar ligações, ativar notificações, desconfiar de ofertas, aprovação em duas etapas e MFA.
Conclusão
O Pix veio para ficar — e seu sucesso o transformou no principal alvo de criminosos digitais. As fraudes evoluíram de simples “golpe do motoboy” para ataques com deepfake, IA generativa e engenharia social sofisticada. Enquanto o Banco Central reforça as regras, a primeira linha de defesa continua sendo a consciência do usuário.
Em 2026, confiar cegamente no que você ouve ou vê em uma chamada de vídeo pode custar caro. O novo lema da segurança financeira é: desconfie, verifique, confirme.
