Antifraude em Pix e boleto: guia para empresas

Resumo

Boleto adulterado, troca de conta bancária num e-mail de fornecedor e comprovante falso no balcão são golpes que dependem de uma falha de conferência. Cada um tem uma defesa simples, que precisa virar rotina do financeiro.

Este guia explica o que as regras do Banco Central dizem sobre o MED e o MED 2.0, os limites noturnos e as contas de recebimento, e traz boas práticas de conferência de cobrança e um passo a passo para responder a uma fraude.

O que é o MED

O Mecanismo Especial de Devolução (MED) reúne as regras para devolver um Pix em três casos: fundada suspeita de fraude, falha operacional de algum participante e, no Pix Automático, cobrança fora da autorização do pagador (Resolução BCB 1/2020, art. 41-B).

Toda devolução precisa ser iniciada em até 90 dias da transação original e pressupõe saldo na conta de quem recebeu (art. 41-A). Estão fora do MED as controvérsias sobre o negócio que originou o pagamento (art. 41-B, § 1º, I).

Também ficam fora as transações com suspeita de fraude cujo dinheiro foi para a conta de terceiro de boa-fé (art. 41-B, § 1º, II).

Quando o banco do pagador pede a devolução por suspeita de fraude, o banco do recebedor precisa aceitar a notificação de infração (art. 41-D, I) e o valor é bloqueado na conta do recebedor, até o total pedido ou o saldo disponível (art. 41-D, II).

O regulamento prevê múltiplos bloqueios e devoluções parciais e remete ao Manual Operacional do DICT os prazos máximos de bloqueio e de devolução (art. 41-E).

O que o MED 2.0 acrescenta

A Resolução BCB 493/2025 criou a funcionalidade de recuperação de valores. O banco do pagador inicia o procedimento quando há fundada suspeita de fraude após a reclamação do cliente (art. 78-N), com rastreamento, bloqueio e devolução do dinheiro (art. 54, XII).

Nas devoluções das transações rastreadas, o banco do recebedor debita a conta do recebedor e faz a transação ao pagador em nome próprio (art. 41-D, § 4º).

A funcionalidade foi facultativa a partir de 23 de novembro de 2025 e passou a ser obrigatória em 2 de fevereiro de 2026 para os provedores de conta transacional e os liquidantes especiais (art. 121).

Há um efeito para quem recebe. A notificação de infração aceita marca como suspeitos, no DICT, as chaves Pix e o CPF ou CNPJ do recebedor (art. 78-G, parágrafo único). Se a conta da empresa receber dinheiro de golpe, a marcação alcança o CNPJ.

Limites noturnos

A Resolução BCB 142/2021 manda as instituições fixar limite de R$ 1.000,00 por conta, entre 20h e 6h, para o total de transações entre pessoas naturais distintas, exceto empresários individuais (art. 2º, I).

A regra alcança Pix, TED, DOC, transferências na própria instituição e boletos (art. 2º, § 1º), e as transações agendadas entre 20h e 24h que liquidem antes das 6h (art. 2º, § 2º).

O cliente pode pedir limites específicos por período e cadastrar contas autorizadas a receber valores acima do limite. O cadastro feito pelos canais eletrônicos leva no mínimo 24 horas para valer (art. 3º).

O aumento de limite pedido pelo cliente segue o mesmo prazo mínimo (art. 2º, II).

O limite de R$ 1.000,00 não menciona pessoa jurídica. Ainda assim, a empresa pode pedir ao banco limites por período para a conta do CNPJ (art. 3º, I), o que reduz o estrago de um acesso indevido de madrugada.

Contas de recebimento

Desde 13 de outubro de 2025, as instituições devem rejeitar transações destinadas a contas com fundada suspeita de envolvimento em fraude e comunicar o titular da conta (Resolução BCB 142, art. 2º-A, incluído pela Resolução BCB 501/2025).

Na prática, a empresa que recebe de clientes deve usar contas em nome do CNPJ, com poucos acessos, e conciliar o extrato todos os dias.

Boas práticas de conferência de cobrança

• Compare, no aplicativo do banco, o nome e o CNPJ do beneficiário do boleto com os do fornecedor cadastrado antes de confirmar.
• Confirme por telefone, em número já cadastrado, qualquer mudança de conta ou de chave Pix de fornecedor pedida por e-mail ou mensagem.
• Cobre clientes por Pix com QR Code dinâmico ou por boleto emitido pelo seu sistema, e não por imagem enviada em mensagem.
• Só libere a mercadoria depois de ver o valor no extrato. O comprovante em imagem é apresentado pelo cliente e pode ser falso.
• Separe quem cadastra o fornecedor, quem aprova e quem paga. Acima de um valor definido pela empresa, exija duas aprovações.
• Defina limites por período e por usuário no internet banking.
• Remova no mesmo dia o acesso bancário de quem deixou a empresa.

Golpe do boleto adulterado

No boleto adulterado, o documento chega com o logotipo e o valor corretos, mas o código de barras ou a linha digitável apontam para outra conta. O pagamento é liquidado e o dinheiro vai para o golpista.

A defesa é conferir o beneficiário antes de confirmar e ler o código pelo aplicativo do banco, sem digitar números copiados de e-mail. Boleto de valor alto ou de fornecedor novo pede uma segunda conferência por telefone.

O MED é do arranjo Pix e não se aplica ao pagamento de boleto. Quem pagou um boleto adulterado deve acionar o banco e registrar a ocorrência no mesmo dia.

Passo a passo para responder a uma fraude

1. Anote o horário, o valor, a conta ou a chave de destino e o código da transação que aparece no comprovante.
2. Acione o banco, pelo canal de contestação do aplicativo ou pela central, na mesma hora. O procedimento de recuperação de valores parte da reclamação do cliente (art. 78-N), e a devolução precisa ser iniciada em até 90 dias (art. 41-A).
3. Peça o número do protocolo e a confirmação de que a contestação foi aberta.
4. Troque as senhas e revogue acessos e dispositivos do internet banking e das contas de e-mail usadas na operação.
5. Registre o boletim de ocorrência e guarde e-mails, mensagens, boletos e comprovantes sem alterar os arquivos.
6. Avise o contador e o financeiro e verifique se houve outros pagamentos para o mesmo destino.
7. Acompanhe o protocolo. A devolução depende de saldo na conta do recebedor, e o regulamento prevê bloqueios e devoluções parciais.

Modelo de registro de incidente

Fontes

• Resolução BCB 1, de 12/08/2020, regulamento do Pix, arts. 41-A a 41-E, 54, 78-G, 78-N e 121 (Banco Central)
• Resolução BCB 493, de 28/08/2025 (Banco Central)
• Resolução BCB 142, de 23/09/2021 (Banco Central)
• Resolução BCB 501, de 11/09/2025 (Banco Central)