O sistema de pagamentos instantâneos, conhecido como Pix, já se tornou a base do sistema financeiro no Brasil. Em 2025, o volume de transações ultrapassou R$ 28 trilhões, conforme informações do Banco Central. Além disso, estudos realizados pela FGV Cemif indicam que cada brasileiro fez cerca de 40 transferências mensais, em média.
Entretanto, essa rápida adesão trouxe um efeito indesejado: o Pix passou a ser um alvo preferencial para criminosos digitais. Somente em 2024, os golpes relacionados ao sistema resultaram em perdas estimadas em R$ 4,94 bilhões, segundo dados obtidos pelo BC através da Lei de Acesso à Informação.
No ano seguinte, a tendência de fraudes digitais se manteve crescente no Brasil. Informações da Associação de Defesa de Dados Pessoais e do Consumidor (ADDP) revelam que entre janeiro e setembro foram registradas 28 milhões de tentativas de golpes envolvendo o Pix.
Um dos episódios mais alarmantes ocorreu em julho, com o maior ataque já documentado no setor: um incidente na C&M Software que causou um desvio estimado em pelo menos R$800 milhões.
Pontos Fracos Operacionais
Esse evento destacou que as vulnerabilidades não residem na tecnologia desenvolvida pelo Banco Central, mas nas extremidades operacionais, onde falhas humanas e processos inadequados se acumulam.
Gabriel Paiva, CEO da Dfense, enfatiza que a fragilidade não está no núcleo do sistema: “A tecnologia por trás do Pix é segura. O que falha são os processos, as pessoas e os fornecedores conectados ao sistema financeiro. No caso da C&M, o ataque teve início no ponto mais frágil: o acesso humano.”
Apesar das inovações tecnológicas voltadas à proteção, o fator humano continua sendo a principal vulnerabilidade explorada pelos criminosos.
“Um simples clique em um link malicioso ou o envio inconsciente de informações pode abrir brechas que nenhuma tecnologia consegue bloquear completamente”, acrescenta Paiva.
Engenharia Social Avançada
Esse cenário favorece a evolução da Engenharia Social 3.0, onde os golpistas utilizam dados públicos para criar abordagens personalizadas que imitam comunicações legítimas, aumentando assim as chances de sucesso dos golpes.
A ascensão da inteligência artificial generativa e dos deepfakes torna essa realidade ainda mais complexa.
“Atualmente é fácil e barato produzir uma voz sintética ou criar vídeos convincentes, acelerando fraudes como o golpe do CEO, onde criminosos se fazem passar por executivos para solicitar transferências ou obter informações sensíveis”, complementa.
Cinco Medidas para Proteção das Empresas
<pCom base na análise dos incidentes ocorridos até agora, a Dfense sugere quatro áreas que devem ser imediatamente revisadas por empresas e instituições financeiras para assegurar a robustez do sistema Pix:
- Auditorias rigorosas de fornecedores: É crucial ir além das listas de conformidade. Exigir provas auditáveis de segurança de todos os fornecedores conectados ao ecossistema de pagamentos é essencial.
- Capacitação contínua contra engenharia social: Os ataques frequentemente começam fora do código – seja por telefone ou mensagem. É fundamental treinar as equipes para reconhecer táticas manipulativas que buscam acesso privilegiado.
- Aprimoramento da identidade digital: Fortalecer os controles de autenticação com biometria e análise comportamental (machine learning), além da confirmação em múltiplos dispositivos para transações significativas.
- Painéis claros de resposta a incidentes: É vital saber exatamente como agir após um golpe ter ocorrido. Ter planos bem definidos sobre quando interromper operações e iniciar rastreamentos pode ajudar a minimizar prejuízos.
Cinco Dicas para Usuários se Protegerem
Os usuários também desempenham um papel crucial na defesa contra fraudes. Por isso, seguem algumas recomendações:
- Nunca efetuar uma transferência via Pix por “urgência” sem confirmar a solicitação através de outro canal (como ligação direta);
- Verificar sempre o nome e a instituição antes de validar qualquer transferência;
- Cuidado com cobranças inesperadas ou mensagens enviadas via WhatsApp;
- Ajustar limites diários e noturnos para transações via Pix conforme seu padrão habitual;
- Utilizar imediatamente o MED (Mecanismo Especial de Devolução) caso caia em um golpe.
