Se o pagamento saiu por Pix, existe caminho: o Mecanismo Especial de Devolução do Banco Central alcança fraude por engenharia social, mesmo quando a transação foi autorizada com senha ou biometria. O prazo para notificar é de até 80 dias, mas o que decide a recuperação é a velocidade: o bloqueio na conta de destino ocorre imediatamente após a notificação, e o dinheiro some antes disso.
Não espere confirmar com o fornecedor para avisar o banco. A ordem certa é inversa: primeiro aciona o banco, depois confirma. Cada hora de espera é uma hora a mais para o valor sair da conta de destino, e o mecanismo não recupera o que já não está lá.
O e-mail veio na mesma conversa de sempre, respondendo a thread real, com a assinatura certa e o mesmo tom. Dizia apenas que o banco tinha mudado e pedia o pagamento em outra conta. O financeiro estranhou por um segundo, ligou para o número que estava no rodapé daquele e-mail e recebeu confirmação. O número era do golpe. A ligação de conferência precisava ter sido para o telefone que a empresa já tinha no cadastro, não para o que veio junto com o pedido.
Acabou de acontecer?
Se o pagamento foi hoje, o tempo vale mais que qualquer análise. Mande o comprovante e o e-mail com cabeçalho completo, e vamos pelas providências imediatas primeiro.
Dúvidas que aparecem primeiro
| Pergunta | Resposta curta |
|---|---|
| Autorizei o Pix. Ainda cabe devolução? | Cabe. O mecanismo alcança fraude mesmo com senha ou biometria. |
| Qual o prazo para pedir? | Até 80 dias para a transação original. |
| Quando o valor é bloqueado? | Imediatamente após a notificação ao destino. |
| E se o pagamento foi por TED ou boleto? | O mecanismo é do Pix. Outros meios seguem caminho diferente. |
| Sempre recupero o valor? | Não. Terceiro de boa-fé é protegido e saldo zerado impede. |
Como o golpe funciona, e por que a empresa cai
O ataque quase nunca começa no dia do pagamento. Começa semanas antes, com acesso à caixa de e-mail de alguém da empresa ou do fornecedor. O criminoso lê a conversa real, aprende o tom, o valor típico e o calendário.
Quando chega a hora, ele não inventa nada: apenas responde a uma conversa que já existia, dizendo que os dados bancários mudaram.
Não é falta de atenção do financeiro. O e-mail é verdadeiro no formato, no histórico e no assunto. O que falha é a rotina de validação, não a pessoa.
A parte que quase ninguém sabe
Existe a crença de que, tendo autorizado o Pix com senha ou biometria, não há nada a fazer. Não é isso que diz o Banco Central.
O guia do Mecanismo Especial de Devolução lista, entre as hipóteses de fundada suspeita de fraude, situações de engenharia social, e é expresso ao alcançar transações ainda que autorizadas com senha ou biometria. Invasão de conta, coerção e transações fraudulentas entram na mesma categoria.
Ou seja: ter clicado em confirmar não fecha a porta.
Os prazos que realmente importam
O prazo largo é o de 80 dias para notificar uma transação original, e de 30 dias quando se trata de transação de devolução. Mas o prazo largo é o menos relevante.
O que decide o resultado é a sequência curta:
- a instituição do destino bloqueia os recursos imediatamente após a notificação
- a análise pela instituição do recebedor leva até 7 dias corridos
- concluída a análise, a devolução é iniciada em até 72 horas
- e efetivada em até 6 horas depois disso
Leia a primeira linha de novo. O bloqueio é imediato, mas só depois da notificação. Tudo o que acontece antes de você avisar é tempo em que o dinheiro pode simplesmente sair.
A cláusula que permite o bloqueio
Vale saber por que o bloqueio pode ser tão rápido: os participantes do Pix devem prever, nos contratos com seus clientes, que podem bloquear e debitar recursos sem autorização prévia caso a caso. Não é preciso o golpista concordar.
Os limites, ditos com clareza
Prometer recuperação seria desonesto. O próprio mecanismo tem fronteiras:
Terceiro de boa-fé é protegido. Se o valor já foi usado em compra legítima por alguém que não participou do golpe, ele não é recuperado dessa pessoa.
Saldo insuficiente limita a devolução. Bloqueia-se o que houver, e a devolução pode ser parcial. Com saldo zerado, não há o que bloquear.
Não é chargeback. O mecanismo do Pix não funciona como o de cartão, e desacordo comercial não entra.
Erro do próprio pagador também não entra. Por isso a classificação do caso importa: pagamento induzido por fraude é uma coisa, digitação errada é outra.
E a responsabilidade do banco?
Aqui é preciso separar do caso do boleto adulterado.
A Súmula 479 do STJ responsabiliza objetivamente as instituições financeiras por fortuito interno, ou seja, por fraudes ocorridas no âmbito da operação bancária. Quando o comprometimento aconteceu na caixa de e-mail da empresa ou do fornecedor, e a instituição executou uma ordem regular dada pelo próprio cliente, a construção é bem mais difícil.
Isso não elimina discussão: há situações em que sinais de alerta na operação, valor atípico ou conta recém-aberta entram na análise. Mas é diferente de dizer que o banco responde por padrão. Não responde.
No golpe do falso fornecedor por e-mail, quando o pagamento é feito por Pix, o Mecanismo Especial de Devolução do Banco Central pode ser acionado por fundada suspeita de fraude, hipótese que abrange engenharia social e alcança transações ainda que autorizadas por senha ou biometria. O prazo para notificação é de até 80 dias para a transação original. Após a notificação, a instituição do recebedor bloqueia os recursos imediatamente, dispõe de até 7 dias corridos para análise, a devolução é iniciada em até 72 horas e efetivada em até 6 horas. O mecanismo não alcança desacordo comercial nem erro do próprio pagador, protege terceiro de boa-fé e depende de saldo disponível na conta de destino.
Observatório João Coelho
O relógio da devolução no Pix
Guia de implementação dos procedimentos de devolução no Pix, do Banco Central, conferido em 19/08/2026.
As primeiras duas horas
1. Acione o seu banco imediatamente e peça o registro de fundada suspeita de fraude. Guarde o protocolo com horário.
2. Só depois ligue para o fornecedor, no telefone do cadastro antigo, nunca no que veio no e-mail suspeito.
3. Preserve o e-mail com cabeçalho completo, não só o texto. É lá que fica a origem real da mensagem.
4. Bloqueie o acesso da caixa comprometida e troque senhas, com verificação em duas etapas.
5. Registre boletim de ocorrência e comunique internamente, para evitar o segundo pagamento na mesma semana.
A rotina que evita a repetição
A medida que mais funciona não é jurídica, é operacional, e cabe em uma frase: mudança de dados bancários se confirma por canal já conhecido, nunca pelo canal que trouxe o pedido.
Some a isso duas regras simples: alçada de aprovação para pagamentos acima de um valor definido, e cadastro de contas bancárias de fornecedores com alteração sujeita a dupla conferência. Três linhas de política interna resolvem a maior parte dos casos.
O que esperar, com honestidade
Nenhum advogado pode garantir resultado. Recuperação nesse tipo de golpe depende sobretudo de tempo e de saldo na conta de destino, e nenhum dos dois está sob controle de quem foi vítima.
Também é honesto reconhecer que, quando o comprometimento foi da caixa de e-mail da própria empresa, responsabilizar a instituição é caminho difícil. Vale mais concentrar energia na devolução pelo mecanismo, na apuração criminal e na correção da rotina.
Como reconhecer golpe nesse assunto
Pago uma taxa e recupero o valor rápido. Cobrança antecipada para recuperar dinheiro de golpe costuma ser o segundo golpe sobre a mesma vítima.
Como você autorizou, não há nada a fazer. Falso. O mecanismo do Banco Central alcança fraude ainda que a transação tenha sido autorizada com senha ou biometria.
Espera o fornecedor confirmar antes de avisar o banco. Ordem invertida. O bloqueio só começa depois da notificação.
Tenho contato que reverte o Pix por dentro. Não existe. Existe notificação, análise e prazo.
Perguntas frequentes
Autorizei o Pix com senha. Ainda cabe pedido de devolução?
Cabe. O guia do Mecanismo Especial de Devolução trata como fundada suspeita de fraude também as situações de engenharia social, alcançando transações ainda que autorizadas com senha ou biometria.
Qual é o prazo para acionar?
Até 80 dias para a transação original, e até 30 dias quando se trata de transação de devolução. Mas o prazo curto é o que decide: o bloqueio só ocorre depois da sua notificação.
Quanto tempo leva a análise?
Até 7 dias corridos. Concluída a análise, a devolução é iniciada em até 72 horas e efetivada em até 6 horas depois disso.
Se o dinheiro já saiu da conta de destino, recupero?
Nem sempre. Bloqueia-se o que houver e a devolução pode ser parcial. Com saldo zerado não há o que bloquear, e terceiro de boa-fé é protegido.
E se o pagamento foi por TED ou boleto?
O mecanismo é próprio do Pix. Pagamentos por outros meios seguem caminhos distintos, e nesses casos a análise começa por onde exatamente a fraude entrou.
O banco responde por esse prejuízo?
É mais difícil aqui do que no boleto adulterado. A Súmula 479 do STJ trata de fortuito interno, ou seja, de fraude no âmbito da operação bancária. Comprometimento da caixa de e-mail da empresa é situação diferente.
Como evito que aconteça de novo?
Com uma regra só, bem cumprida. Mudança de dados bancários se confirma por canal já cadastrado, nunca pelo canal que trouxe o pedido. Alçada de aprovação e dupla conferência no cadastro completam.
Precisa agir agora?
Alguém do escritório pode orientar a sequência das primeiras horas, revisar a notificação ao banco e acompanhar a análise dentro dos prazos do mecanismo.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
Estado normativo em 19/08/2026. Prazos e hipóteses do Mecanismo Especial de Devolução conforme o Guia de implementação dos procedimentos de devolução no Pix, publicado pelo Banco Central do Brasil e conferido nesta data. Súmula 479 do Superior Tribunal de Justiça conferida no repositório oficial de verbetes do STJ, sem constar como cancelada. Regras operacionais do Pix podem ser atualizadas pelo Banco Central; confira a versão vigente antes de agir.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de documentação oficial do Banco Central e de enunciado sumular conferidos na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. A recuperação depende do tempo de comunicação e do saldo existente na conta de destino.