O Pix já se consolidou como a espinha dorsal do sistema financeiro brasileiro. Só em 2025, movimentou mais de R$ 28 trilhões, segundo o Banco Central, enquanto estudos da FGV Cemif mostram que cada brasileiro realizou, em média, quase 40 transferências por mês.
A adesão massiva, porém, veio acompanhada de um efeito colateral: o sistema tornou-se o principal alvo do crime digital. Apenas em 2024, as perdas relacionadas a golpes somaram R$ 4,94 bilhões, de acordo com dados do BC obtidos via Lei de Acesso à Informação.
Em 2025, os golpes digitais continuam em alta no Brasil. Dados da Associação de Defesa de Dados Pessoais e do Consumidor (ADDP) mostram que, entre janeiro e setembro, foram registradas 28 milhões de fraudes envolvendo o Pix.
O alerta mais crítico veio em julho, com o maior ataque já observado no ecossistema: o incidente na C&M Software, que resultou no desvio estimado de pelo menos R$800 milhões.
Pontas operacionais
O caso evidenciou que a vulnerabilidade não está na tecnologia do Banco Central, mas nas pontas operacionais, onde falhas humanas, processos frágeis e fornecedores pouco protegidos se acumulam.
Para Gabriel Paiva, CEO da Dfense, o episódio mostrou que a fragilidade não está no coração do sistema: “O Pix é seguro enquanto tecnologia. O que falha são processos, pessoas e fornecedores conectados ao sistema financeiro. No caso da C&M, o ataque começou pelo ponto mais vulnerável: o acesso humano.”
Mesmo com o avanço das tecnologias de proteção, o fator humano continua sendo a principal porta de entrada explorada pelos criminosos.
“Um único clique em um link malicioso ou o envio de informações sem checagem já basta para abrir brechas que nenhuma solução tecnológica consegue impedir completamente”, diz Paiva.
Engenharia Social
Esse ambiente impulsiona a Engenharia Social 3.0, na qual golpistas usam dados públicos de pessoas e empresas para criar abordagens altamente personalizadas, capazes de imitar comunicações reais e aumentar a taxa de sucesso dos golpes.
A popularização da IA generativa e dos deepfakes torna esse cenário ainda mais desafiador.
“Hoje, produzir uma voz sintética ou um vídeo convincente é simples e barato, o que acelera golpes como o CEO fraud, em que criminosos se passam por executivos para solicitar transferências ou obter informações sensíveis”, complementa.
4 maneiras para as empresas e instituições se blindarem
A partir do histórico de incidentes, a Dfense elenca quatro frentes que empresas e instituições financeiras precisam revisar imediatamente para garantir a resiliência do sistema Pix:
Auditoria real de fornecedores: é imperativo ir além de checklists de conformidade. Exigir evidências auditáveis de segurança de todos os fornecedores que têm qualquer conexão com o ecossistema de pagamentos é fundamental.
Treinamento contínuo contra engenharia social: o ataque não começa no código, mas no telefone, WhatsApp ou e-mail. É vital que as equipes sejam treinadas contra as táticas de aliciamento e manipulação que visam acesso privilegiado.
Reforço de identidade digital: fortalecer os controles de autenticação com biometria, análise de comportamento (machine learning) e confirmação em múltiplos dispositivos para transações de maior valor.
Planos de resposta a incidentes: é preciso saber exatamente o que fazer quando o golpe já aconteceu, com planos claros sobre quando interromper operações e como acionar o rastreamento, para reduzir o prejuízo.
5 dicas para os usuários se prevenirem
O usuário também é uma linha de defesa crítica. Diante disso, como prevenção o executivo recomenda as seguintes práticas:
Jamais fazer Pix por “urgência” sem confirmar a solicitação por outro canal (telefone fixo, ligação direta);
Conferir o nome e a instituição antes de confirmar qualquer transferência;
Desconfiar de cobranças inesperadas ou enviadas por WhatsApp;
Configurar limites diários e noturnos reduzidos para o Pix, de acordo com o padrão de uso;
Acionar o MED (Mecanismo Especial de Devolução) imediatamente em caso de golpe.
