Cangaço Digital

MED e MED 2.0: como funciona a devolução de um Pix de golpe

Sat, 12 Sep 2026 00:00:00 GMT

O mecanismo especial de devolução é a peça mais usada e menos compreendida do arranjo Pix. Vítima acha que é um botão de desfazer. Comerciante descobre que existe quando o dinheiro some da conta dele. Jurídico de banco descobre quando chega a primeira ação questionando um bloqueio. São três visões do mesmo procedimento, e nenhuma delas está completa.

Este texto trata do mecanismo em si. Se o Pix saiu agora e você precisa de uma lista do que fazer, o lugar certo é o guia das primeiras 48 horas.

O que o MED é, e o que ele não é

O bloqueio cautelar e o MED foram instituídos pela Resolução BCB nº 147/2021. A versão atual, conhecida como MED 2.0, veio com a Resolução BCB nº 493/2025, publicada em 28 de agosto de 2025.

O MED é um procedimento interno do arranjo Pix, executado entre as instituições envolvidas na transação. Não é processo judicial, não é acordo com quem aplicou o golpe e não depende de inquérito.

Três coisas que ele não é, e que geram a maior parte da frustração:

Não é ressarcimento. O MED devolve dinheiro que ainda existe na conta de destino ou nas contas seguintes. Não é indenização paga pela instituição, e o banco não assume prejuízo em nome do cliente por meio dele.

Não é decisão sobre culpa. Um pedido negado não significa que não houve golpe. Um pedido deferido não significa que a instituição reconheceu falha no serviço. São planos diferentes, e confundir os dois atrapalha quem vai discutir responsabilidade depois.

Não é canal de disputa comercial. O regulamento exclui do MED a controvérsia na relação comercial que originou a transação, como discussão sobre qualidade do produto ou atraso na entrega. Isso é questão de consumo e segue por outro caminho.

O que mudou no MED 2.0

O desenho anterior tinha um defeito estrutural, e quem trabalha com fraude sabia disso desde o começo: o rastreamento e o bloqueio ficavam restritos à conta que recebeu o Pix originalmente. Só que a primeira conta é justamente a mais descartável do esquema. O valor entra, é fracionado e sai para outras contas em minutos. Quando o bloqueio chegava, o dinheiro já não estava lá. O mecanismo não falhava por execução, falhava por desenho.

O MED 2.0 ataca exatamente isso.

Rastreio em cadeia. O sistema passou a seguir o caminho que o valor percorreu mesmo depois de repassado, com identificação e bloqueio de saldo em até cinco camadas de contas subsequentes. É a resposta regulatória direta à dispersão, que é o modo padrão de operação desses grupos.

Botão de contestação no aplicativo. Toda instituição passou a ser obrigada a oferecer autoatendimento para contestar um Pix, sem passar por atendimento humano. Na prática, isso elimina o tempo perdido em fila de call center, que é o recurso mais caro nas primeiras horas.

Bloqueio automático e preventivo em cadeia, e não apenas na primeira conta.

A seleção das contas é algorítmica, e isso quase ninguém menciona. Pela redação do art. 78-F, §2º do regulamento do Pix, o uso da funcionalidade cria automaticamente notificações de infração para todas as transações selecionadas ou pelo algoritmo interno do diretório de chaves, ou pela priorização informada pela instituição do pagador. Ou seja, quem vai ser notificado na cadeia não é escolhido a dedo por alguém lendo o caso: sai de um critério automático. Isso explica boa parte dos bloqueios que caem sobre gente que não fez nada, tratados mais adiante.

Padronização do comprovante de devolução. O lançamento precisa deixar explícita a referência ao pagamento original, com data, valor e motivo. Parece detalhe operacional e não é: é o que permite ligar uma devolução a uma transação específica meses depois, quando alguém precisar reconstruir a história.

O calendário foi em três tempos. Uso voluntário da funcionalidade de recuperação a partir de 23 de novembro de 2025 e obrigatoriedade a partir de 2 de fevereiro de 2026, além de um período de adequação técnica que se estendeu até maio de 2026.

Um detalhe de escopo que vale ler com atenção, porque costuma ser resumido errado: a obrigatoriedade alcança os participantes do Pix nas modalidades provedor de conta transacional e liquidante especial, e não indistintamente todo participante do arranjo.

Os prazos, encadeados

Esta é a parte que circula errada com mais frequência, porque cada etapa tem um prazo próprio e a cobertura costuma citar um deles como se fosse o total.

Etapa	Prazo	Quem age
Pedir a abertura da contestação	Até 80 dias contados da transação	A vítima, no próprio banco ou pelo botão no aplicativo
Bloqueio cautelar	Até 72 horas	A instituição que mantém a conta que recebeu
Análise das notificações de infração	7 dias corridos	As instituições que receberam o dinheiro, não a do pagador
Análise e pedido de devolução	Mais 72 horas, além dos 7 dias	A instituição do pagador, só depois de encerrada a etapa acima
Devolução, confirmada a fraude	Até 6 horas por instituição, e até o 11º dia no total	Cada instituição que recebeu devolve para a conta de origem
Contestar uma devolução sofrida	30 dias contados da devolução	Quem recebeu o valor e teve o dinheiro retirado

Três comentários sobre a tabela.

As etapas são sequenciais e têm atores diferentes, coisa que quase toda cobertura embaralha. Os 7 dias corridos são das instituições que receberam o dinheiro, para analisar e fechar as notificações de infração. Só depois disso a instituição do pagador ganha as 72 horas dela para concluir a análise e pedir a devolução. E aí cada instituição recebedora tem 6 horas para efetivar. Como os pedidos saem em sequência, o guia do Banco Central registra que, com quatro instituições envolvidas, essa última etapa pode levar até 24 horas. Somando, chega-se ao 11º dia.

O prazo de 80 dias para pedir surpreende quase todo mundo, inclusive advogado. Caso de dois meses atrás ainda está dentro da janela, e vale tentar mesmo com chance pequena, porque o registro do pedido tem valor probatório depois.

O último prazo é bem mais curto que o primeiro, e essa assimetria surpreende. Quem pede tem até 80 dias contados da transação. Quem sofreu a devolução e quer contestá-la tem 30 dias, contados da devolução. Serve para o vendedor que recebeu de boa-fé e foi surpreendido com o dinheiro saindo da conta semanas depois, e é pouco tempo para quem só descobre o problema quando vê o extrato.

A condição que decide quase tudo

Nenhum prazo importa mais do que esta frase: o MED não cria dinheiro.

Se a conta de destino já foi esvaziada e o valor virou saque em espécie, a cadeia acaba ali. Rastrear cinco camadas aumenta bastante a chance em comparação com o modelo anterior, mas rastreio não recupera o que saiu do sistema bancário.

Por isso duas coisas são verdadeiras ao mesmo tempo e não se contradizem: a devolução parcial é comum e normal, e a velocidade do aviso muda o resultado mais do que qualquer argumento sobre a gravidade do golpe. Avisar em minutos alcança saldo. Avisar em dias raramente alcança.

Por que o pedido é negado

Na prática, a negativa costuma cair em uma destas situações:

Não havia saldo em nenhuma das contas alcançadas pelo rastreio.
O caso não é fraude para efeito de MED. Arrependimento de compra, erro de valor cometido pelo próprio usuário e erro na escolha da chave Pix estão fora.
É desacordo comercial. Produto que não chegou, chegou diferente ou chegou atrasado, com vendedor identificável, é relação de consumo, não fraude no arranjo.
O pedido está fora dos 80 dias.
A contestação não trouxe elemento suficiente para caracterizar indício de fraude. Contestação genérica, sem data, valor, identificador e contexto, dá trabalho a quem analisa e resulta em negativa.

Vale separar a segunda da terceira, porque elas se parecem e têm tratamento diferente. Comprou de um perfil falso que sumiu depois do pagamento é fraude. Comprou de uma loja que existe, tem CNPJ e atrasou a entrega é consumo. A diferença não é o seu prejuízo, é a existência de uma relação comercial verificável do outro lado.

O outro lado: quando o bloqueio cai sobre quem não fez nada

Essa parte quase não é escrita, e é a que mais gera litígio.

O bloqueio cautelar acontece no recebimento, assim que a instituição identifica indício de fraude, e antes de qualquer contraditório. É assim por desenho, porque contraditório prévio daria tempo de o dinheiro sair. O efeito colateral é que ele também alcança quem vendeu de boa-fé e recebeu um valor de origem contestada.

Para uma pessoa física é um transtorno. Para quem vive de receber Pix, é fluxo de caixa parado, com fornecedor e folha na fila. E o efeito costuma passar do valor bloqueado, porque a conta pode ficar marcada, com reflexo em limite e em análise de risco depois.

O caminho de quem está desse lado:

Contestar a devolução dentro dos 30 dias contados dela. É prazo curto, então o relógio importa.
Reunir a prova da legitimidade da operação, e reunir antes de precisar: nota ou recibo, contrato ou pedido, comprovante de entrega, conversa com o comprador, histórico daquele cliente.
Registrar protocolo de cada contato, com data e hora.
Quando o bloqueio compromete a atividade e a legitimidade está demonstrada, existe discussão judicial sobre a extensão e a duração da retenção.

Do lado da instituição, o mesmo fato tem outro nome: falso positivo. E falso positivo tem custo mensurável, em cliente que sai, em reclamação registrada e em ação recebida. Operar o MED bem não é bloquear mais, é bloquear certo, o que depende de sinal e de dado, não de régua de valor.

O que fazer quando o MED não resolve

MED negado não encerra o caso, encerra uma via.

O que continua disponível:

O registro de ocorrência, que segue seu curso independentemente da devolução.

A ação civil contra quem recebeu. O titular da conta de destino é identificável, e a Lei nº 15.397/2026 passou a prever responsabilização penal expressa de quem cede conta bancária para trânsito de valor de origem ou destino criminoso. Quem empresta conta deixou de ser figura periférica.

A discussão com a instituição financeira, que corre por fundamento próprio. O ponto de partida é a responsabilidade objetiva por fortuito interno, mas o eixo se deslocou: no REsp 2.124.423/SP, julgado pela Terceira Turma do STJ em 20 de agosto de 2024, sob relatoria da ministra Nancy Andrighi, o entendimento foi que, se a instituição cumpriu o dever de verificar e validar a identidade e a qualificação dos titulares da conta e de prevenir lavagem de dinheiro, não há defeito na prestação do serviço que atraia responsabilidade objetiva. Havendo prova de que as diligências não foram cumpridas, configura-se falha no dever de segurança.

E aqui está a razão prática de abrir o MED mesmo quando a chance é pequena: o procedimento deixa rastro. Protocolo, datas, decisão e fundamento da negativa passam a existir em registro da própria instituição. É material que ninguém consegue produzir depois, e que costuma valer mais na discussão sobre diligência do que na devolução em si.

O que é cangaço digital: como o crime trocou o assalto pela fraude eletrônica

Sat, 12 Sep 2026 00:00:00 GMT

Em março de 2025, a Febraban divulgou que fraudes bancárias digitais e golpes com cartão somaram R$ 10,1 bilhões no ano anterior. Ao comentar o número, o diretor-geral da Polícia Federal, Andrei Passos Rodrigues, chamou o fenômeno de cangaço digital e avaliou que a migração do crime organizado para o ambiente virtual é uma realidade irreversível.

A expressão colou rápido em jornal, em Ministério Público e em área de prevenção de banco. Colou porque não fala de volume, fala de natureza. O problema não é que existe mais fraude do que antes. É que um tipo de criminalidade que dependia de arma, carro e fuga passou a depender de conta bancária, script de atendimento e velocidade de liquidação.

De onde veio a expressão

O contexto da declaração importa. Não foi metáfora de palestra, foi a autoridade que comanda a polícia federal brasileira descrevendo uma mudança de prioridade de investigação. Junto com a expressão, a PF explicitou que deixou de concentrar apuração em incidente individual e passou a perseguir a origem da fraude, para interromper o esquema em vez de responder a cada vítima separadamente.

Essa é a parte que quase ninguém citou nas matérias da época, e é a mais relevante. Dizer que o crime organizado migrou para a fraude eletrônica implica tratar golpe como crime organizado, com tudo que isso carrega em termos de investigação: seguir dinheiro, mapear estrutura, identificar quem financia.

Por que a comparação funciona, e onde ela engana

Funciona em três pontos. O cangaço era grupo móvel que atacava onde a resposta do Estado chegava devagar, contava com rede local de apoio e tinha economia própria, feita de quem comprava o produto do saque e de quem dava abrigo. Troque a geografia por jurisdição e você tem a fraude bancária atual: o golpe é aplicado de onde a apuração é mais difícil, a rede de apoio são contas de terceiros, e a economia própria é o mercado de dados vazados, de contas abertas para alugar e de acesso vendido.

Engana também em três pontos, e vale ser preciso nisso antes que o termo vire só manchete.

O cangaço tinha território. A fraude digital tem rota. Ninguém precisa estar perto da vítima, do banco ou do dinheiro, e o mesmo grupo atende alvo em qualquer estado no mesmo dia.

O cangaço era visível, e a visibilidade fazia parte. A fraude digital é projetada para parecer transação normal. A operação mais eficiente é aquela em que nada no sistema acende, porque o cliente autenticou, autorizou e confirmou.

O cangaço tinha figura e nome. Aqui a parte com nome é a mais descartável. Quem abre a conta e quem atende o telefone é substituível e é quem aparece no processo. Quem organiza, financia e fica com a maior parte do dinheiro raramente chega a ser identificado.

Sobre o nome

Cangaço virou folclore, cordel e filme. Fraude bancária digital não tem nada de romântico. Tem aposentado perdendo o que juntou em trinta anos e tem gente de vinte e poucos anos respondendo a processo criminal por ter emprestado conta por algumas centenas de reais. A expressão é útil para descrever escala e organização, não para dar charme a nada.

O que mudou na economia do crime

A conta que o criminoso faz mudou. Assalto a banco exige deslocamento, arma, gente disposta a morrer e rende o que tem no cofre, uma vez. Fraude eletrônica exige lista de telefone, conta para receber e alguém com script, e pode ser repetida milhares de vezes no mesmo dia, sem que nenhum participante corra risco físico.

O tamanho disso aparece nos números mais recentes. O relatório O Estado dos Golpes no Brasil 2026, divulgado em agosto de 2026, estima que cada adulto brasileiro foi alvo de 201,6 tentativas de golpe digital ao longo de 2025, e calcula algo próximo de 34 bilhões de tentativas de fraude contra brasileiros entre março de 2025 e fevereiro de 2026. No mesmo período, o prejuízo com golpes envolvendo Pix cresceu 43% e chegou a R$ 2,7 bilhões. A Febraban estima que o setor investe cerca de R$ 5 bilhões por ano em segurança e prevenção.

Vale saber de onde esses números saem antes de repeti-los: o levantamento ouviu 1.170 adultos brasileiros, e daí projeta para o país inteiro. É pesquisa por amostra, com a margem que isso carrega, e não contagem de ocorrência.

Tem um dado nesse relatório que costuma ser ignorado e diz bastante: 76% das vítimas relatam impacto significativo ou moderado na saúde mental por causa da fraude, contra 59% na edição anterior. Não é só prejuízo patrimonial.

E tem outro que explica boa parte do que este site trata: entre quem sofreu perda ou teve dado comprometido, apenas 4% comunicaram o caso às autoridades. Quase tudo que acontece nessa área não vira estatística oficial porque nunca chega a ser registrado.

O outro efeito da mudança de economia é a divisão de trabalho. Quem escreve o roteiro do golpe não é quem liga, não é quem abre a conta, não é quem move o dinheiro e não é quem saca. Cada função é contratada separadamente, muitas vezes por anúncio de renda extra em rede social. Isso explica por que prender o elo visível quase nunca interrompe a operação.

Os quatro caminhos que concentram o prejuízo

Conta de terceiro. A fraude precisa de um lugar para o dinheiro cair, e esse lugar precisa ter titular com documento válido. A conta, aqui, é infraestrutura, e titular recrutado é insumo. Desde a Lei 15.397/2026, quem cede conta bancária, de graça ou mediante pagamento, para trânsito de valor ligado a atividade criminosa responde penalmente de forma expressa.

Dispersão e fracionamento. O valor quase nunca fica onde caiu. Ele é quebrado em parcelas menores e espalhado por várias contas em sequência rápida, para dificultar rastreio e para escapar de regra de monitoramento baseada em valor. O padrão é justamente o que expõe o esquema, porque movimentação assim não parece com comportamento de cliente nenhum.

Engenharia social com autenticação válida. É a categoria mais difícil de tratar, porque não existe invasão. O cliente recebe ligação de alguém que sabe seu nome, seu banco e parte do seu histórico, e autoriza a transação por vontade própria, convencido de que está se protegendo. O controle técnico funcionou. O que falhou foi a confiança.

Ataque a quem está no caminho do pagamento. Nem sempre o alvo é o banco. Prestadores de tecnologia que conectam instituições à infraestrutura de pagamento concentram acesso, e comprometer um deles significa desviar recursos de vários lugares ao mesmo tempo. Não é teoria: o pacote de medidas de segurança anunciado pelo Banco Central em setembro de 2025 foi apresentado justamente como resposta à intensificação de ataques e à atuação de organizações criminosas contra instituições financeiras e prestadores de serviço de pagamento.

Depois desses quatro vem uma etapa que não é caminho do prejuízo e sim destino dele, que é transformar o dinheiro em receita explicável. Ela costuma usar produto digital, seja como fachada de lavagem, seja como pirâmide vestida de curso.

Os três eixos da resposta da Polícia Federal

Na mesma ocasião em que a expressão foi usada, a PF indicou três eixos de atuação contra fraude digital: integração do setor público com o privado e entre instituições públicas, descapitalização das organizações criminosas para interromper a operação, e cooperação internacional.

O eixo do meio é o que muda jogo. Prender laranja não para esquema, porque laranja é reposto em uma semana. Tirar o dinheiro do caminho para. E é também o eixo que depende mais do setor privado, porque quem vê a movimentação em tempo real é a instituição financeira, não a polícia.

O que a regulação fez entre 2025 e 2026

Em menos de um ano, o arcabouço mudou em quatro frentes.

Norma	Data	O que mudou
Resolução BCB nº 501	11/09/2025	Instituiu o dever de a instituição rejeitar transação de pagamento destinada a conta com fundada suspeita de envolvimento em fraude. Alcança conta de depósito à vista, poupança e conta de pagamento pré-paga, o que na prática pega Pix, TED, DOC e cartão. Prazo de adequação indicado para 13/10/2025. Alterou a Resolução BCB nº 142/2021, que é onde ficam controles como o limite de R$ 1.000 entre pessoas naturais das 20h às 6h. Detalhes em o que a 501 exige na prática
Resolução BCB nº 506	26/09/2025	Acabou com a figura do participante não autorizado no Pix, passou a exigir patrimônio líquido mínimo de R$ 5 milhões, esticou de 12 para 60 meses o prazo para quem foi sancionado pedir nova adesão, permitiu limite por transação conforme o perfil de risco do cliente e criou regime de penalidades com multa diária e suspensão
Resolução BCB nº 493/2025, o MED 2.0	Obrigatória desde 02/02/2026	O mecanismo especial de devolução passou a rastrear recursos mesmo depois de repassados, alcançando saldo em até cinco camadas de contas seguintes. A contestação por autoatendimento no aplicativo virou obrigação, e o lançamento da devolução passou a ter forma padronizada. Detalhes em como funciona o MED
Lei nº 15.397/2026	30/04/2026, em vigor desde 04/05	Alterou o Código Penal. O furto mediante fraude eletrônica teve a pena máxima elevada de 8 para 10 anos. O estelionato eletrônico manteve a pena de 4 a 8 anos, mas a descrição dos meios foi ampliada e passou a incluir expressamente a duplicação de dispositivo eletrônico ou de aplicação de internet. Criou o crime de cessão de conta laranja, no art. 171, § 2º, VII, com pena de 1 a 5 anos. E revogou a exigência de representação da vítima no estelionato, que voltou a ser de ação penal pública incondicionada. Detalhes em o que mudou na Lei 15.397/2026

Lendo as quatro juntas, aparece um fio condutor. Até 2025, a regulação de fraude olhava principalmente para o canal, ou seja, para autenticação, para dispositivo e para o limite da transação. De 2025 para cá, ela passou a olhar para a infraestrutura do crime: a conta que recebe, o caminho que o dinheiro percorre depois e quem está autorizado a operar no arranjo. A Resolução 501 ataca a conta de destino. O mecanismo de devolução atualizado ataca o repasse em cadeia. A Lei 15.397/2026 ataca o recrutamento de titular. É a mesma ideia de descapitalização que a PF colocou como eixo, traduzida em norma. Com uma ironia que vale registrar: a pena criada para quem cede a conta ficou abaixo da que vinha sendo imputada a essas pessoas, e isso abriu uma discussão própria.

O que a vítima recupera, e em quanto tempo

Aqui convém ser direto, porque é onde mais se promete coisa que não acontece.

Pela via do Pix, o caminho é o mecanismo especial de devolução, e o prazo para a devolução acontecer, confirmada a fraude, vai até o 11º dia contado da contestação. A condição é a que trava quase todo pedido: precisa haver saldo na conta do fraudador. O rastreio de valores já repassados melhora a chance, porque antes o dinheiro saía da conta de destino e o pedido morria ali, mas rastrear não cria dinheiro que já foi sacado.

Pela via civil, o ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, aprovada em 2012, segundo a qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Só que o eixo da discussão se deslocou. No REsp 2.124.423/SP, julgado pela Terceira Turma do STJ em 20 de agosto de 2024, sob relatoria da ministra Nancy Andrighi, o entendimento foi que, atuando a instituição apenas em meio digital ou não, se ela cumpriu o dever de verificar e validar a identidade e a qualificação dos titulares da conta e de prevenir lavagem de dinheiro, não há defeito na prestação do serviço que atraia responsabilidade objetiva. Havendo prova de que as diligências de abertura de conta não foram cumpridas, aí sim se configura falha no dever de segurança. O caso concreto envolvia pagamento de R$ 47 mil por boleto emitido por banco digital, em leilão falso de veículo.

Na prática, isso transforma a discussão. Deixou de bastar demonstrar que o golpe aconteceu usando a estrutura do banco. Passou a importar se a instituição foi diligente, e isso é matéria de prova técnica: registro de abertura de conta, validação de documento e biometria, trilha de auditoria, monitoramento de movimentação atípica. Por isso o que a vítima preserva nas primeiras horas pesa tanto depois. O que não foi guardado no dia não aparece no processo dois anos adiante.

Resumindo o que dá para esperar: recuperação rápida existe e depende de saldo remanescente, não de mérito. Recuperação pela via judicial existe e depende de prova de falha concreta, não de indignação. E prevenção, que é a parte menos contada, depende de instituição que consiga ver o padrão antes do prejuízo, porque é esse o ponto em que a norma brasileira passou a cobrar resultado.

Caiu num golpe do Pix? O que fazer nas primeiras 48 horas

Sat, 12 Sep 2026 00:00:00 GMT

Se o Pix saiu agora, pare de ler em dois minutos e volte depois. As duas coisas que mais influenciam o resultado são a velocidade com que você avisa o banco e o que você preserva antes de mexer no celular. O resto deste texto explica por quê, mas a ordem é essa.

Uma observação antes de começar, porque ela evita frustração. O que decide se o dinheiro volta rápido quase nunca é a gravidade do golpe. É se ainda existe saldo na conta para onde ele foi. Por isso a pressa não é burocrática, é aritmética: o valor está sendo fracionado e repassado enquanto você lê.

As três primeiras ações, nessa ordem

1. Acione o banco e peça a abertura da contestação por fraude. Pelo aplicativo. Desde fevereiro de 2026 toda instituição que opera Pix é obrigada a oferecer a contestação por autoatendimento, sem passar por atendimento humano, então procure o botão antes de encarar fila de telefone. Se precisar ligar, diga as palavras “fraude” e “mecanismo especial de devolução”, porque elas mudam o fluxo do atendimento. Anote o número de protocolo. Sem protocolo você não tem prova de que avisou, e a data do aviso é o que conta depois.

2. Enquanto espera no telefone, preserve. Essa é a parte que quase todo mundo pula e é a que não tem segunda chance. A próxima seção detalha o que salvar e como.

3. Registre o boletim de ocorrência. Na maioria dos estados dá para fazer pela delegacia eletrônica, sem sair de casa. Só faça depois de preservar, porque o BO fica muito melhor quando você já tem os dados exatos em mãos.

Se o golpe envolveu acesso ao seu aparelho ou às suas credenciais, tem uma ação zero antes dessas três: trocar a senha do banco por outro dispositivo, de preferência um que não tenha participado da história.

O que preservar antes de qualquer outra coisa

A regra geral é simples de enunciar e difícil de seguir no susto: não manipule o original. Cada vez que você encaminha, recorta, refaz ou reenvia alguma coisa, você perde informação que não estava visível na tela e que é justamente a que sustenta a prova depois.

A conversa, inteira e original. Aplicativos de mensagem têm função de exportar conversa, e é isso que você quer, com mídia incluída, não uma sequência de prints. Exporte antes de qualquer outra coisa que envolva aquele contato.

Print serve, mas é a prova mais fraca que existe. Não carrega metadado e qualquer pessoa consegue editar em um minuto. Se o print for seu único recurso, capture a tela inteira, com a barra de status visível mostrando horário, e não recorte nada. Print de print não vale quase nada.

O comprovante em PDF, gerado pelo aplicativo do banco. Não a foto da tela do comprovante. Nele está o identificador da transação, o campo que no Pix começa com a letra E, que é o número pelo qual a operação é rastreada daqui em diante. Guarde também o nome, a instituição e a chave do recebedor que aparecem ali.

E-mail, com cabeçalho completo. Se o contato veio por e-mail, o que importa não é o texto, é o cabeçalho técnico. Procure a opção “mostrar original” ou “ver fonte da mensagem” e salve isso. Encaminhar o e-mail para outra pessoa destrói exatamente a parte útil.

Horários, anotados à mão. Data e hora de cada etapa, de onde veio esse horário e o fuso. Parece detalhe irrelevante e é o que mais gera discussão depois, quando o registro do banco e o registro do celular não batem.

Se for só mais um passo, gere o hash dos arquivos exportados. É um código calculado a partir do conteúdo do arquivo, e ele muda se um único caractere do arquivo mudar. Guardar o hash logo no início, junto com a data, é o que permite demonstrar depois que o material entregue é o mesmo de quando você o salvou. Existem aplicativos gratuitos que fazem isso em segundos.

Vale entender onde essa preservação se encaixa juridicamente. A Lei nº 13.964/2019 inseriu no Código de Processo Penal o artigo 158-A e seguintes, que definem cadeia de custódia como o conjunto de procedimentos para manter e documentar a história cronológica do vestígio, rastreando sua posse e seu manuseio do reconhecimento até o descarte. Formalmente, essa cadeia começa com o agente público que reconhece o vestígio. A vítima não está dentro dela. Mas é a vítima que segura o material de origem nas primeiras horas, e o que ela destruir nesse intervalo não existe para ninguém depois.

O que não fazer

Sete coisas que arruínam o caso

Não formate nem restaure o celular. Nem se mandaram fazer isso “por segurança”. Se há suspeita de acesso indevido ao aparelho, ele é a principal fonte de evidência.
Não apague a conversa, o registro de chamada nem o contato. Inclusive os áudios.
Não bloqueie o golpista antes de exportar tudo. Em alguns aplicativos o bloqueio dificulta o acesso ao histórico. Exporte primeiro, bloqueie depois.
Não instale nada que mandarem. Principalmente aplicativo de acesso remoto e “aplicativo do banco” enviado por link. Banco não pede instalação por link de mensagem.
Não faça um novo Pix para “reverter” o anterior. Devolução não funciona assim, e esse é o pedido mais comum da segunda camada do golpe.
Não pague ninguém que prometa recuperar seu dinheiro mediante percentual adiantado. Quem aparece oferecendo isso logo depois do golpe costuma ser o mesmo grupo.
Não encaminhe a conversa para outro número antes de exportar. Encaminhar perde os dados que acompanham a mensagem original.

A mesma regra vale para o computador, e por um motivo que quase ninguém menciona: parte das fraudes começa com malware que copia credencial e cookie salvos no navegador e depois some, sem travar nada e sem pedir nada. Quando isso acontece, a máquina é a única testemunha, e formatar apaga a testemunha. Tratamos do assunto em infostealer.

Como funciona o MED, e qual é o prazo real

O mecanismo especial de devolução e o bloqueio cautelar foram instituídos pela Resolução BCB nº 147/2021, e a versão atual, o MED 2.0, veio com a Resolução BCB nº 493/2025. Não é processo judicial, não é acordo com o golpista, é um procedimento interno do arranjo Pix entre as instituições envolvidas. Se quiser o funcionamento em detalhe, inclusive o que fazer quando o pedido é negado, está em como funciona o MED.

O caminho é esse. Você aciona o seu próprio banco, não o banco do recebedor. O pedido dispara um bloqueio cautelar na conta de destino, que dura 72 horas, tempo para a instituição que mantém aquela conta analisar se há indício de fraude. Havendo indício, o valor é devolvido para a conta de origem.

Sobre prazos, três números importam:

Até 80 dias contados da transação para pedir a abertura do MED. É bem mais tempo do que a maioria das pessoas imagina, então caso antigo ainda pode ser tentado.
72 horas de bloqueio cautelar, que é a janela de análise da instituição do recebedor.
7 dias corridos para as instituições que receberam o dinheiro analisarem as notificações, mais 72 horas para a instituição do pagador concluir a análise e pedir a devolução, mais 6 horas para cada instituição recebedora efetivar. São etapas em sequência, com atores diferentes, e não um prazo único de sete dias para todo mundo. Somando, a devolução acontece até o 11º dia contado da contestação, se a fraude for confirmada. Números menores que circulam em cobertura costumam se referir a uma etapa isolada, não ao total.

O que o MED não cobre, e aqui mora boa parte da frustração: arrependimento de compra, erro de valor cometido pelo próprio usuário, erro na escolha da chave Pix e desacordo comercial sem indício de fraude. Comprou e não recebeu o produto de um vendedor identificável é questão de consumo, não é necessariamente fraude para efeito de MED.

Há um prazo que interessa a quem recebe Pix como meio de trabalho, e ele é curto: quem sofreu uma devolução feita pelo MED tem 30 dias, contados dela, para contestar. Serve para quem vendeu de boa-fé, recebeu, e foi surpreendido com o dinheiro retirado depois. Repare na assimetria, porque ela pega muita gente: quem pede a devolução tem até 80 dias, quem se defende dela tem 30.

Uma coisa que o MED não faz: criar dinheiro. Se a conta de destino já foi esvaziada, não há o que devolver. O MED 2.0 passou a rastrear valores mesmo depois de repassados, alcançando saldo em até cinco camadas de contas seguintes, o que melhora bastante a chance. Mas rastrear não recupera o que virou saque em espécie.

O boletim de ocorrência que serve como prova

BO genérico do tipo “fui vítima de golpe do Pix, perdi R$ 4.000” serve para estatística e para pouca coisa mais. O que transforma o registro em peça útil é o detalhe verificável.

Coloque no relato:

Data e hora exatas da transação, e o fuso
O identificador da transação, aquele que começa com E
Valor, chave de destino, nome e instituição do recebedor, como aparecem no comprovante
Como o contato começou: número de telefone, perfil, link, anúncio, site, e por qual canal
O que foi dito e pedido, em ordem, sem adjetivo
O número de protocolo da contestação aberta no banco, com data e hora
A lista do que você preservou e onde está guardado

Não coloque conclusão sobre quem é o autor. Se você afirma no BO que foi fulano e depois se prova outra coisa, o que sobra é uma contradição sua nos autos.

Sobre onde registrar, a Lei nº 14.155/2021 acrescentou o § 4º ao artigo 70 do Código de Processo Penal, fixando que, no estelionato praticado mediante depósito, transferência de valores ou cheque, a competência é a do domicílio da vítima. Havendo várias vítimas, resolve-se pela prevenção. Como é norma processual, teve aplicação imediata. Na prática, você registra na sua cidade, e não precisa correr atrás da cidade do golpista.

Polícia Civil ou Polícia Federal

A regra geral é Polícia Civil, no domicílio da vítima, e o crime normalmente discutido é estelionato, inclusive na forma eletrônica, ou furto mediante fraude, dependendo de como o dinheiro saiu.

A Polícia Federal entra quando há competência federal envolvida, como lesão a bens, serviços ou interesse da União, de autarquia ou de empresa pública federal, ou quando o caso tem caráter transnacional. Não é o caso típico do golpe aplicado contra pessoa física.

Vale dizer sem rodeio: insistir em registrar na PF por achar que ali investiga melhor costuma custar tempo, e tempo é o recurso mais escasso nas primeiras horas. Registre onde é competente e siga.

O que costuma voltar, e o que não volta

A recuperação rápida existe e depende de saldo remanescente, não do quanto o caso é revoltante. Avisar em minutos muda o resultado. Avisar em dias raramente muda.

A discussão com a instituição financeira é outra história e segue por outro caminho. O ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, pela qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Só que o eixo se deslocou. No REsp 2.124.423/SP, julgado pela Terceira Turma do STJ em 20 de agosto de 2024, o entendimento foi que, se a instituição cumpriu o dever de verificar e validar a identidade e a qualificação dos titulares da conta e de prevenir lavagem de dinheiro, não há defeito na prestação do serviço que atraia responsabilidade objetiva. Havendo prova de que as diligências não foram cumpridas, aí sim se configura falha no dever de segurança. Decisões mais recentes deslocaram o foco de novo, agora para a compatibilidade da operação com o perfil do cliente, e o panorama está em banco responde por golpe do Pix.

Traduzindo para a sua situação: deixou de bastar demonstrar que o golpe aconteceu. Passou a importar se a instituição foi diligente, e isso se prova com documento, registro e trilha técnica. Por isso este texto insiste tanto em preservação. O que você guardou hoje é o que vai estar disponível quando alguém tiver que discutir diligência daqui a um ou dois anos.

Para entender como esse tipo de fraude se organizou no Brasil a ponto de a Polícia Federal tratar o assunto como crime organizado, vale ler o que é cangaço digital, que dá o contexto por trás do que acabou de acontecer com você.