Golpe do Pix: o banco devolve? MED, prazos de 2026 e quando entrar na Justiça

Você fez um Pix e, minutos depois, entendeu que era golpe. A ligação era de uma falsa central do banco, o parente que pedia dinheiro no WhatsApp era um estranho, o boleto tinha sido trocado, o “investimento” sumiu junto com o grupo. A pergunta que vem em seguida é sempre a mesma: esse dinheiro volta, e quem paga, o banco ou o golpista? A resposta honesta é “depende”, e este texto explica do que depende, o que fazer nas primeiras horas, quais são os prazos que valem em 2026 e quando entrar na Justiça faz diferença de verdade.

Este texto foi escrito pelo advogado Rafael Rocha (OAB/GO 33.675), que atende vítimas de golpe financeiro em todo o país e mantém neste site um guia completo sobre pirâmide financeira e golpe de investimento. O atendimento é nacional, por vídeo e WhatsApp, porque o golpe também é: quase nunca o golpista está na cidade da vítima.

Os golpes do Pix mais comuns em 2026

O golpe da falsa central continua sendo o campeão. A pessoa recebe ligação de um número 0800 ou de um número parecido com o do banco, o atendente sabe o nome completo, o CPF e até o limite do cartão, avisa de uma “compra suspeita” e orienta a “transferir o saldo para uma conta segura” ou a “fazer um Pix de estorno”. Em julho de 2026 o Superior Tribunal de Justiça julgou exatamente um caso assim, e a decisão mudou a forma de avaliar quem paga a conta, como explicado adiante.

Depois vêm o falso gerente que pede o Pix para “regularizar” algo, o WhatsApp clonado ou o número novo que se apresenta como filho ou mãe pedindo dinheiro urgente, o boleto e o QR Code adulterados na compra, no condomínio ou no IPVA, e o golpe do falso estorno, aplicado contra quem recebe: o suposto cliente diz que pagou a mais e pede a devolução da diferença para outra chave. Há ainda o golpe de investimento, em que o Pix vai para robô, criptomoeda ou pirâmide, e o segundo golpe, o do falso advogado ou “recuperador” que cobra taxa para devolver o que já se perdeu.

O MED em 2026: o que mudou e como pedir

O Mecanismo Especial de Devolução, o MED, é o procedimento do Banco Central para devolver Pix em caso de fraude ou golpe. Ele não serve para arrependimento de compra nem para desacordo comercial com uma loja de verdade, mas serve para praticamente todo golpe em que o dinheiro foi parar na conta de um fraudador. Desde 2 de fevereiro de 2026 todos os bancos e instituições de pagamento são obrigados a operar a versão 2.0 do mecanismo, e isso mudou três coisas importantes.

A primeira é que o MED agora rastreia o dinheiro pelas contas intermediárias: se o golpista transferiu o valor para uma segunda ou terceira conta, o bloqueio segue o caminho do dinheiro em vez de parar na primeira. A segunda é que o valor suspeito fica bloqueado de forma cautelar por até 11 dias enquanto a análise é feita, com resposta na maior parte dos casos em até 7 dias úteis. A terceira é que o banco de origem tem de comunicar o banco recebedor em até 30 minutos, o que reduziu o tempo em que o golpista consegue sacar.

Em 1º de setembro de 2026 veio outra mudança, pela Instrução Normativa BCB nº 766: o prazo para a vítima pedir o MED passou de 30 para 80 dias contados do Pix, e quem teve um pagamento legítimo devolvido por engano também ganhou 80 dias para contestar a devolução. O prazo maior é bom, mas não deve enganar ninguém: o MED só devolve o que ainda for encontrado nas contas, e o dinheiro de golpe some em horas. Pedir no mesmo dia continua sendo o que decide.

O pedido é feito no aplicativo do próprio banco, na área do Pix, em geral com o nome “contestar transação” ou “fui vítima de golpe”, ou pela central telefônica. Anote o número do protocolo e a hora. Registre o boletim de ocorrência no mesmo dia, o que pode ser feito pela delegacia eletrônica do seu estado, porque ele vai ser pedido nas etapas seguintes. Guarde o comprovante do Pix, que traz o código da transação e o nome parcial e o banco do recebedor, e os prints de toda a conversa, a ligação recebida e o número de onde ela veio.

Quando o banco é obrigado a devolver, e quando não é

A regra geral está na Súmula 479 do STJ: os bancos respondem, independentemente de culpa, pelos danos causados por fraudes de terceiros dentro das operações bancárias, porque esse risco faz parte do negócio deles. Isso vale para conta invadida, cartão clonado, empréstimo feito em nome do cliente e Pix disparado sem a participação do correntista.

O que a Terceira Turma do STJ decidiu em 15 de julho de 2026, no Recurso Especial 2.209.868, é que essa responsabilidade não é automática quando foi a própria vítima quem fez a transferência, convencida pelo golpista. No caso julgado, a cliente recebeu a ligação da falsa central, fez dois Pix que somavam R$ 3.490,99 e, no dia seguinte, uma transferência presencial de R$ 28 mil. O tribunal entendeu que não houve defeito no serviço: as operações estavam dentro do perfil da cliente e o banco não tinha como saber que ela estava sendo enganada. A Súmula 479 continua valendo, mas para o que o tribunal chama de fortuito interno, ou seja, a fraude ligada ao risco da atividade do banco.

Na prática, o que separa o caso que o banco paga do caso que ele não paga é a prova de falha na segurança. O banco responde quando liberou uma transferência incompatível com o histórico do cliente sem nenhuma barreira, quando várias transferências seguidas em valor e horário atípicos saíram sem trava, quando o Pix foi feito de um aparelho novo ou depois de uma troca de chip sem verificação adicional, quando um limite configurado pelo cliente foi ignorado, quando os dados usados pelo golpista só o banco tinha, quando o próprio atendente participou, ou quando o MED foi acionado com atraso ou negado sem motivo. O banco não responde quando o cliente, no próprio aparelho, dentro do limite e do padrão de uso, fez a transferência e as ferramentas de segurança funcionaram.

Por isso o caso se ganha ou se perde nos documentos: extrato com data e hora de cada operação, limites configurados no aplicativo, notificações recebidas ou não recebidas, histórico dos meses anteriores para mostrar o que era normal, hora do protocolo do MED, data do boletim. Antes de entrar contra o banco, é isso que precisa ser lido, e é isso que o escritório lê primeiro.

O que fazer nas primeiras horas, nesta ordem

Primeiro, ligue para o banco ou abra a contestação no aplicativo e peça o MED, anotando protocolo e horário. Peça também que a chave do recebedor seja marcada como suspeita, o que ajuda a travar novos golpes com a mesma conta. Segundo, registre o boletim de ocorrência, de preferência na delegacia eletrônica ou na delegacia especializada em crimes cibernéticos, se a sua cidade tiver uma. Terceiro, salve tudo: comprovante com o código da transação, prints da conversa, número que ligou, áudios, boleto ou QR Code, e-mails.

Quarto, se o banco negar o MED ou não responder em 7 dias úteis, registre reclamação no consumidor.gov.br e no Banco Central. Quinto, não pague nada a quem prometer “liberar” o valor mediante taxa, imposto ou desbloqueio, porque isso é o segundo golpe. Sexto, se o valor for alto, procure advogado nos primeiros dias, e não depois de meses: o pedido judicial de bloqueio da conta recebedora e de quebra de sigilo funciona enquanto ainda há saldo, e perde força a cada semana.

Se o MED não devolveu: os caminhos na Justiça

Há dois réus possíveis, e às vezes os dois. O primeiro é o golpista, ou o dono da conta que recebeu. O comprovante e o código da transação identificam a conta, e com ordem judicial o banco recebedor entrega os dados completos do titular. A ação é de reparação de dano, com pedido de bloqueio de valores pelo sistema do Judiciário, e o prazo para propor é de três anos. O resultado depende de o réu ter algo a bloquear, o que é mais provável quanto mais cedo se pede.

O segundo réu é o próprio banco, quando há falha de segurança como as descritas acima. Aqui a relação é de consumo, o prazo é de cinco anos, o juiz pode inverter o ônus da prova e o banco é obrigado a apresentar os registros da operação. Causas até 40 salários mínimos podem correr no Juizado Especial, e até 20 salários mínimos a própria vítima pode ajuizar sem advogado. Acima disso, a ação vai para a vara cível, e a organização das provas passa a ser decisiva.

No criminal, o golpe do Pix é estelionato na forma de fraude eletrônica, com pena de quatro a oito anos desde a Lei 14.155/2021, e a investigação corre no domicílio da vítima, o que confirma que o boletim deve ser feito na sua cidade. O processo criminal serve para punir e para produzir prova, mas quem devolve o dinheiro é a ação civil e o bloqueio de bens, e os dois caminhos andam juntos.

Quando o mesmo golpista ou a mesma conta lesou várias pessoas, o caso muda de tamanho. A identificação do réu, o rastreio do dinheiro e o pedido de bloqueio são os mesmos para todas as vítimas, e o custo de cada uma cai quando o trabalho é feito em conjunto. É a mesma lógica que explicamos no guia sobre pirâmide financeira.

Golpe do falso estorno: quando o lesado é quem recebeu

Lojistas, prestadores de serviço e pequenos negócios viraram alvo de um golpe que usa o próprio sistema de devolução. O suposto cliente faz um Pix, diz que errou o valor e pede a devolução da diferença ou do total para outra chave, ou apresenta um comprovante falso e cobra a devolução de um Pix que nunca entrou. Depois, o pagamento original é contestado e o comerciante fica sem a mercadoria e sem o dinheiro. A regra de setembro de 2026 deu a quem recebe 80 dias para contestar uma devolução feita contra ele, justamente por causa desse golpe. A prevenção é simples: só devolver pela função de devolução do próprio Pix, para a conta de origem, depois de conferir o extrato, nunca para uma chave nova indicada pelo cliente.

O que o escritório faz num caso de golpe do Pix

O trabalho começa pela análise: leitura do extrato, do protocolo do MED, das notificações do aplicativo e do padrão de uso da conta, para dizer com franqueza se existe falha do banco ou se o caminho é apenas contra o golpista, e se o valor e as provas justificam a ação. A partir daí, o pedido judicial de identificação do titular da conta recebedora, o bloqueio de valores, a ação contra quem deve responder e, quando há outras vítimas do mesmo esquema, a organização do grupo.

A análise inicial tem valor fixo. A ação tem honorário de entrada e a parte maior condicionada ao que for recuperado. Quem não pode pagar as custas sem prejudicar o próprio sustento tem direito à gratuidade da justiça. Para perdas pequenas e isoladas, o escritório orienta o caminho do MED, da reclamação e do Juizado, sem contratar ação. O escritório apresenta os valores por escrito no primeiro atendimento e não promete resultado, o que é vedado pelas regras da advocacia.

Perguntas frequentes

Fiz o Pix por engano para a pessoa errada. O MED serve?

Não. O Mecanismo Especial de Devolução é para fraude e golpe, não para erro de digitação. Nesse caso peça ao seu banco que contate o recebedor e solicite a devolução voluntária. Se ele não devolver, fica configurado enriquecimento sem causa e cabe ação de cobrança, que para valores até 40 salários mínimos corre no Juizado Especial. O prazo para cobrar é de três anos.

Quanto tempo tenho para pedir o MED?

Desde 1º de setembro de 2026 o prazo é de 80 dias contados do Pix, e não mais de 30. Mas o prazo legal não é o prazo útil: o dinheiro sai da conta do golpista em minutos ou horas, e o MED só devolve o que ainda for encontrado no caminho. Peça no mesmo dia, de preferência na mesma hora.

O banco negou o MED ou não respondeu. E agora?

Peça a justificativa por escrito e o número do protocolo. Registre reclamação no consumidor.gov.br e no canal de reclamações do Banco Central. Se houver indício de falha do banco, como transferência fora do seu padrão liberada sem barreira, a recusa do MED entra como mais um elemento da ação judicial contra ele.

O golpista usou conta de terceiro, o chamado laranja. Dá para descobrir quem é?

Dá. O comprovante traz o nome parcial e o banco do recebedor, e o código da transação identifica a conta. Com ordem judicial, o banco recebedor entrega os dados completos, e o juiz pode bloquear o que houver na conta. Em alguns casos o próprio banco que abriu a conta sem verificação adequada é chamado a responder, embora esse ponto ainda não seja pacífico nos tribunais.

Fui obrigado a fazer Pix num assalto. O banco responde?

Há tese, mas depende do caso. Desde 2021 existe limite noturno de R$ 1.000 por padrão entre 20h e 6h e o cliente pode reduzir os próprios limites. Se a transferência passou por cima de um limite configurado, ou se várias transferências seguidas em valor e horário atípicos saíram sem nenhuma trava, há argumento de falha de segurança. Se tudo ocorreu dentro do padrão e dos limites, a Justiça tende a não responsabilizar o banco.

Perdi dois mil reais. Vale a pena procurar advogado?

Para valor pequeno e caso isolado, o caminho que compensa é o MED, o boletim de ocorrência, a reclamação nos canais oficiais e, se preciso, o Juizado Especial, onde causas até 20 salários mínimos dispensam advogado. O advogado passa a valer a pena quando o valor é alto, quando há indício claro de falha do banco ou quando várias vítimas caíram no mesmo esquema e podem dividir o custo.

Mandei o Pix para um investimento que sumiu. É golpe do Pix?

É golpe de investimento, que tem regras e caminhos próprios: identificar os responsáveis, pedir o bloqueio de bens e reunir as outras vítimas. O MED continua valendo nas primeiras horas, mas o trabalho principal é outro e está explicado no nosso guia sobre pirâmide financeira e golpe de investimento.

Como o escritório atende

O primeiro contato é pelo WhatsApp. Envie o comprovante do Pix, o protocolo do MED e um resumo de como o golpe aconteceu, mesmo que os documentos estejam incompletos. A análise é feita por vídeo e mensagem, o processo corre na sua cidade e não é preciso vir a Goiânia em nenhuma etapa.

Voltar ao guia completo sobre pirâmide financeira e golpe de investimento

Rafael Rocha, OAB/GO 33.675, e Ivenise Uchôa de Almeida Rocha, OAB/GO 59.087.