Primeiras 48 horas

Caiu num golpe do Pix? O que fazer nas primeiras 48 horas

O que acionar primeiro, o que preservar antes de mexer no celular, qual é o prazo real do MED e o que costuma voltar. Checklist para a hora zero.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicado em 12 de setembro de 2026

Se o Pix saiu agora, pare de ler em dois minutos e volte depois. As duas coisas que mais influenciam o resultado são a velocidade com que você avisa o banco e o que você preserva antes de mexer no celular. O resto deste texto explica por quê, mas a ordem é essa.

Uma observação antes de começar, porque ela evita frustração. O que decide se o dinheiro volta rápido quase nunca é a gravidade do golpe. É se ainda existe saldo na conta para onde ele foi. Por isso a pressa não é burocrática, é aritmética: o valor está sendo fracionado e repassado enquanto você lê.

As três primeiras ações, nessa ordem

1. Acione o banco e peça a abertura da contestação por fraude. Pelo aplicativo. Desde fevereiro de 2026 toda instituição que opera Pix é obrigada a oferecer a contestação por autoatendimento, sem passar por atendimento humano, então procure o botão antes de encarar fila de telefone. Se precisar ligar, diga as palavras “fraude” e “mecanismo especial de devolução”, porque elas mudam o fluxo do atendimento. Anote o número de protocolo. Sem protocolo você não tem prova de que avisou, e a data do aviso é o que conta depois.

2. Enquanto espera no telefone, preserve. Essa é a parte que quase todo mundo pula e é a que não tem segunda chance. A próxima seção detalha o que salvar e como.

3. Registre o boletim de ocorrência. Na maioria dos estados dá para fazer pela delegacia eletrônica, sem sair de casa. Só faça depois de preservar, porque o BO fica muito melhor quando você já tem os dados exatos em mãos.

Se o golpe envolveu acesso ao seu aparelho ou às suas credenciais, tem uma ação zero antes dessas três: trocar a senha do banco por outro dispositivo, de preferência um que não tenha participado da história.

O que preservar antes de qualquer outra coisa

A regra geral é simples de enunciar e difícil de seguir no susto: não manipule o original. Cada vez que você encaminha, recorta, refaz ou reenvia alguma coisa, você perde informação que não estava visível na tela e que é justamente a que sustenta a prova depois.

A conversa, inteira e original. Aplicativos de mensagem têm função de exportar conversa, e é isso que você quer, com mídia incluída, não uma sequência de prints. Exporte antes de qualquer outra coisa que envolva aquele contato.

Print serve, mas é a prova mais fraca que existe. Não carrega metadado e qualquer pessoa consegue editar em um minuto. Se o print for seu único recurso, capture a tela inteira, com a barra de status visível mostrando horário, e não recorte nada. Print de print não vale quase nada.

O comprovante em PDF, gerado pelo aplicativo do banco. Não a foto da tela do comprovante. Nele está o identificador da transação, o campo que no Pix começa com a letra E, que é o número pelo qual a operação é rastreada daqui em diante. Guarde também o nome, a instituição e a chave do recebedor que aparecem ali.

E-mail, com cabeçalho completo. Se o contato veio por e-mail, o que importa não é o texto, é o cabeçalho técnico. Procure a opção “mostrar original” ou “ver fonte da mensagem” e salve isso. Encaminhar o e-mail para outra pessoa destrói exatamente a parte útil.

Horários, anotados à mão. Data e hora de cada etapa, de onde veio esse horário e o fuso. Parece detalhe irrelevante e é o que mais gera discussão depois, quando o registro do banco e o registro do celular não batem.

Se for só mais um passo, gere o hash dos arquivos exportados. É um código calculado a partir do conteúdo do arquivo, e ele muda se um único caractere do arquivo mudar. Guardar o hash logo no início, junto com a data, é o que permite demonstrar depois que o material entregue é o mesmo de quando você o salvou. Existem aplicativos gratuitos que fazem isso em segundos.

Vale entender onde essa preservação se encaixa juridicamente. A Lei nº 13.964/2019 inseriu no Código de Processo Penal o artigo 158-A e seguintes, que definem cadeia de custódia como o conjunto de procedimentos para manter e documentar a história cronológica do vestígio, rastreando sua posse e seu manuseio do reconhecimento até o descarte. Formalmente, essa cadeia começa com o agente público que reconhece o vestígio. A vítima não está dentro dela. Mas é a vítima que segura o material de origem nas primeiras horas, e o que ela destruir nesse intervalo não existe para ninguém depois.

O que não fazer

A mesma regra vale para o computador, e por um motivo que quase ninguém menciona: parte das fraudes começa com malware que copia credencial e cookie salvos no navegador e depois some, sem travar nada e sem pedir nada. Quando isso acontece, a máquina é a única testemunha, e formatar apaga a testemunha. Tratamos do assunto em infostealer.

Como funciona o MED, e qual é o prazo real

O mecanismo especial de devolução e o bloqueio cautelar foram instituídos pela Resolução BCB nº 147/2021, e a versão atual, o MED 2.0, veio com a Resolução BCB nº 493/2025. Não é processo judicial, não é acordo com o golpista, é um procedimento interno do arranjo Pix entre as instituições envolvidas. Se quiser o funcionamento em detalhe, inclusive o que fazer quando o pedido é negado, está em como funciona o MED.

O caminho é esse. Você aciona o seu próprio banco, não o banco do recebedor. O pedido dispara um bloqueio cautelar na conta de destino, que dura 72 horas, tempo para a instituição que mantém aquela conta analisar se há indício de fraude. Havendo indício, o valor é devolvido para a conta de origem.

Sobre prazos, três números importam:

• Até 80 dias contados da transação para pedir a abertura do MED. É bem mais tempo do que a maioria das pessoas imagina, então caso antigo ainda pode ser tentado.
• 72 horas de bloqueio cautelar, que é a janela de análise da instituição do recebedor.
• 7 dias corridos para as instituições que receberam o dinheiro analisarem as notificações, mais 72 horas para a instituição do pagador concluir a análise e pedir a devolução, mais 6 horas para cada instituição recebedora efetivar. São etapas em sequência, com atores diferentes, e não um prazo único de sete dias para todo mundo. Somando, a devolução acontece até o 11º dia contado da contestação, se a fraude for confirmada. Números menores que circulam em cobertura costumam se referir a uma etapa isolada, não ao total.

O que o MED não cobre, e aqui mora boa parte da frustração: arrependimento de compra, erro de valor cometido pelo próprio usuário, erro na escolha da chave Pix e desacordo comercial sem indício de fraude. Comprou e não recebeu o produto de um vendedor identificável é questão de consumo, não é necessariamente fraude para efeito de MED.

Há um prazo que interessa a quem recebe Pix como meio de trabalho, e ele é curto: quem sofreu uma devolução feita pelo MED tem 30 dias, contados dela, para contestar. Serve para quem vendeu de boa-fé, recebeu, e foi surpreendido com o dinheiro retirado depois. Repare na assimetria, porque ela pega muita gente: quem pede a devolução tem até 80 dias, quem se defende dela tem 30.

Uma coisa que o MED não faz: criar dinheiro. Se a conta de destino já foi esvaziada, não há o que devolver. O MED 2.0 passou a rastrear valores mesmo depois de repassados, alcançando saldo em até cinco camadas de contas seguintes, o que melhora bastante a chance. Mas rastrear não recupera o que virou saque em espécie.

O boletim de ocorrência que serve como prova

BO genérico do tipo “fui vítima de golpe do Pix, perdi R$ 4.000” serve para estatística e para pouca coisa mais. O que transforma o registro em peça útil é o detalhe verificável.

Coloque no relato:

• Data e hora exatas da transação, e o fuso
• O identificador da transação, aquele que começa com E
• Valor, chave de destino, nome e instituição do recebedor, como aparecem no comprovante
• Como o contato começou: número de telefone, perfil, link, anúncio, site, e por qual canal
• O que foi dito e pedido, em ordem, sem adjetivo
• O número de protocolo da contestação aberta no banco, com data e hora
• A lista do que você preservou e onde está guardado

Não coloque conclusão sobre quem é o autor. Se você afirma no BO que foi fulano e depois se prova outra coisa, o que sobra é uma contradição sua nos autos.

Sobre onde registrar, a Lei nº 14.155/2021 acrescentou o § 4º ao artigo 70 do Código de Processo Penal, fixando que, no estelionato praticado mediante depósito, transferência de valores ou cheque, a competência é a do domicílio da vítima. Havendo várias vítimas, resolve-se pela prevenção. Como é norma processual, teve aplicação imediata. Na prática, você registra na sua cidade, e não precisa correr atrás da cidade do golpista.

Polícia Civil ou Polícia Federal

A regra geral é Polícia Civil, no domicílio da vítima, e o crime normalmente discutido é estelionato, inclusive na forma eletrônica, ou furto mediante fraude, dependendo de como o dinheiro saiu.

A Polícia Federal entra quando há competência federal envolvida, como lesão a bens, serviços ou interesse da União, de autarquia ou de empresa pública federal, ou quando o caso tem caráter transnacional. Não é o caso típico do golpe aplicado contra pessoa física.

Vale dizer sem rodeio: insistir em registrar na PF por achar que ali investiga melhor costuma custar tempo, e tempo é o recurso mais escasso nas primeiras horas. Registre onde é competente e siga.

O que costuma voltar, e o que não volta

A recuperação rápida existe e depende de saldo remanescente, não do quanto o caso é revoltante. Avisar em minutos muda o resultado. Avisar em dias raramente muda.

A discussão com a instituição financeira é outra história e segue por outro caminho. O ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, pela qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Só que o eixo se deslocou. No REsp 2.124.423/SP, julgado pela Terceira Turma do STJ em 20 de agosto de 2024, o entendimento foi que, se a instituição cumpriu o dever de verificar e validar a identidade e a qualificação dos titulares da conta e de prevenir lavagem de dinheiro, não há defeito na prestação do serviço que atraia responsabilidade objetiva. Havendo prova de que as diligências não foram cumpridas, aí sim se configura falha no dever de segurança. Decisões mais recentes deslocaram o foco de novo, agora para a compatibilidade da operação com o perfil do cliente, e o panorama está em banco responde por golpe do Pix.

Traduzindo para a sua situação: deixou de bastar demonstrar que o golpe aconteceu. Passou a importar se a instituição foi diligente, e isso se prova com documento, registro e trilha técnica. Por isso este texto insiste tanto em preservação. O que você guardou hoje é o que vai estar disponível quando alguém tiver que discutir diligência daqui a um ou dois anos.

Para entender como esse tipo de fraude se organizou no Brasil a ponto de a Polícia Federal tratar o assunto como crime organizado, vale ler o que é cangaço digital, que dá o contexto por trás do que acabou de acontecer com você.