MED do Pix: o rastro do golpe agora vira prova

Por Danilo Pardi e Afonso Morais, da Pardi e Morais

Desde hoje, 26 de outubro, toda notificação de fraude que um banco manda para outro dentro do MED do Pix precisa dizer em que camada da rota o dinheiro estava quando foi alcançado. Parece detalhe técnico. Não é. Para quem perdeu dinheiro num golpe, o caminho do Pix passa a ficar registrado, conta por conta. E esse registro pode decidir uma ação contra o banco.

A mudança foi noticiada hoje pelo Jornal Noroeste, que lembra que ela estava prevista para agosto e foi adiada. A origem é a versão 8.5 do Manual Operacional do DICT, divulgada pela Instrução Normativa BCB nº 766/2026, com as datas ajustadas pela IN nº 767/2026. O manual criou na notificação de infração o atributo “Profundidade no grafo” (TransactionDepth).

O que muda, na prática, no MED do Pix?

O MED 2.0, obrigatório desde 2 de fevereiro de 2026 (Resolução BCB nº 493), já permite seguir o dinheiro além da primeira conta. O golpista recebe o Pix numa conta laranja e, em minutos, espalha o valor por outras contas. O sistema monta esse caminho como um grafo: a transferência da vítima é a raiz, e cada repasse forma uma nova camada.

Até ontem, a notificação que chegava ao banco da segunda ou da terceira conta não dizia, de forma padronizada, em que ponto da rota aquela transação estava. A partir de hoje diz. A primeira camada é a conta que recebeu da vítima. A segunda é quem recebeu dessa conta. E assim por diante.

Para o cliente, nada muda no aplicativo. A regra é operacional, entre instituições. Mas o efeito jurídico é grande, e é dele que quero falar.

Minha tese: o grafo do MED é a prova que faltava contra o banco recebedor

Na minha prática, a maioria das ações de golpe do Pix trava no mesmo lugar. O banco da vítima diz que a transferência foi autorizada por ela. O banco que recebeu diz que só cumpriu a ordem. E a vítima não sabe onde o dinheiro parou, nem quem poderia ter segurado.

Com a profundidade registrada, a recuperação de valores passa a mostrar quem estava com o dinheiro em cada momento. Se o valor saiu da primeira camada em poucos minutos, de uma conta laranja aberta dias antes e sem histórico compatível, isso é indício forte de falha do banco recebedor.

O STJ já trata isso como dever. No REsp 2.052.228, a 3ª Turma, com voto da ministra Nancy Andrighi, afirmou que a instituição financeira deve identificar e impedir movimentações que não condizem com o histórico da conta. Escrevi sobre esse ponto em transação fora do perfil. O que muda agora é a qualidade da prova.

A base é a de sempre. O art. 14 do Código de Defesa do Consumidor responsabiliza o fornecedor pelo defeito do serviço. A Súmula 479 do STJ trata a fraude de terceiros em operações bancárias como fortuito interno. O registro do MED ajuda a mostrar onde, exatamente, o defeito aconteceu.

Há um detalhe que pouca gente percebeu. Desde a versão 8.3 do manual, quando uma notificação é rejeitada, o DICT cancela automaticamente as notificações das transações seguintes que não tenham caminho ligado à raiz. Ou seja: uma análise mal feita numa camada pode derrubar a busca nas camadas de baixo. Quem rejeitou, quando e por quê vira pergunta central do processo.

Como pedir esse registro e usar no processo

O histórico do MED está com os bancos, não com a vítima. Por isso a estratégia muda. Em vez de só narrar o golpe e esperar a defesa, peço já na inicial a exibição do histórico da recuperação de valores (art. 396 do Código de Processo Civil) e a inversão do ônus da prova (art. 6º, VIII, do CDC). Na prática, peço:

• a data e a hora da reclamação e da abertura da notificação de infração;
• as transações rastreadas, com a profundidade de cada uma no grafo;
• o horário de cada pedido de bloqueio e o valor efetivamente bloqueado;
• as notificações rejeitadas, com o motivo, e as que caíram em cascata;
• a data de abertura e o perfil de movimentação das contas da primeira camada.

A Resolução Conjunta nº 6/2023 obriga as instituições a compartilhar entre si dados de indícios de fraude. Se a conta da primeira camada já tinha registro anterior e continuou recebendo Pix sem bloqueio, o argumento fica ainda mais forte.

Caiu num golpe do Pix? O que fazer, na ordem certa

1. Avise o seu banco na hora e peça a abertura do MED. O prazo é de até 80 dias, mas cada minuto conta, porque o dinheiro anda de camada em camada.
2. Registre o boletim de ocorrência e guarde comprovantes, conversas, números de telefone e perfis usados pelo golpista.
3. Anote o protocolo do MED e peça por escrito o resultado da análise.
4. Se a devolução vier parcial ou negada, peça o detalhamento do rastreamento antes de aceitar qualquer acordo.
5. Procure um advogado especialista com esses documentos. A ação bem feita começa pela prova, não pela narrativa.

Para empresas que recebem Pix e foram atingidas por um MED, a lógica se inverte: o mesmo registro serve para provar boa-fé. Expliquei isso em fraude no Pix contra empresas e o MED 2.0.

Ponto de atenção: o rastro não substitui a análise do caso

Seria desonesto vender o MED como atalho. Em julho, no REsp 2.209.868, a 3ª Turma do STJ, relator ministro Humberto Martins, manteve decisão do TJSP que negou indenização a uma vítima do golpe da falsa central. Para o colegiado, a Súmula 479 não se aplica de forma automática. É preciso demonstrar falha do serviço, como operações incompatíveis com o perfil do cliente.

Naquele caso, os dois Pix eram compatíveis com o histórico da conta, e a transferência maior, de R$ 28 mil, foi feita pela própria cliente, na agência. O tribunal viu culpa exclusiva da vítima e de terceiros. Tratei desse argumento em culpa da vítima no golpe.

O grafo do MED não remove esse filtro. Ele dá ferramenta para atravessá-lo. Se o rastro mostra que o dinheiro escoou de uma conta suspeita sem nenhum bloqueio, a discussão sai da conduta da vítima e vai para a conduta do banco recebedor. É aí que o caso se distingue do REsp 2.209.868.

Há outro argumento que os bancos vão usar. O próprio Banco Central registra, na nota da IN 766, que o Regulamento do Pix tem “natureza eminentemente contratual”. A defesa dirá que o manual regula a relação entre instituições e não cria direito para o consumidor. Minha leitura é outra: o manual não cria o dever, mas revela o padrão técnico de segurança que o serviço pode e deve ter. E é isso que o art. 14, § 1º, do CDC manda considerar: a segurança que o consumidor pode esperar.

Se você perdeu dinheiro num golpe do Pix, veja como atuamos em golpe do Pix ou me chame no WhatsApp. Analiso o rastreamento do seu caso com você.

Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.

Foto: A Chosen Soul / Unsplash

Referências

• Nova regra do Pix contra fraudes entra em vigor nesta segunda; veja o que muda. Jornal Noroeste, 26/10/2026.
• Instrução Normativa BCB nº 766, de 27/07/2026 (versão 8.5 do Manual Operacional do DICT), com redação da IN nº 767, de 30/07/2026. Banco Central do Brasil.
• Manual Operacional do DICT, seções 10.1, 20 e histórico de revisões. Banco Central do Brasil.
• Resolução BCB nº 493 (MED 2.0). Banco Central do Brasil.
• Resolução Conjunta nº 6, de 23/05/2023. CMN e Banco Central do Brasil.
• Lei nº 8.078/1990 (Código de Defesa do Consumidor), arts. 6º, VIII, e 14. Planalto.
• Lei nº 13.105/2015 (Código de Processo Civil), art. 396. Planalto.
• Súmula 479 do STJ. Superior Tribunal de Justiça.
• REsp 2.052.228, 3ª Turma, rel. min. Nancy Andrighi. STJ, notícia de 30/10/2023.
• REsp 2.209.868, 3ª Turma, rel. min. Humberto Martins. STJ, notícia de 15/07/2026.

Sobre os autores

Danilo Pardi é advogado (OAB/SP 384.895), sócio fundador da Pardi e Morais Advogados, pós-graduado em Direito Digital e Compliance (IBMEC) e em Direito Digital e Proteção de Dados (EBRADI), membro da ANPPD e criador do podcast Falando de Fraudes. Afonso Morais é advogado (OAB/SP 77.133), sócio da Pardi e Morais, com mais de 40 anos de atuação, pós-graduado em Contratos e Direito Bancário e colunista do quadro Alerta de Fraudes.