O Pix já se consolidou como a espinha dorsal do sistema financeiro brasileiro. Só em 2025, movimentou mais de R$28 trilhões, segundo o Banco Central, enquanto estudos da FGV Cemif mostram que cada brasileiro realizou, em média, quase 40 transferências por mês. A adesão massiva, porém, veio acompanhada de um efeito colateral: o sistema tornou-se o principal alvo do crime digital. Apenas em 2024, as perdas relacionadas a golpes somaram R$4,94 bilhões, de acordo com dados do BC obtidos via Lei de Acesso à Informação.

Em 2025, os golpes digitais continuam em alta no Brasil. Dados da Associação de Defesa de Dados Pessoais e do Consumidor (ADDP) mostram que, entre janeiro e setembro, foram registradas 28 milhões de fraudes envolvendo o Pix. O alerta mais crítico veio em julho, com o maior ataque já observado no ecossistema: o incidente na C&M Software, que resultou no desvio estimado de pelo menos R$800 milhões. O caso evidenciou que a vulnerabilidade não está na tecnologia do Banco Central, mas nas pontas operacionais, onde falhas humanas, processos frágeis e fornecedores pouco protegidos se acumulam.

Para Gabriel Paiva, CEO da Dfense, o episódio mostrou que a fragilidade não está no coração do sistema: “O Pix é seguro enquanto tecnologia. O que falha são processos, pessoas e fornecedores conectados ao sistema financeiro. No caso da C&M, o ataque começou pelo ponto mais vulnerável: o acesso humano.”

Aumento do fator de risco: Engenharia Social 3.0, IA generativa e deepfakes

Mesmo com o avanço das tecnologias de proteção, o fator humano continua sendo a principal porta de entrada explorada pelos criminosos. “Um único clique em um link malicioso ou o envio de informações sem checagem já basta para abrir brechas que nenhuma solução tecnológica consegue impedir completamente”, diz Paiva. Esse ambiente impulsiona a Engenharia Social 3.0, na qual golpistas usam dados públicos de pessoas e empresas para criar abordagens altamente personalizadas, capazes de imitar comunicações reais e aumentar a taxa de sucesso dos golpes.

A popularização da IA generativa e dos deepfakes torna esse cenário ainda mais desafiador. “Hoje, produzir uma voz sintética ou um vídeo convincente é simples e barato, o que acelera golpes como o CEO fraud, em que criminosos se passam por executivos para solicitar transferências ou obter informações sensíveis”, complementa.

4 maneiras para as empresas e instituições se blindarem

A partir do histórico de incidentes, a Dfense elenca quatro frentes que empresas e instituições financeiras precisam revisar imediatamente para garantir a resiliência do sistema Pix:

- Auditoria real de fornecedores: é imperativo ir além de checklists de conformidade. Exigir evidências auditáveis de segurança de todos os fornecedores que têm qualquer conexão com o ecossistema de pagamentos é fundamental.
- Treinamento contínuo contra engenharia social: o ataque não começa no código, mas no telefone, WhatsApp ou e-mail. É vital que as equipes sejam treinadas contra as táticas de aliciamento e manipulação que visam acesso privilegiado.
- Reforço de identidade digital: fortalecer os controles de autenticação com biometria, análise de comportamento (machine learning) e confirmação em múltiplos dispositivos para transações de maior valor.
- Planos de resposta a incidentes: é preciso saber exatamente o que fazer quando o golpe já aconteceu, com planos claros sobre quando interromper operações e como acionar o rastreamento, para reduzir o prejuízo.

5 dicas para os usuários se prevenirem

O usuário também é uma linha de defesa crítica. Diante disso, como prevenção o executivo recomenda as seguintes práticas:

- Jamais fazer Pix por "urgência" sem confirmar a solicitação por outro canal (telefone fixo, ligação direta);
- Conferir o nome e a instituição antes de confirmar qualquer transferência;
- Desconfiar de cobranças inesperadas ou enviadas por WhatsApp;
- Configurar limites diários e noturnos reduzidos para o Pix, de acordo com o padrão de uso;
- Acionar o MED (Mecanismo Especial de Devolução) imediatamente em caso de golpe