Pix pode ser desviado por hackers? Descubra se sua transação é realmente segura

O Pix é seguro por design , mas a segurança total depende do comportamento do usuário . (Vanessa Rodrigues/AT)

O Pix virou o meio de pagamento preferido dos brasileiros e, com ele, cresceram também as dúvidas: “um hacker consegue desviar a minha transferência no meio do caminho?”. A resposta curta é não: o Pix usa canais criptografados e autenticação forte; interceptar e redirecionar uma transação em trânsito é extremamente improvável. O que existe e preocupa são golpes fora do sistema, mirando usuários e aparelhos. Nesta reportagem, especialistas explicam onde estão os riscos reais, como agem os criminosos, quais barreiras o Banco Central e os bancos já adotam e o passo a passo para blindar suas transações.

Clique aqui para seguir agora o novo canal de A Tribuna no WhatsApp!

O que dizem especialistas em cibersegurança?

O alvo é você, não o Pix. Quadrilhas exploram pressa, medo e confiança do usuário para induzir cliques e autorizações indevidas.

Tomada de conta (account takeover) é o vetor mais lucrativo: ao controlar o celular ou o app do banco, o criminoso realiza Pix legítimos — só que em benefício próprio.

Intercepção “no ar” é mito. As mensagens trafegam por conexões seguras (TLS) e passam por múltiplas checagens. Fraudes acontecem antes do envio (distração do pagador) ou na ponta (conta laranja do recebedor).

Higiene digital vence técnica sofisticada. Atualizações, senhas fortes e desconfiança ativa derrubam a maioria dos golpes.

Os golpes mais comuns e como funcionam

1) Phishing e engenharia social

Links enviados por SMS, WhatsApp, e-mail ou anúncios que imitam bancos/lojas. Ao clicar, a vítima informa dados ou instala um app malicioso.

Como identificar: erros sutis no endereço, urgência (“sua conta será bloqueada!”) e pedidos de senha/código.

Como evitar: nunca clique em links não solicitados; acesse o banco apenas pelo app oficial ou digitando o endereço.

2) WhatsApp clonado ou “golpe do perfil falso”

Criminosos se passam por familiares/colegas pedindo Pix “urgente”.

Sinais de alerta: nova linha, pressa incomum, recusa em mandar áudio/vídeo.

Blindagem: verificação em duas etapas no WhatsApp e confirmação por outra via antes de pagar.

3) Adulteração de QR Code e do “Pix Copia e Cola”

Golpes trocam o QR no balcão ou manipulam o código copiado, alterando a chave/destinatário.

Como evitar: confira nome e banco do recebedor na tela de confirmação antes de autorizar; prefira QR dinâmico emitido pelo estabelecimento; desconfie se o favorecido não corresponder à empresa.

4) SIM swap (troca de chip)

Criminosos portam sua linha para outro chip e tentam redefinir acessos.

Proteção: senha forte na conta da operadora, alerta de portabilidade, e 2FA que não dependa só de SMS.

5) Trojans bancários e sobreposição de tela

Apps falsos pedem “acessibilidade” e passam a enxergar/operar seu celular.

Sinais: pedidos de permissão excessivos; bateria/drain anormal; apps fora da loja oficial.

Defesa: baixe apps apenas das lojas oficiais; revise permissões; use antivírus confiável.

6) Falso suporte do banco

Ligações que “orientam” a fazer um Pix “de teste” ou ditam códigos.

Regra de ouro: banco nunca pede senha, token ou para enviar Pix. Desligue e ligue para o número oficial do seu banco.

O que o Banco Central e os bancos fazem

Criptografia fim-a-fim e autenticação forte (biometria, senha e validações comportamentais).

Limites de valor e “limite noturno” configurável para reduzir risco em horários sensíveis.

Bloqueio cautelar e algoritmos antifraude: transações suspeitas podem ser retidas para checagem.

Mecanismo Especial de Devolução (MED): permite solicitar a devolução em casos de fraude/erro, com análise entre instituições.

Notificação de infração e listas de contas suspeitas: cooperam para tirar rapidamente “contas laranja” de circulação.

Importante: estorno não é garantido — depende de rapidez na denúncia, evidências e retorno do banco recebedor.

Guia prático: 14 medidas para blindar seu Pix

Ative 2FA no banco, e-mail e WhatsApp. Use biometria + senha forte e exclusiva no celular e no app do banco. Atualize sistema e aplicativos; aplique patches de segurança. Instale apps só da loja oficial; evite APKs e “versões turbinadas”. Revise permissões (acessibilidade, sobreposição de tela). Não clique em links de promoções/boletos enviados por mensagem. Confira o favorecido (nome completo e banco) na tela final antes de autorizar. Desconfie de pressa: fraude vive de urgência emocional. Ajuste seu limite noturno para valores baixos; aumente apenas quando necessário. Cadastre contatos confiáveis no app e use listas de favorecidos frequentes. Bloqueie o app de banco com senha/biometria adicional. Ative rastreadores e limpeza remota do aparelho (Encontrar meu iPhone/Dispositivo). No roubo/furto, peça bloqueio imediato do eSIM/chip e dos apps financeiros. Guarde comprovantes; eles são essenciais para pedido de devolução.

Caí em um golpe. E agora?

Avise seu banco imediatamente (app, chat ou telefone oficial) e peça bloqueio cautelar. Acione o MED: o banco abre solicitação de devolução ao recebedor. Registre boletim de ocorrência e junte prints/comprovantes. Comunique outros apps financeiros (carteiras, corretoras) que você usa no celular. Se houver vazamento de dados/senhas, troque tudo e refaça 2FA. Acompanhe o protocolo de devolução; o banco deve informar sobre andamento e decisão.

Perguntas rápidas (mitos & verdades)

“Hackers desviam Pix no caminho?” Improvável. Ataques exploram o antes (engano) ou o depois (conta laranja).

“Pix não tem estorno.” Parcialmente falso: há o MED e devolução por acordo entre bancos em casos específicos.

“QR Code é sempre seguro.” Seguro quando legítimo. Confira o beneficiário na tela final e desconfie de trocas.

“Telefone do banco ligou pedindo senha.” Golpe. Banco não pede senha/código nem manda fazer Pix de “teste”.

Checklist de 30 segundos antes de pagar

Nome e banco do recebedor estão corretos? O pedido veio por um canal oficial ou foi um link? Há pressa incomum ou pedido fora do horário? O valor condiz com a transação? Se algo estranhar, pause e confirme por outra via.