Banco Central vai marcar chave Pix de CPF ou CNPJ ligados a fraude e barrar operações

O Banco Central publicou nesta 6ª feira (18.set.2026) uma resolução que estabelece novas regras para identificar e bloquear operações ligadas a suspeitas de fraude no Pix. A norma permite que instituições marquem CPFs ou CNPJs envolvidos em transações suspeitas e determina a rejeição de operações associadas a essas notificações, com exceção de devoluções.

A Resolução BCB nº 587 foi aprovada pela Diretoria Colegiada do BC na 5ª feira (17.set). Eis a íntegra do ato normativo (PDF-128 kB).

A marcação deverá ser comunicada ao usuário, que poderá pedir revisão. A instituição terá até 7 dias para analisar a solicitação, e o registro poderá permanecer vinculado ao CPF ou CNPJ e, quando disponível, à chave Pix por 5 anos.

A resolução também cria a cobrança híbrida, que permite pagar cobranças com vencimento por Pix ou boleto, autoriza transações do Pix Automático a partir de contas-salário e amplia obrigações de segurança dos participantes.

Parte das mudanças entra em vigor em 1º de fevereiro de 2027. As regras sobre contas-salário passam a valer em 1º de julho de 2027. Os demais dispositivos entram em vigor na publicação.

Cobrança híbrida

A cobrança híbrida permite pagar uma cobrança do Pix com vencimento por Pix ou boleto. A modalidade poderá ser oferecida com boletos comuns e dinâmicos, respeitadas as condições da norma.

A oferta será facultativa. A instituição responsável pelos serviços de pagamento do recebedor deverá ser a mesma que emitiu o boleto. As instituições deverão evitar pagamentos indevidos ou em duplicidade. Se o boleto já tiver sido pago e o Pix for liquidado, a instituição do recebedor deverá devolver o valor integral em até 24 horas, com recursos próprios.

Pix automático em conta-salário

A resolução permite iniciar transações do Pix Automático em contas-salário. Essas contas não poderão receber outras operações Pix, exceto transferências da Secretaria do Tesouro Nacional e devoluções.

Regras para fraudes

Os participantes poderão registrar marcações de suspeitas de fraudes vinculadas ao CPF ou CNPJ de clientes envolvidos em transações específicas. A instituição deverá comunicar a marcação ao usuário, que poderá pedir revisão. A análise deverá ser concluída em até 7 dias. Se não houver elementos que justifiquem a suspeita, a marcação deverá ser cancelada.

O registro ficará vinculado ao CPF ou CNPJ e, quando disponível, à chave Pix por 5 anos.

As instituições também deverão rejeitar transações envolvendo usuários ou contas associados às notificações de infração, exceto operações de devolução. Haverá restrições para registro, portabilidade e reivindicação de chaves Pix nesses casos.

Segurança e proteção ao usuário

Os participantes deverão comunicar incidentes de segurança envolvendo dados pessoais relacionados ao Pix aos titulares de contas de pessoas físicas, mesmo quando não forem responsáveis pelo incidente. Também terão de monitorar usuários que enviem instruções indevidas ou façam solicitações excessivas de autorização no Pix Automático.

Outra obrigação é divulgar o MED (Mecanismo Especial de Devolução), com informações claras e acessíveis, especialmente para o público vulnerável.

Recursos contra decisões do BC

As instituições poderão recorrer de decisões do BC como instituidor do Pix em até 10 dias corridos da comunicação, salvo prazo específico.

O recurso será encaminhado à autoridade que tomou a decisão e, se não houver reconsideração, seguirá para julgamento em única e última instância. Em regra, o recurso não suspende os efeitos da decisão. A suspensão poderá ser concedida diante de risco de prejuízo de difícil ou incerta reparação.

Exclusão de instituições

Instituições penalizadas com exclusão definitiva do Pix deverão ser desconectadas imediatamente após a notificação. Em caso de liquidação extrajudicial, haverá suspensão imediata. O liquidante poderá solicitar uma saída organizada em até 30 dias a partir do decreto de liquidação. Se não houver pedido, a instituição será desconectada.