São Paulo, agosto de 2026 – Nos últimos meses, um alerta alarmista voltou a circular nas redes sociais e aplicativos de mensagens sobre o chamado “golpe do Pix de R$ 0,01”. A mensagem que se espalha rápido assusta ao sugerir que criminosos poderiam invadir contas ou roubar dados bancários de quem recebe uma micro transferência de apenas um centavo. Para Daniel Porta, CISO da DANRESA e especialista em cibersegurança, a narrativa mistura um risco real com uma conclusão tecnicamente equivocada. “Receber um Pix de R$ 0,01 não dá ao remetente acesso à sua conta bancária”, resume.
Um indício disso está nas próprias fontes oficiais: nem a Febraban nem o Banco Central catalogam a micro transferência como uma forma de invasão de sistemas. O que os registros mostram, invariavelmente, é que o perigo real começa no contato humano que vem depois.
O equívoco técnico desmorona ao olhar para o funcionamento do DICT (Diretório de Identificadores de Contas Transacionais), infraestrutura do Banco Central que relaciona chaves Pix às contas. O manual operacional do órgão estabelece que a consulta a uma chave retorna dados básicos — como nome, instituição e agência — para que o pagador confirme o destinatário antes de concluir o envio. Trata-se de uma barreira de segurança nativa, e não de uma falha.
Na prática, o criminoso nem precisa transferir dinheiro para ver a quem pertence uma chave; basta digitá-la no aplicativo. O centavo enviado, portanto, cumpre outra função: ele fabrica uma prova. Cria no extrato da vítima um lançamento real e verificável que o golpista citará na ligação seguinte para ganhar a confiança da pessoa. Numa operação mais ampla, a micro transferência também serve para testar contas ativas ou separar chaves válidas de listas obtidas em vazamentos antigos. Para a cibersegurança, isso não é invasão; é pura preparação de pretexto.
Como o sistema foi desenhado com travas contra varreduras em massa, o ataque precisou migrar para o elo humano. É aí que a engenharia social entra em campo.
Isoladamente, saber o nome e o banco de alguém não dá controle sobre fundos. Mas os criminosos cruzam esses dados com redes sociais e vazamentos anteriores. O cenário é impulsionado por um mercado industrializado de identidades: o Mapa da Fraude 2026, da Serasa Experian, registrou quase 1,5 milhão de tentativas de fraude em validações de identidade no Brasil apenas no primeiro trimestre do ano, com o setor financeiro concentrando seis em cada dez ocorrências.
Quando o golpista liga citando o banco correto e mencionando uma transação real que o extrato confirma, a história parece indiscutível. O ataque não depende de o Pix hackear a conta, mas de convencer a vítima a entregar o controle por vontade própria.
Para se defender, a orientação do Banco Central é clara: ao receber um Pix desconhecido, o cidadão deve conferir o extrato no aplicativo oficial e, caso precise devolver o valor, usar exclusivamente a ferramenta nativa de estorno do banco. É justamente esse caminho que o golpista tenta evitar, já que pedir para “devolver em outra chave” é a marca registrada de quem quer desviar o dinheiro.
Caso o golpe se consuma, o tempo é o fator mais crítico. Desde fevereiro de 2026, com a entrada em vigor do MED 2.0 (Mecanismo Especial de Devolução), a contestação pode ser feita direto pelo autoatendimento do aplicativo, permitindo que a instituição bloqueie os valores cautelarmente por até 11 dias e rastreie contas intermediárias. O prazo para acionar o MED continua sendo de até 80 dias, mas agir nas primeiras horas aumenta drasticamente a chance de reaver os recursos. Registrar boletim de ocorrência e monitorar o CPF pelo Registrato do Banco Central completam o protocolo de segurança.
“O principal objetivo de muitos golpes financeiros modernos não é quebrar a tecnologia, mas fazer com que nós mesmos confiemos na pessoa errada”, conclui Porta.
Fontes de referência: Banco Central do Brasil (Manual Operacional do DICT e regras do MED 2.0); serviços oficiais gov.br (BC Protege+ e Registrato); Serasa Experian (Mapa da Fraude 2026); Febraban.
Sobre a DANRESA: fundada em 1998, é uma consultoria brasileira especializada em cibersegurança, infraestrutura de redes e comunicação de TI, com um Centro de Operações de Segurança operado com inteligência artificial para monitoramento 24×7.
