Novas regras do Pix: entenda as mudanças anunciadas pelo Banco Central

O Pix, sistema de pagamentos instantâneos lançado em 2020 pelo Banco Central, já estava consolidado como um dos meios mais usados no Brasil. Mas uma série de episódios recentes — fraudes, ataques cibernéticos e lacunas regulatórias — levou o BC a endurecer regras em 2025.

As novas medidas são vistas como um passo importante para reforçar a segurança, aumentar a rastreabilidade e aprimorar mecanismos de devolução em casos de golpe. Mas, na prática, o que muda para o usuário comum e para o mercado financeiro? E quais são riscos e desafios dessa nova fase?

Apesar de o Pix ser considerado um sucesso em termos de adoção e praticidade, vulnerabilidades vêm sendo exploradas por criminosos. Investigações recentes identificaram que ataques estruturados tinham como alvo empresas que atuam como intermediárias tecnológicas — prestadoras de serviço ou empresas que conectam fintechs ao sistema financeiro — e não os bancos centrais ou o sistema central do Pix em si.

Esses ataques permitiram desvios milionários em alguns casos e evidenciaram lacunas de governança, de controle e de supervisão nas “pontes” entre o sistema financeiro e as fintechs menores ou instituições de pagamento que dependem de terceiros para operar.

Além disso, investigações revelaram que agentes criminosos vinham usando fragmentações do sistema (como contas intermediárias, contas com CPFs ou CNPJs irregulares, ou terceirização de tecnologia) para dissimular as rotas do dinheiro roubado.

Esse cenário levou o Banco Central a concluir que a “era da autorregulação permissiva” precisava ser superada: eram necessárias regras mais rígidas, com prazos mais curtos para adequação, exigências de capital, controles de segurança cibernética e governança mais robusta.

Principais mudanças: o que o BC estabeleceu

As novas regras foram formalizadas por resoluções emanadas do Banco Central (por exemplo, Resoluções BCB nº 497 e 498) e têm aplicação escalonada a partir de outubro de 2025 e além.  A seguir, os pontos mais relevantes:

1. Teto de R$ 15 mil para algumas transações Pix e TED

Para instituições de pagamento que ainda não tenham autorização prévia do Banco Central e para aquelas que se conectam ao sistema via empresas terceirizadas (“PSTIs” — Prestadores de Serviços de Tecnologia da Informação), foi imposto um limite de R$ 15.000 por operação em Pix ou TED.

Esse limite é temporário e pode ser retirado caso a instituição de pagamento e seu PSTI comprovem cumprimento dos novos controles de segurança exigidos pelo BC.

Esse mecanismo busca limitar os riscos ao sistema por parte de participantes mais frágeis ou com menor controle tecnológico, enquanto se adaptam às exigências regulatórias.

2. Exigência de autorização prévia e antecipação de prazos

Antes, instituições de pagamento tinham até dezembro de 2029 para pleitear autorização junto ao BC. Com as novas regras, esse prazo foi antecipado para maio de 2026.

Além disso, novas instituições já não poderão operar no Pix sem autorização prévia do BC. E as que tiverem autorização negada deverão encerrar suas operações num prazo determinado (30 dias) após a decisão.

As cooperativas também ficaram sujeitas a restrições: elas não poderão mais figurar como responsáveis pelo Pix de instituições de pagamento, e terão prazos para adequação contratual.

3. Regras mais rígidas para PSTIs e capital mínimo de R$ 15 milhões

Os PSTIs — empresas que fazem intermediação tecnológica entre instituições de pagamento e o sistema — sofreram exigências duras: precisaram comprovar capital mínimo de R$ 15 milhões, adotar controles rigorosos de governança, de segurança da informação, certificações independentes, segregação de ambientes e auditorias externas.

As instituições que já operam por meio de PSTI terão quatro meses para se adequar. Caso não cumpram, podem ser descredenciadas ou sofrer sanções cautelares.

Em função disso, o BC espera estimular que mais instituições façam conexão direta com a rede (ou infraestrutura própria), reduzindo dependências tecnológicas externas.

4. Mecanismo Especial de Devolução (MED) reformulado

O MED é o mecanismo que permite contestar transações fraudulentas e, em caso de confirmação do golpe, buscar a devolução dos valores. As novas regras trazem mudanças importantes:

• A partir de 1º de outubro de 2025, o MED será 100% digital, integrado aos aplicativos ou ambientes Pix dos bancos/instituições, sem necessidade de contato telefônico ou atendimento humano.

• A devolução poderá ser feita não apenas a partir da conta que recebeu o valor (aquela usada no golpe), mas de outras contas pelas quais o valor transitou — o sistema passará a rastrear até cinco “saltos” para identificar caminhos do dinheiro.

• O prazo para devolução será de até 11 dias após a contestação do usuário (quando possível) — medida prevista para funcionar facultativamente em 23 de novembro e obrigatoriamente a partir de 2 de fevereiro de 2026.

• Prazos processuais mais claros foram definidos: o usuário tem até 80 dias para solicitar contestação; a instituição tem até 7 dias para avaliar o caso; após confirmação, a devolução deve ocorrer dentro de 96 horas (quando houver saldo disponível).

Essas alterações visam acelerar o bloqueio de recursos dos fraudadores e aumentar as chances de devolução para a vítima enquanto ainda houver saldo nas contas-alvo.

5. Exigências de consistência cadastral para chaves Pix

Outra frente da reformulação regula as próprias chaves Pix — os identificadores vinculados a CPFs/CNPJs, como e-mail, telefone, chave aleatória etc.:

• Chaves PIX com CPFs ou CNPJs em situação irregular junto à Receita Federal serão automaticamente excluídas pelas instituições participantes. CPFs “suspensos, cancelados, nulos ou de titulares falecidos” e CNPJs “inaptos, baixados, suspensos ou nulos” não poderão manter chaves Pix.

• Chaves do tipo e-mail não poderão mais ser transferidas de titular. Ou seja: não será permitido reivindicar a posse de um e-mail como chave Pix.

• Chaves aleatórias — aquelas geradas automaticamente — não poderão ser alteradas: para modificar, será necessário excluir e registrar outra.

• No momento da criação ou alteração de uma chave, o nome informado deverá coincidir com o nome registrado na base da Receita Federal (ou outros cadastros oficiais). Isso dificulta que golpistas criem chaves “fantasmas” com nomes divergentes.

Essas regras visam evitar que CPFs falsos ou irregulares se tornem porta de entrada para fraudes e dificultar a construção de redes fictícias de contas.

6. Sanções, fiscalização e contrapartidas

As instituições de pagamento que não se adequarem às novas exigências poderão enfrentar sanções, medidas cautelares ou até descredenciamento pelo Banco Central.

O BC e os órgãos reguladores anunciaram que farão monitoramento contínuo do cumprimento dessas regras, com auditorias, avaliações técnicas independentes, solicitações de certificações e exigências de governança e gestão de risco mais rígidas.

Do ponto de vista macro, espera-se que essas medidas reforcem a confiança no sistema de pagamentos instantâneos, mitiguem os riscos sistêmicos e reduzam a capacidade de operações ilícitas via Pix.

Quem será afetado e o impacto no cotidiano do usuário

Apesar de a amplitude das mudanças gerar apreensão, o Banco Central e especialistas afirmam que a maioria dos usuários do Pix não verá mudanças perceptíveis no uso diário — desde que operem por meio de bancos ou fintechs plenamente autorizados.

A restrição de R$ 15.000 aplica-se a um universo relativamente pequeno de instituições de pagamento que operam sem autorização ou via PSTIs. Estima-se que apenas cerca de 3% das contas do sistema estejam sujeitas a esse limite, e apenas 1% das transações ultrapasse esse valor.

Portanto, se você usa um banco ou fintech tradicional devidamente autorizada, continuarão valendo os mesmos limites (ou aqueles previstos internamente pelo seu banco), as transações ainda serão instantâneas, sem tarifas para pessoas físicas (na maioria dos casos) e sem impactos diretos.

As mudanças mais tangíveis para o usuário estão na resposta a fraudes: o novo MED digital, a devolução mais ágil e a rastreabilidade ampliada podem inibir golpes e aumentar as chances de recuperação dos recursos. Para quem já foi vítima de golpe, o processo será menos burocrático e mais transparente.

Quem corre maior risco são usuários e instituições de pagamento menores, que dependem de tecnologia terceirizada ou operam com menos robustez nos sistemas. Essas entidades precisarão se adequar rápido se quiserem manter sua operação normal.

Para empresas ou grandes transações, especialmente em instituições menores, pode haver necessidade de fracionamento de pagamentos ou busca alternativa de canal.