Nos últimos meses, um alerta alarmista voltou a circular nas redes sociais e aplicativos de mensagens sobre o “golpe do Pix de R$ 0,01”. O conteúdo sugere que criminosos poderiam invadir contas ou roubar dados bancários ao enviar a microtransferência. Para Daniel Porta, CISO da DANRESA e especialista em Cibersegurança, a narrativa mistura um risco real com uma conclusão equivocada. “Receber um Pix de R$ 0,01 não dá ao remetente acesso à sua conta bancária”, resume.
A confirmação vem das próprias fontes oficiais: nem a Febraban nem o Banco Central catalogam a microtransferência como invasão de sistema. O perigo real começa no contato humano seguinte, explorando o funcionamento do Diretório de Identificadores de Contas Transacionais (DICT). A consulta a uma chave Pix retorna apenas dados básicos – como nome, instituição e agência — para que o pagador confirme o destinatário, atuando como uma barreira de segurança nativa.
O criminoso não precisa transferir dinheiro para ver a quem pertence uma chave, bastando digitá-la no aplicativo. O centavo enviado cumpre a função de fabricar uma prova no extrato da vítima, que será citada na ligação seguinte para ganhar sua confiança. A transação também serve para testar contas ativas e validar chaves obtidas em vazamentos antigos, funcionando como uma preparação de pretexto para o ataque.
Como o sistema possui travas contra varreduras em massa, o ataque migra para a engenharia social. Isoladamente, saber o nome e o banco de alguém não concede acesso a recursos, mas os golpistas cruzam essas informações com redes sociais e vazamentos prévios. Segundo o Mapa da Fraude 2026, da Serasa Experian, o Brasil registrou quase 1,5 milhão de tentativas de fraude em validações de identidade no primeiro trimestre, com 60% delas no setor financeiro.
Quando o golpista liga citando o banco correto e uma transação confirmada no extrato, a história ganha verossimilhança. O golpe não depende de invadir o aplicativo, mas de convencer a vítima a entregar o controle ou realizar transferências por vontade própria. A orientação do Banco Central para quem recebe um Pix desconhecido é conferir o aplicativo e usar apenas a ferramenta nativa de devolução do banco, evitando solicitações de estorno para chaves de terceiros.
Caso a fraude ocorra, a agilidade no combate é fundamental. Com o MED 2.0 (Mecanismo Especial de Devolução), a contestação pode ser feita pelo próprio aplicativo, permitindo o bloqueio cautelar de valores por até 11 dias e o rastreio de contas intermediárias. O prazo geral é de até 80 dias, mas acionar o sistema nas primeiras horas aumenta a chance de reaver os recursos. “O principal objetivo de muitos golpes financeiros modernos não é quebrar a tecnologia, mas fazer com que nós mesmos confiemos na pessoa errada”, conclui Porta.
