O sistema que processou mais de R$ 28 trilhões em transações no país em 2025 tornou-se também o principal canal de uma modalidade de fraude que não depende mais de erro grosseiro da vítima: a combinação de dados vazados, documentos forjados por inteligência artificial e comprovantes falsificados que reproduzem com precisão a interface de bancos reais. O Banco Central contabilizou 28 milhões de casos de fraude envolvendo o Pix apenas entre janeiro e setembro de 2025, e o valor médio subtraído por vítima saltou de cerca de R$ 1.200 para R$ 3.500 no mesmo período, um salto que não se explica por golpes mais numerosos, mas por golpes mais bem construídos.
O rombo de R$ 800 milhões na C&M Software expõe o elo mais frágil do ecossistema
O episódio mais grave já registrado no ecossistema Pix não teve origem em uma vítima enganada por telefone, mas em uma falha na cadeia de fornecedores que sustenta o sistema. O ataque à C&M Software, empresa que presta serviços de conectividade a instituições financeiras brasileiras, resultou no desvio estimado de pelo menos R$ 800 milhões e expôs uma fragilidade estrutural pouco discutida fora de círculos técnicos: a segurança de um banco individual depende diretamente da segurança de fornecedores terceirizados que operam fora do perímetro direto de auditoria da instituição.
O caso reposiciona o debate sobre fraude no Pix. Durante anos, a resposta institucional concentrou-se quase inteiramente em educar o usuário final contra golpes de engenharia social. O incidente na C&M mostra que uma falha em um único elo da cadeia de conectividade pode gerar prejuízo muito superior à soma de milhares de golpes individuais, e que a superfície de risco do sistema já não se limita ao comportamento do correntista.
Comprovantes gerados por inteligência artificial escaparam do repertório clássico de phishing
A fraude de identidade sintética se distingue do golpe tradicional por um detalhe técnico relevante: em vez de roubar uma identidade real por completo, ela combina fragmentos verdadeiros — um CPF vazado em um incidente anterior, dados de redes sociais coletados publicamente, um número de telefone reciclado — com elementos fabricados, formando um perfil que passa por validações automatizadas sem corresponder a nenhuma pessoa real. Esse perfil híbrido é difícil de bloquear porque não aciona os mesmos sinais de alerta que uma identidade totalmente falsa dispararia em sistemas antifraude tradicionais.
Sobre essa base, ferramentas de geração de imagem por IA passaram a produzir comprovantes de transferência que replicam fontes tipográficas, logotipos e até códigos de autenticação visual de grandes bancos brasileiros com fidelidade suficiente para enganar uma checagem visual apressada. O golpe segue um roteiro recorrente: o golpista negocia um produto ou serviço, envia um comprovante fabricado como prova de pagamento, alega instabilidade no sistema bancário para justificar a demora na compensação e pressiona a vítima a liberar o produto antes da confirmação real do valor em conta. A regra técnica que neutraliza essa fraude é simples de enunciar e difícil de institucionalizar como hábito: comprovante de tela não equivale a saldo confirmado, e nenhuma imagem substitui a consulta direta ao extrato ou ao aplicativo do banco.
De 28 milhões de casos a 61 milhões de brasileiros visados: o que os números do período revelam
O Relatório de Cibercrime 2026 da LexisNexis Risk Solutions estima que cerca de 61 milhões de brasileiros foram alvo de tentativas de golpe digital nos meses recentes, com crimes financeiros digitais — golpes por QR Code, phishing e engenharia social assistida por deepfake — respondendo por quase metade de todos os incidentes registrados. A tabela reúne os principais indicadores que sustentam a leitura de que o problema mudou de escala e de natureza no último ciclo.
| Indicador | Valor observado | Fonte e período |
|---|---|---|
| Fraudes envolvendo Pix | 28 milhões de casos | Banco Central, jan.–set./2025 |
| Perdas com fraudes digitais no país | R$ 4,94 bilhões | Banco Central (via LAI), 2024 |
| Valor médio roubado por vítima | De ~R$ 1.200 para ~R$ 3.500 | Levantamentos setoriais, 2025–2026 |
| Maior incidente do ecossistema Pix | Desvio estimado de R$ 800 milhões | Ataque à C&M Software, jul./2025 |
| Brasileiros alvo de tentativa de golpe digital | ~61 milhões | LexisNexis, Relatório de Cibercrime 2026 |
| Participação de crimes financeiros digitais no total de incidentes | ~47% | LexisNexis, Relatório de Cibercrime 2026 |
Um ponto que costuma escapar da leitura superficial desses dados é a divergência regional apontada pelo mesmo relatório: enquanto a fraude de primeira parte — quando o próprio cliente frauda a instituição — responde por 38,3% dos casos em escala global, na América Latina esse índice fica abaixo de 10%. A região concentra, em contrapartida, crescimento desproporcional de fraude por identidade sintética, associado à expansão acelerada de serviços financeiros digitais e de mercados regulados de apostas online, dois setores que verificam identidade em volume alto e velocidade incompatível com checagem manual aprofundada.
A fragilidade central não está no protocolo do Pix, mas na cadeia de fornecedores e no fator humano
O acompanhamento de ambientes de infraestrutura corporativa e de suporte a instituições financeiras mostra um padrão que se repete independentemente do porte da organização: falhas de segurança raramente se originam no núcleo técnico do sistema de pagamentos, e sim nas bordas da operação — fornecedores de conectividade, integrações de terceiros e processos internos que dependem de verificação humana sob pressão de tempo. O Pix, como protocolo, incorpora controles robustos de autenticação e liquidação; o desvio de R$ 800 milhões na C&M Software não decorreu de uma falha criptográfica no sistema, mas de uma brecha na cadeia que conecta instituições financeiras à infraestrutura de mensageria.
Esse padrão também aparece nos golpes voltados ao consumidor final. Quase todos os casos de fraude de identidade sintética analisados por especialistas em resposta a incidentes têm em comum a ausência de um segundo canal de verificação genuinamente independente do primeiro contato — seja a validação de um comprovante fora do print enviado pelo golpista, seja a confirmação de uma identidade cadastral fora dos próprios documentos apresentados no momento da fraude. A tecnologia usada para fabricar a evidência falsa evolui rapidamente; o processo que deveria neutralizá-la muitas vezes permanece o mesmo de cinco anos atrás.
Bancos apostam em biometria comportamental; especialistas de resposta a incidentes questionam se isso basta
Empresas especializadas em segurança de pagamentos, como a Dfense, defendem publicamente que o reforço de identidade digital por biometria comportamental — análise de padrão de digitação, geolocalização e comportamento de navegação via machine learning — representa a linha de defesa mais promissora contra fraude sintética no curto prazo. Essa posição encontra respaldo em resultados reais de redução de falsos positivos em sistemas antifraude que já incorporaram esses sinais, e faz sentido como camada adicional de verificação em tempo real.
Especialistas voltados a governança e continuidade de negócio, por outro lado, apontam que biometria comportamental protege principalmente o momento de autenticação, mas não resolve a fraude que ocorre fora do sistema bancário — como o comprovante falso enviado em uma negociação de e-commerce informal, via WhatsApp ou marketplace, onde nenhum controle biométrico do banco chega a ser acionado. Essa leitura é reforçada pelo próprio desenho dos golpes mais recentes, que deslocam a fraude para fora do aplicativo bancário exatamente para escapar dos controles que a instituição financeira consegue monitorar diretamente.
Há ainda uma terceira posição, mais cautelosa, que aponta um risco pouco discutido em material promocional de fornecedores de segurança: sistemas de biometria comportamental também podem ser alimentados com dados sintéticos coerentes o suficiente para simular um padrão de uso legítimo, especialmente quando o fraudador já possui acesso a fragmentos reais de comportamento da vítima obtidos em vazamentos anteriores. A corrida entre geração e detecção, nesse caso, não tem vencedor definitivo garantido por nenhuma das partes.
Auditoria de fornecedores pesa mais que a próxima camada de autenticação isolada
A análise dos incidentes mais relevantes do último ciclo sustenta uma conclusão que raramente aparece com destaque em material de fornecedores de tecnologia antifraude: adicionar uma nova camada de autenticação ao aplicativo do banco tem retorno limitado quando a falha real está na verificação de fornecedores terceirizados ou na ausência de um segundo canal de confirmação fora do controle do golpista. O caso C&M Software é o exemplo mais evidente dessa lacuna — nenhuma melhoria na experiência de login do correntista teria evitado um desvio originado na infraestrutura de conectividade entre instituições.
Para empresas que operam qualquer ponto de contato com o ecossistema Pix, isso significa tratar a auditoria de segurança de fornecedores como processo contínuo e auditável, não como checklist de conformidade preenchido uma vez ao ano. Significa também formalizar, para transações de valor relevante, uma regra de verificação que não dependa exclusivamente da imagem apresentada pela contraparte — seja um comprovante, uma tela de aplicativo ou um documento de identidade digitalizado.
As mudanças no mecanismo de devolução miram o sintoma, não a causa da fraude sintética
O Banco Central alterou, em fevereiro de 2026, regras do Mecanismo Especial de Devolução (MED), o dispositivo que permite bloquear e reaver valores de transações fraudulentas dentro do próprio Pix. A medida melhora a capacidade de resposta após o golpe já ter ocorrido, reduzindo a janela de tempo em que o valor desviado permanece disponível ao criminoso. Ainda assim, o MED atua sobre a consequência financeira da fraude, não sobre o mecanismo que permitiu ao golpista se passar por uma identidade legítima ou fabricar uma prova de pagamento convincente.
A tendência mais provável para os próximos ciclos regulatórios é a ampliação de exigências de verificação de fornecedores conectados ao Sistema de Pagamentos Instantâneos, acompanhada de pressão crescente sobre instituições financeiras para formalizar processos de dupla checagem em transações de maior valor, hoje concentrados quase exclusivamente em política interna e adoção voluntária.
Para empresas que operam no ecossistema Pix, o risco deixou de ser apenas fraude ao cliente final
A leitura mais útil dos dados reunidos aqui é que fraude de identidade sintética via Pix deixou de ser um problema restrito à experiência do consumidor final e passou a representar risco direto de continuidade de negócio para qualquer empresa que processe pagamentos, integre APIs bancárias ou dependa de fornecedores conectados ao sistema financeiro. Times de segurança que ainda tratam esse tema como pauta exclusiva de atendimento ao cliente ou de comunicação de conscientização deixam de cobrir o vetor que já causou o maior prejuízo documentado no ecossistema até o momento.
Na prática operacional, isso se traduz em três frentes que não competem entre si e deveriam avançar em paralelo: reforço de verificação de identidade no momento da transação, auditoria contínua e auditável de fornecedores com qualquer nível de acesso à infraestrutura de pagamentos, e treinamento específico de equipes financeiras e de atendimento contra fraudes que combinam comprovante fabricado, urgência artificial e dados reais parcialmente vazados.
Dúvidas sobre fraude de identidade sintética e golpes via Pix
Um comprovante de Pix gerado por IA pode ser identificado a olho nu?
Nem sempre. Ferramentas atuais reproduzem com fidelidade suficiente fontes, logotipos e elementos visuais de autenticação de grandes bancos. A verificação confiável exige consulta direta ao extrato ou ao aplicativo bancário, não a inspeção visual do comprovante recebido.
Fraude de identidade sintética é o mesmo que roubo de identidade tradicional?
Não. O roubo de identidade tradicional usa os dados de uma pessoa real por completo. A fraude sintética combina fragmentos reais — como um CPF vazado — com dados fabricados, criando um perfil que não corresponde a nenhuma pessoa existente e que costuma escapar de validações automatizadas simples.
O Mecanismo Especial de Devolução (MED) recupera qualquer valor perdido em golpe de Pix?
Não necessariamente. O MED aumenta a chance de bloqueio quando acionado rapidamente após a identificação da fraude, mas depende da disponibilidade do valor na conta de destino no momento do bloqueio, o que nem sempre ocorre em golpes bem estruturados.
Pequenas empresas também são alvo de fraude de identidade sintética no Pix?
Sim, e de forma crescente. A dependência de fornecedores terceirizados de tecnologia e a menor maturidade em processos de verificação tornam pequenas e médias empresas tão expostas quanto grandes instituições, especialmente em fraudes que ocorrem fora do aplicativo bancário, como comprovantes falsos negociados em vendas informais.