Caí no golpe do Pix: quando o banco tem de devolver o dinheiro? (2026)

Uma ligação de um número 0800 dizendo ser “a central de segurança do banco”. Uma mensagem de um parente pedindo dinheiro “com urgência” de um número novo. Um leilão de carro com preço ótimo. Minutos depois, o Pix já foi feito, e o dinheiro sumiu.

A primeira reação de quem passa por isso é vergonha. A segunda é a pergunta que mais ouço no escritório: “o banco é obrigado a me devolver?”. A resposta honesta é: depende. Às vezes sim, às vezes não. E, em 2026, o Superior Tribunal de Justiça (STJ) deixou essa linha mais clara. Abaixo explico onde ela fica e o que fazer, com urgência, para não perder chances.

Resumo rápido

• Aja nas primeiras horas. Peça a devolução pelo MED (Mecanismo Especial de Devolução) no próprio aplicativo do banco. O pedido pode ser feito para Pix de até 80 dias atrás, mas quanto antes, maior a chance de ainda haver dinheiro na conta do golpista.
• O MED não garante a devolução. Ele depende de haver saldo nas contas que receberam o dinheiro.
• Na Justiça, o banco responde sem precisar provar culpa quando a fraude decorre de falha na segurança do próprio serviço (Súmula 479 do STJ). Exemplo: transações muito fora do seu perfil que o banco deixou passar.
• O STJ decidiu em 2026 que essa responsabilidade não é automática: se as transferências pareciam normais para o seu histórico e não houve falha do banco, o pedido pode ser negado.

O que é o MED e por que a pressa importa

O MED é uma ferramenta criada pelo Banco Central dentro do Pix. Ele serve para casos de golpe, fraude ou crime, e também para falhas operacionais dos bancos.

Funciona assim, segundo o guia oficial do Banco Central:

1. Você registra a contestação no aplicativo do seu banco (há uma opção específica dentro da área Pix) ou pelo atendimento.
2. Seu banco deve abrir o pedido de recuperação imediatamente. Nesse primeiro momento, ele não pode exigir boletim de ocorrência para abrir o pedido. A análise dos documentos vem depois.
3. O banco de quem recebeu o dinheiro deve bloquear o valor assim que é notificado. Se o saldo for menor, bloqueia o que houver.
4. Desde a versão 2.0 do MED, o sistema também rastreia o dinheiro quando o golpista o repassa rapidamente para outras contas.
5. Os bancos recebedores têm até 7 dias corridos para analisar. Confirmada a fraude, seu banco tem até 72 horas para pedir a devolução, e cada banco recebedor tem poucas horas para devolver.

O ponto mais importante: se o dinheiro já saiu da conta do golpista, não há o que bloquear. Por isso, cada hora conta.

Quando o MED não serve

O MED não é um “desfazer” do Pix. O Banco Central é claro em dois pontos:

• Pix enviado por engano (você digitou a chave errada) não entra no MED. Nesse caso, o caminho é pedir a devolução diretamente a quem recebeu e, se não houver acordo, buscar a Justiça contra essa pessoa.
• Desacordo comercial (comprou e não gostou, ou a loja atrasou) também não. Para o MED, é preciso que quem recebeu tenha praticado a fraude. Vendedores de boa-fé não podem ter a conta debitada.

E se o golpe for contra quem recebeu o Pix?

Existe também o golpe ao contrário. Alguém paga por um produto ou serviço e depois aciona o MED com a falsa alegação de que caiu em um golpe. O dinheiro sai da conta do vendedor, que agiu corretamente.

Desde 1º de setembro de 2026, a Instrução Normativa BCB 766 deu mais tempo para essa defesa. Quem recebeu um Pix legítimo e teve o valor devolvido pelo MED agora tem 80 dias, contados da data da devolução, para contestá-la. Antes, o prazo era de 30 dias. Para quem fez o Pix e foi vítima do golpe, nada mudou: continuam valendo os 80 dias contados da transferência original.

Se você é comerciante, prestador de serviço ou autônomo e recebe por Pix, guarde nota fiscal, conversa com o cliente e comprovante de entrega de cada venda. São esses documentos que mostram que a venda foi real.

Quando o banco tem de devolver: a Súmula 479 do STJ

Se o MED não resolveu, entra a discussão sobre a responsabilidade do banco.

O Código de Defesa do Consumidor diz que o fornecedor de serviços responde pelos danos causados por defeitos no serviço “independentemente da existência de culpa” (art. 14). Isso se chama responsabilidade objetiva: você não precisa provar que o banco agiu com descuido; precisa mostrar que o serviço falhou e que isso causou o prejuízo.

Para os bancos, o STJ resumiu essa regra na Súmula 479:

“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

O termo-chave é fortuito interno. Em linguagem simples: é o risco que faz parte da própria atividade do banco. Guardar o dinheiro com segurança, conferir quem abre conta, perceber movimentações estranhas. Se a fraude passou por uma falha nessas tarefas, o risco é do banco, não do cliente.

O oposto é o fortuito externo: um acontecimento que nada tem a ver com o serviço bancário. Aí o banco não responde.

Mas o banco pode se defender

O mesmo art. 14 do CDC diz que o fornecedor não responde se provar que o defeito não existe ou que houve “culpa exclusiva do consumidor ou de terceiro” (§ 3º). É essa a defesa que os bancos usam nos golpes de engenharia social: “foi o próprio cliente quem fez o Pix, por vontade dele”.

Por isso a pergunta certa não é “o banco é culpado pelo golpe?”. É: “o banco deixou de fazer algo que deveria ter feito?”

O que o STJ decidiu em 2026

Em outubro de 2026, o próprio STJ publicou uma reportagem reunindo suas decisões sobre golpes virtuais. Elas mostram um padrão claro. Seguem as principais.

Quando o banco foi condenado:

• Transações fora do perfil. Em 2023, a Terceira Turma condenou um banco que não detectou operações atípicas feitas por criminosos contra um cliente idoso. Para a relatora, Ministra Nancy Andrighi, as transações “destoam completamente do perfil do consumidor” (REsp 2.052.228).
• Golpe da mão fantasma (acesso remoto). Em outubro de 2025, a Terceira Turma afastou a tese de que a cliente teria “culpa concorrente” por instalar o aplicativo indicado pelos golpistas. Para o colegiado, a culpa concorrente “deve ser interpretada de forma restritiva”, e o banco respondeu pelo dano integral (REsp 2.220.333, relator Ministro Ricardo Villas Bôas Cueva).
• Bancos digitais e instituições de pagamento. Também em outubro de 2025, a Terceira Turma decidiu que instituições de pagamento respondem como os bancos tradicionais por falhas na identificação de transações suspeitas, em um caso com 14 transações em um único dia (REsp 2.222.059, relator Ministro Ricardo Villas Bôas Cueva).
• Conta aberta por fraude. Em junho de 2026, a Quarta Turma reconheceu a responsabilidade dos bancos envolvidos em um caso de abertura fraudulenta de conta digital, tratando a falha como risco do próprio negócio (AREsp 3.193.758, relator Ministro Raul Araújo).

Quando o banco não foi condenado:

• Falsa central com transferências “normais”. Em 2026, a Terceira Turma manteve a decisão que negou indenização a uma cliente que caiu no golpe da falsa central. As transferências por Pix foram consideradas compatíveis com o histórico da conta, e a de maior valor foi feita pela própria cliente, na agência. Segundo o STJ, a responsabilização do banco depende da demonstração de falha na prestação do serviço (REsp 2.209.868, relator Ministro Humberto Martins).
• Falso leilão. Em 2024, a Terceira Turma negou o pedido de uma vítima que pagou por Pix um falso leilão, porque não ficou provado que o banco falhou ao abrir ou monitorar a conta do golpista (REsp 2.124.423, relatora Ministra Nancy Andrighi).

O que isso significa para você

A leitura conjunta dessas decisões leva a uma regra prática: o que pesa é o perfil da transação e a conduta do banco. Alguns sinais costumam favorecer o cliente:

• valor ou quantidade de transferências muito acima do seu padrão;
• várias operações em sequência, em pouco tempo, ou de madrugada;
• aumento repentino de limite, troca de aparelho ou cadastro de nova chave seguido de transferências;
• conta do golpista aberta recentemente ou já usada em outros golpes;
• cliente idoso ou em situação de maior vulnerabilidade.

Sinais que costumam pesar contra:

• transferência de valor compatível com o que você costuma movimentar;
• operação feita pessoalmente, na agência, depois de alertas;
• demora grande para avisar o banco.

O que fazer, passo a passo

1. Acione o MED imediatamente. Abra o app do banco, vá à área Pix e procure a opção de contestar a transação por golpe. Se não encontrar, ligue para o canal oficial (o número que está no cartão ou no app, nunca o que o golpista passou). Anote o número do protocolo.
2. Registre o boletim de ocorrência. Pode ser feito pela internet na maioria dos estados. O banco não pode exigi-lo para abrir o MED, mas ele será útil na análise e em eventual processo.
3. Guarde todas as provas. Prints das conversas, número que ligou, comprovantes do Pix, extratos dos meses anteriores (para mostrar o seu perfil normal) e protocolos de atendimento.
4. Acompanhe o pedido pelo app. O banco deve mostrar a situação da contestação, o prazo de resposta e o valor devolvido, se houver.
5. Se o banco negar, peça a resposta por escrito e vá à ouvidoria. Depois, registre reclamação no Banco Central e no consumidor.gov.br. As duas plataformas são gratuitas.
6. Avalie a via judicial com os documentos em mãos. Com os extratos, dá para verificar se as transações destoavam do seu perfil e se o banco deixou de agir. Esse é o ponto que define o caso.

Perguntas frequentes

Qual é o prazo para pedir a devolução pelo MED? Segundo o guia do Banco Central, o pedido pode ser aberto para Pix feito há até 80 dias. Mas não espere: a chance de recuperar diminui a cada hora, porque o dinheiro costuma ser repassado rápido.

O banco pode exigir boletim de ocorrência antes de abrir o MED? Para abrir o pedido, não. O guia do Banco Central diz que o banco deve registrar a recuperação logo após a reclamação, sem analisar o mérito nem pedir documentos nesse momento. Depois disso, ele pode pedir documentos para analisar o caso.

Fiz o Pix por vontade própria, enganado. Ainda assim posso ter direito? Pode, mas não é automático. Depois das decisões de 2026, o que define o caso é se houve falha do banco, como deixar passar transações muito fora do seu perfil. Cada caso precisa ser analisado com os extratos.

Banco digital e “maquininha” também respondem? Sim. O STJ já decidiu que instituições de pagamento respondem como os bancos tradicionais por falhas na identificação de transações suspeitas.

Vendi, recebi o Pix e o valor foi devolvido pelo MED. Posso contestar? Pode. Desde 1º de setembro de 2026, quem recebeu um Pix legítimo tem 80 dias, contados da data da devolução, para contestá-la. Reúna nota fiscal, conversas e comprovante de entrega.

Errei a chave do Pix. O MED resolve? Não. Erro de digitação não é fraude. O caminho é pedir a devolução a quem recebeu e, se não houver acordo, buscar a Justiça contra essa pessoa.