Pix sob pressão: 12 ataques em quatro meses e a nova lei das contas laranjas
Bancos brasileiros registraram 12 ataques ao ecossistema Pix nos primeiros quatro meses de 2026. Em resposta, a Lei 15.397/2026 passou a criminalizar o aluguel de contas e o MED 2.0 ampliou o rastreamento de recursos desviados.
Marcelo Alves de Souza, coordenador da Comissão de Prevenção a Fraudes da ABBC, revelou que o sistema financeiro brasileiro registrou 12 ataques cibernéticos ligados ao ecossistema Pix apenas entre janeiro e abril de 2026 — uma média de três por mês. O dado sintetiza a corrida entre defesa e ataque em torno do meio de pagamento mais usado do país.
Do lado da fraude, o elo mais explorado é a conta laranja: contas de terceiros "alugadas" para receber e pulverizar o dinheiro desviado, dificultando o rastreamento. A resposta legislativa veio com a Lei 15.397/2026, sancionada em 30 de abril, que pela primeira vez tipifica o aluguel de contas bancárias para movimentação de recursos ilícitos; os bancos passam a aplicar bloqueios progressivos de acesso ao sistema financeiro a quem empresta a conta. Do lado da detecção, as instituições usam IA para avaliar em tempo real perfil do cliente, horário, geolocalização e CPF de destino — mas os fraudadores empregam a mesma tecnologia, num ciclo contínuo de escalada.
O Banco Central endureceu as exigências sobre participantes do Pix, com multas que chegam a R$ 50 milhões, e ampliou o Mecanismo Especial de Devolução na versão MED 2.0, capaz de rastrear recursos por até cinco instituições financeiras na cadeia de lavagem. A Brasscom projeta que o Brasil investirá cerca de R$ 105 bilhões em prevenção a fraudes e cibersegurança até 2028.
O episódio importa porque mostra que a defesa do Pix deixou de ser só técnica e passou a combinar regulação, lei penal e analítica de risco. Para o consumidor, a lição é direta: emprestar a conta — mesmo "só para receber um valor" — deixou de ser favor e virou crime, e é justamente esse elo humano que sustenta a maior parte das fraudes instantâneas.