Brasil endurece regras do Pix

O Banco Central do Brasil endureceu o marco antifraude e de segurança do Pix, mas o usuário final regularizado não deve perceber mudanças operacionais. Transferências, uso de chaves, pagamentos com QR Code e as demais operações continuarão funcionando normalmente, enquanto o impacto fica concentrado nas instituições que não se adaptarem às novas exigências.

Mais peso para o risco cibernético

Segundo reportagens da imprensa, o Banco Central passará a tratar o risco cibernético com o mesmo peso regulatório dado a capital e liquidez. Na prática, isso abre espaço para a suspensão ou limitação preventiva da atuação de bancos e fintechs no Pix quando forem identificadas vulnerabilidades relevantes.

A medida surge como resposta a perdas estimadas em mais de R$ 1,5 bilhão com ataques registrados nos últimos 12 meses. Nesse contexto, o regulador também avalia um modelo de acesso diferenciado ao sistema, de acordo com o nível de segurança de cada instituição.

As entidades com padrões elevados manteriam acesso total. Já as que apresentarem controles considerados insuficientes poderiam operar com restrições de valor, de horário e de capacidade para registrar novas chaves. Nos casos mais graves, o sistema prevê suspensão total.

Auditorias, reportes e controles prévios

O endurecimento regulatório também se apoia em auditorias mais rígidas e no aumento da obrigação de reportar incidentes de segurança digital ao Banco Central, inclusive eventos que antes eram tratados como menores. Segundo as coberturas citadas, quando uma supervisão identificar irregularidades, as instituições poderão passar por novas rodadas de auditoria antes de permanecer no Pix.

Em paralelo, o reforço do marco antifraude inclui a obrigatoriedade de consultar o sistema BC Protege+ antes de abrir contas ou incluir titulares e representantes. Esse controle permite que cidadãos restrinjam preventivamente a abertura de contas em seu nome. A consulta deverá ser contínua, 24 horas por dia, 7 dias por semana, e passa a ser obrigatória em 1º de dezembro de 2025.

Regime de acesso mais restritivo

Outras reportagens indicam que o Banco Central pretende impor limites de horário, dias e valores, além de bloquear o registro de novas chaves e restringir funcionalidades para instituições que descumprirem requisitos mínimos de cibersegurança ou apresentarem fragilidades relevantes. Essas medidas podem ser adotadas antes de uma eventual exclusão definitiva do sistema.

A cobertura jornalística também atribui a mudança regulatória aos ataques hackers registrados em 2025 contra PSTIs e outros intermediários do sistema. Segundo essas notas, os episódios geraram prejuízos milionários e levaram o Banco Central a deixar claro na regulamentação que a supervisão pode adotar medidas preventivas rápidas, como limitar transações, horários e o cadastro de novas chaves, quando uma instituição representar risco para a segurança do sistema financeiro.