Em setembro de 2025, o Banco Central do Brasil editou as Resoluções BCB nºs 496, 503, 506 e 507, redesenhando pontos centrais do Pix. O pacote definiu com maior precisão quem pode participar e em quais condições, recalibrou limites de valor com base em risco efetivo, padronizou o tratamento de transações sob suspeita ou fundada suspeita de fraude e tornou mais rigoroso o regime sancionatório, com rito mais célere e multas proporcionais. Neste artigo, examino as principais mudanças introduzidas nesse ecossistema de pagamentos.
Quem pode participar do Pix
Antes das alterações introduzidas em setembro de 2025, parte do ecossistema operava com instituições de pagamento não autorizadas usando o Pix sem autorização plena do Banco Central. O resultado eram cronogramas de regularização dispersos – cada empresa com prazos e etapas próprios – e patrocínios assimétricos: players menores “pendurados” na infraestrutura de instituições maiores, com responsabilidades e controles desequilibrados entre quem provia o acesso e quem efetivamente transacionava.
Após a mudanças, todas as instituições de pagamento ainda sem autorização formal do Banco Central devem protocolar pedido de autorização até 1º/05/2026, sob pena de perda da condição de participante. O participante responsável – a instituição que conecta terceiros ao Pix e responde por segurança, conformidade e continuidade – passa a ser restrito a grupos de maior porte regulatório (os chamados S1-S4), com acesso direto ao sistema de pagamentos instantâneos (SPI), ficando vedada a função para cooperativas e confederações. Na prática, o modelo de patrocínio é reorganizado: quem “sustenta o acesso” assume deveres mais claros e rígidos, com linhas de responsabilidade sem ambiguidades e padrões uniformes de governança e gestão de riscos.
Limites de valor: de “espelhar TED” para “risco real”
Antes de setembro de 2025, muitos tetos de Pix ainda “espelhavam a TED” (transferência eletrônica disponível): por inércia, bancos e fintechs tomavam como referência os limites da transferência tradicional, sem avaliar tecnicamente o risco. Isso era pouco “aderente ao risco de cada cliente/situação”, pois aplicava-se um limite genérico, em vez de considerar sinais concretos como histórico, comportamento, dispositivo, horário, localização e valores atípicos.
Depois de setembro de 2025, os limites passam a ser baseados em risco (“risco real” é a probabilidade efetiva de fraude ou uso indevido naquele contexto específico). Em cenários de maior exposição – como instituições de pagamento não autorizadas e participantes que acessam a “RSFN” (Rede do Sistema Financeiro Nacional, malha de comunicação segura do BC) por meio de provedor de serviços de TI que intermedeia a conexão, – aplica-se teto de R$ 15 mil por transação.
Esse teto pode ser afastado se a instituição comprovar “segurança robusta com asseguração independente”, por meio de relatório de auditoria externa registrada na Comissão de Valores Mobiliários (CVM) atestando, entre outros pontos, que não compartilha chaves privadas do Pix com o provedor de serviços de TI, valida a integridade da transação antes da assinatura, usa certificados diferentes por ambiente e mantém certificados separados por função (um para assinar mensagens e outro para estabelecer o canal).
Chama a atenção o fato de pagamentos ao Tesouro Nacional (STN) e ao FGTS Digital ficarem fora desse teto por necessidade operacional, havendo dispensa temporária de até 90 dias se a empresa apresentar garantias e “medidas de segurança críveis” – como controles concretos, verificáveis e proporcionais ao risco, como autenticação forte, monitoramento antifraude em tempo real, segregação de funções e trilhas de auditoria – capazes de manter o risco residual aceitável enquanto se implementam os requisitos definitivos.
“Suspeita” e “fundada suspeita” para segurar ou bloquear
Antes de setembro de 2025, cada banco ou fintech definia sozinho o que era “suspeito” – qualquer indício genérico de risco, como valor atípico, horário incomum, dispositivo novo ou IP diferente – e “quando segurar” uma transferência pelo temporizador (30 minutos em horário comercial ou 60 minutos fora dele), o que gerava “decisões desiguais”: a mesma situação podia ser liberada em um lugar e bloqueada em outro.
Depois de setembro de 2025, o Banco Central passa a padronizar critérios mínimos sobre o que é “suspeita” (sinais iniciais que pedem verificação, sem evidência forte) e “fundada suspeita” (indícios consistentes de fraude, como vínculos com ocorrências anteriores, padrões típicos de golpe, reuso de dispositivos/IP marcados e inconsistências documentais), e também como agir em cada caso. Na suspeita, aplica-se a “espera para checagem” pelo temporizador, validando dados com o cliente e com o outro banco; na fundada suspeita, usa-se o “bloqueio” cautelar enquanto se investiga ou se aciona o mecanismo de devolução. O efeito prático é menos decisão no “olhômetro” e mais previsibilidade ao usuário: situações parecidas tendem a ter o mesmo tratamento, independentemente da instituição.
Marcação de fraude: da conta para o usuário (CPF/CNPJ)
Antes de setembro de 2025, a marcação de fraude – o rótulo que indica indício forte de fraude ligado a uma transação – recaía principalmente sobre a conta específica usada no episódio. Com isso, o fraudador podia “pular” para outra conta dentro do mesmo PSP (Participante do Sistema de Pagamentos, isto é, o banco ou fintech que oferece o Pix) e seguir operando sem sofrer o mesmo bloqueio.
Depois de setembro de 2025, a marcação passa a atingir o usuário (CPF/CNPJ) dentro do próprio banco/fintech que criou ou aceitou a notificação, barrando o uso do Pix em todas as contas dessa pessoa naquele PSP enquanto durar a marcação. A instituição ainda pode recusar novas chaves, portabilidade e reivindicação de posse durante o período. O ganho é de “higiene antifraude”: o sistema fica mais limpo e resistente à troca interna de contas, reduzindo a reciclagem de contas para golpes.
O alerta fica para os falsos positivos: se alguém for marcado por engano, o impacto é maior, pois atinge todas as contas do cliente no mesmo PSP. Por isso, a instituição deve oferecer revisão rápida – canal acessível, prazos curtos e checagem por área independente – e explicação clara ao cliente, indicando o motivo da marcação, as evidências utilizadas e o caminho para reverter eventuais erros.
Punições regulatórias: de “morno” para “rápido e graduado”
Antes de setembro de 2025, o catálogo de sanções era menos preciso: havia pouca diferenciação conforme a gravidade da falha e o porte da instituição, além de baixa pressão temporal para corrigir problemas. A partir de setembro de 2025, o regime torna-se rápido e graduado – rápido porque cria gatilhos de tempo e custo que repercutem logo; graduado porque a resposta escala segundo a gravidade e o porte. Reintroduz-se a advertência, como registro formal que dá chance de correção sem punição pesada, e a multa passa a ser calibrada pelo que ocorreu e por quem praticou, evitando “multinhas inofensivas” para players grandes.
Também surge a multa diária por descumprimento de determinação do Banco Central: se a instituição não cumpre a ordem no prazo, paga por dia de atraso (por até 60 dias), com valor proporcional ao tamanho. Persistindo o risco, admite-se suspensão cautelar – por exemplo, a interrupção temporária de acessos à base que guarda e gerencia as contas do PIX no Brasil (DCIT) – para proteger o sistema antes da decisão final. Em reincidências graves, pode haver exclusão do Pix, com quarentena de 60 meses para eventual retorno, condicionada à comprovação de que a causa foi sanada.
Em paralelo, criam-se incentivos à conformidade: quem corrige rápido pode obter desconto ao quitar a multa no prazo, sem recorrer, e, em situações específicas, pode haver dispensa de processo quando a falha foi cessada e os danos, reparados. Em suma, acabou o “morno”: errou, corrige logo; se corrige, custa menos; se não, o custo aumenta dia a dia, pode haver suspensão e, no limite, exclusão por anos.
O que isso significa para o usuário final?
Antes de setembro de 2025, já havia proteção contra a ocorrência de golpes, mas cada instituição aplicava critérios próprios e, em geral, os bloqueios ficavam restritos à conta usada na tentativa de fraude. Depois de setembro de 2025, o sistema ganha mais proteção e regras mínimas uniformes sobre quando segurar (temporizador de 30/60 minutos), quando bloquear e como devolver valores. O ponto sensível é o aumento do alcance do bloqueio: um erro de marcação pode afetar o CPF/CNPJ do usuário dentro daquele PSP, impactando todas as contas mantidas ali. O saldo é mais segurança e previsibilidade – transferências “estranhas” passam por checagem padronizada, e casos iguais tendem a receber respostas semelhantes entre bancos.
Em contrapartida, cresce a importância de lidar com falsos positivos com rapidez. Se uma transação legítima for retida por engano, solicite revisão imediata. O PSP deve oferecer canal ágil, informar o motivo da retenção ou da marcação e orientar sobre como comprovar a legitimidade (nota/fatura, comprovantes, identificação do recebedor). Se a retenção evoluir para bloqueio, acompanhe o protocolo, peça escalonamento quando necessário e, em último caso, leve o tema ao Banco Central e/ou ao consumidor.gov.br, juntando a documentação. Em suma: você ganhou proteção e previsibilidade; o risco é sentir maior impacto se houver erro – por isso, revisão rápida, explicação clara e resposta em curto prazo deixaram de ser gentileza e passaram a ser obrigação.
Conclusão: segurança com garantias?
Antes de setembro de 2025, o sistema já era eficiente, porém heterogêneo; depois, torna-se mais seguro, organizado e exigente. O rumo é correto, com um alerta essencial: bloqueios são medidas cautelares e devem ser aplicados com critério e por tempo estritamente necessário – não como sanção antecipada.
Para equilibrar segurança e direitos, três salvaguardas são inegociáveis: (i) adoção de critérios públicos e simples para distinguir “suspeita” de “fundada suspeita”; (ii) realização de revisão célere dentro do banco ou fintech, com decisão fundamentada ao cliente; e (iii) escala regulatória com prazos curtos quando o bloqueio interromper a vida da pessoa ou da empresa. Mantido esse equilíbrio, o Pix segue como case mundial: rápido, barato e seguro.
BRASIL. Banco Central do Brasil. Resolução BCB nº 496, de 5 set. 2025. Critérios para autorização de IPs participantes do Pix. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?numero=496&tipo=Resolução+BCB
BRASIL. Banco Central do Brasil. Resolução BCB nº 503, de 18 set. 2025. Ajustes nos limites máximos de valor para transações Pix. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?numero=503&tipo=Resolução+BCB
BRASIL. Banco Central do Brasil. Resolução BCB nº 506, de 26 set. 2025. Ajustes de governança, segurança e penalidades no Regulamento do Pix. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?numero=506&tipo=Resolução+BCB
BRASIL. Banco Central do Brasil. Resolução BCB nº 507, de 26 set. 2025. Aprova o Manual de Penalidades do Pix. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?numero=507&tipo=Resolução+BC
