Uma ligação de número desconhecido, sua filha chorando do outro lado, dizendo que bateu o carro e precisa de R$ 1.800 agora, e um Pix já digitado esperando confirmação. A voz é dela. O timbre, a respiração, o jeito de falar. E não é ela.

Se isso acabou de acontecer com você, pule direto para a próxima seção. Se ainda não aconteceu, leia até o fim: a defesa mais eficaz contra esse golpe custa zero e leva vinte minutos para montar.

• Poucos segundos de áudio bastam. Pesquisas de segurança apontam que cerca de três segundos de voz já produzem um clone convincente. Um story, um áudio de WhatsApp encaminhado, uma ligação muda que caiu sozinha.

• O padrão é sempre o mesmo: voz conhecida, justificativa emocional e janela de tempo curta. Se os três aparecerem juntos, é golpe até prova em contrário.

• Você tem até 80 dias para contestar um Pix por fraude no MED, mas a chance real de reaver o dinheiro cai a cada minuto, porque depende de o valor ainda estar na conta do criminoso.

• Existe um prazo curto que quase ninguém conhece: o rastreio ampliado do Banco Central exige comunicação da fraude em até 10 dias e transação acima de R$ 200.

• A defesa preventiva é uma palavra-código combinada com a família. Nenhuma IA descobre uma palavra que nunca foi digitada em lugar nenhum.

Se o Pix já saiu: os primeiros 60 minutos

Ordem importa aqui. Não é hora de entender o golpe, é hora de tentar congelar o dinheiro antes que ele seja pulverizado em outras contas.

Dos 0 aos 5 minutos: abra o app do seu banco

1. Abra o aplicativo da instituição de onde saiu o Pix e procure a área Pix, depois a opção de contestação, reclamação ou "não reconheço esta transação". As regras atuais do MED exigem que a vítima consiga registrar o pedido de devolução direto no app, sem depender de atendente.

2. Se não encontrar a opção em até dois minutos de navegação, ligue para a central e diga a frase exata que está na seção do roteiro mais abaixo. Não perca tempo tentando adivinhar o menu.

3. Não ligue de volta para o número que fez o contato. Não responda à mensagem. Não avise o golpista que você percebeu, porque isso acelera a retirada do dinheiro.

Dos 5 aos 30 minutos: junte as provas enquanto elas existem

1. Print do comprovante do Pix, com data, hora, valor, chave de destino e nome completo do recebedor.

2. Print da conversa inteira, sem cortes. Se foi áudio, salve o arquivo de áudio original, não só o print da tela. Esse arquivo é a peça técnica mais valiosa que você tem.

3. Registro da chamada: número, horário, duração. Se o telefone gravou, exporte o arquivo.

4. Anote o que foi dito, em ordem, ainda com a memória fresca. Em duas horas você já não lembra dos detalhes.

Dos 30 aos 60 minutos: registre o boletim de ocorrência

Faça pela delegacia eletrônica do seu estado, que aceita registro online em quase todo o país. O BO não é burocracia decorativa: ele é o documento que sustenta a contestação no banco, que embasa eventual ação judicial e que entra na estatística que faz o Banco Central apertar as regras.

Depois disso, ligue para a pessoa cuja voz foi clonada, no número salvo na sua agenda, e avise. Ela precisa saber que a voz dela está circulando e que outras pessoas da família podem ser alvo nas próximas horas.

Quanto mais urgente a história, maior a probabilidade de ser falsa. Urgência não é sinal de emergência, é ferramenta de trabalho do golpista.

Os prazos do MED que decidem se você recebe o dinheiro de volta

O Mecanismo Especial de Devolução é o caminho oficial do Banco Central para tentar reverter um Pix feito sob fraude. Ele não é um botão de cancelar. É um processo com prazos, e conhecer esses prazos muda o resultado.

• Até 80 dias corridos após a transação para registrar a contestação por fraude, golpe ou crime. Esse é o limite legal, não a recomendação. A recomendação é minutos.

• Até 7 dias para a instituição analisar o caso. Durante a análise, o valor pode ficar bloqueado na conta de quem recebeu.

• Até 96 horas para efetivar a devolução, contadas da confirmação da fraude. A instituição recebedora tem até 24 horas para cumprir a solicitação de devolução.

• Até 11 dias de rastreio entre instituições, alcançando o dinheiro em até cinco transferências em cadeia. Essa funcionalidade veio da Resolução BCB nº 493 e passou a ser obrigatória em fevereiro de 2026.

• Até 10 dias e acima de R$ 200: os dois critérios para o rastreio ampliado do Banco Central ser acionado. Fora disso, o tratamento fica restrito à sua própria instituição, sem o rastreamento em cadeia.

• Até 90 dias de monitoramento da conta do recebedor. Se não houver saldo agora, novos bloqueios podem ocorrer conforme entrar dinheiro nessa conta.

Guarde o número do protocolo da contestação. Se o banco negar sem explicação, o Banco Central mantém canal próprio para registro de reclamação contra a instituição, e esse registro pesa.

Regras de Pix mudam com frequência. Confira sempre os prazos vigentes nos documentos oficiais que deixei no fim do post antes de tomar qualquer decisão.

Por que esse golpe funciona tão bem

Trabalho com sistemas de pagamento e a parte que mais me incomoda não é a tecnologia de clonagem. É o quanto ela é banal. O que há uma década exigia estúdio, dados e conhecimento técnico hoje roda em serviço web com interface de arrastar e soltar.

O criminoso monta o cenário em três camadas:

1. Coleta. Suas redes sociais entregam nome dos filhos, cidade, carro, rotina de viagem, escola, apelidos de família. O áudio da voz vem de um story, de um vídeo falando para a câmera ou de uma ligação que ninguém atendeu direito.

2. Contexto. A história não é genérica. Ela usa o nome certo, o local certo e um evento plausível. O golpe de 2026 não começa com erro de português, começa com informação verdadeira sobre você.

3. Compressão de tempo. A voz familiar derruba sua defesa cognitiva e a urgência impede a verificação. É essa combinação que funciona, não o realismo do áudio isoladamente.

Os 4 testes que ainda funcionam durante a ligação

Detector de áudio por IA não serve aqui, porque você não tem tempo de rodar nada. O que funciona é protocolo humano.

• Desligue e ligue de volta pelo número da sua agenda. Esse é o teste que resolve 90% dos casos. Se a pessoa atender, acabou. Se cair na caixa postal, ligue para outro familiar próximo antes de qualquer transferência.

• Peça a palavra-código. Se a família tem uma, este é o momento. Golpista não improvisa uma palavra que não está em nenhum lugar da internet.

• Faça uma pergunta de memória compartilhada, não de dado público. "Onde a gente almoçou no meu último aniversário?" funciona. "Qual o nome do meu cachorro?" não funciona, porque está no Instagram.

• Force a interação fora do roteiro. Peça para a pessoa ligar em vídeo e passar a mão na frente do rosto, ou peça para ela repetir uma frase estranha e específica. Áudio sintético em tempo real trava, atrasa ou responde em desalinho.

A palavra-código: a defesa mais barata que existe

Essa é a parte do post que eu queria que você fizesse hoje, não amanhã. Uma palavra combinada resolve um problema que nenhuma tecnologia de detecção resolve bem.

Como combinar do jeito certo

• Escolha algo sem relação com a família. Não use nome de pet, cidade natal, time, apelido ou data. Prefira algo aleatório e concreto, tipo "abacaxi de plástico".

• Combine pessoalmente ou por chamada de voz que você iniciou. Nunca por mensagem escrita, e nunca por e-mail.

• Não escreva em nenhum lugar digital. Sem bloco de notas, sem grupo de família, sem gerenciador de senhas compartilhado.

• Crie a regra explícita: nenhum pedido de dinheiro por telefone, áudio ou mensagem é atendido sem a palavra. Nenhum. Nem em emergência.

• Treine com quem tem mais risco. Pais e avós são o alvo preferencial, porque respondem mais rápido ao vínculo afetivo e verificam menos.

O roteiro exato para usar com o banco

Atendimento de banco trabalha por classificação. Se você contar a história emocional, o caso pode ser registrado como "transferência autorizada pelo cliente" e morrer ali. Diga isto, nesta ordem:

"Fui vítima de fraude com uso de voz clonada por inteligência artificial. Quero registrar contestação de Pix pelo Mecanismo Especial de Devolução, o MED, e solicitar o bloqueio cautelar do valor na conta do recebedor. Me informe o número do protocolo."

Depois complemente com data, hora, valor, chave de destino e nome do recebedor, e informe que tem BO registrado e o arquivo de áudio salvo. Se o atendente disser que não é possível porque você autorizou a transação, peça para registrar a contestação formalmente de qualquer forma e anote nome e protocolo. A recusa registrada vale mais do que a recusa verbal.

Blindagem em 20 minutos, hoje

Quatro ajustes que reduzem drasticamente o valor máximo que um golpe consegue arrancar de você:

1. Reduza o limite de Pix noturno e o limite diário. Quase todo golpe de urgência acontece fora do horário comercial. Um teto baixo transforma um prejuízo de R$ 5.000 em um prejuízo de R$ 500.

2. Ative a verificação em duas etapas do WhatsApp e nunca repasse código recebido por SMS, nem para "funcionário do banco".

3. Feche o perfil das redes sociais e revise o que já está público, especialmente vídeos em que você ou seus filhos falam para a câmera. Esse é o material bruto do clone.

4. Acompanhe seus lançamentos com frequência. Fraude descoberta em 10 dias tem tratamento diferente de fraude descoberta em 60. Eu uso o meu próprio sistema para isso, o Controle, justamente porque conferir cada entrada e saída de olho no extrato do banco é o tipo de tarefa que a gente sempre deixa para depois.

O erro que eu vejo mais gente cometer

Não é cair no golpe. É o silêncio depois. A vítima sente vergonha, acha que foi ingênua, não conta para ninguém e não registra nada. Aí perde o prazo de 10 dias do rastreio ampliado, perde o bloqueio cautelar e perde o dinheiro.

Cair nesse golpe não é falta de inteligência. É reação normal de um cérebro que ouviu a voz de alguém que ele ama pedindo socorro. A tecnologia foi construída exatamente para explorar isso.

O que fazer agora

Escolha uma palavra-código, mande uma mensagem no grupo da família chamando todos para uma ligação de cinco minutos e combine a regra: pedido de dinheiro sem a palavra é recusado, sempre, sem exceção. Depois abra o app do seu banco e derrube o limite de Pix noturno.

Se você desenvolve sistemas ou toca o financeiro de uma empresa, vale aplicar a mesma lógica no processo interno: nenhuma transferência é liberada por áudio, por vídeo ou por mensagem de diretor, só por procedimento com dupla confirmação em canal separado. É o mesmo golpe, com nota fiscal.

Vou continuar publicando material prático sobre segurança digital e pagamentos aqui no blog, sempre com passo a passo e prazo real, não com aviso genérico de "tome cuidado".

Perguntas frequentes

Dá para cancelar um Pix depois de enviado?

Não. O Pix é liquidado na hora e não tem cancelamento. O que existe é a contestação pelo MED, que pode bloquear e devolver o valor se ele ainda estiver na conta do recebedor. Por isso a velocidade da reação importa mais do que qualquer outra coisa.

Quanto tempo tenho para pedir a devolução de um Pix feito em golpe?

O limite formal é de 80 dias corridos após a transação para registrar a contestação por fraude. Mas existe um prazo prático bem mais curto: o rastreio ampliado do Banco Central, que persegue o dinheiro em até cinco transferências, exige comunicação em até 10 dias e valor acima de R$ 200.

O banco é obrigado a devolver meu dinheiro?

Não automaticamente. A instituição analisa o caso em até 7 dias e a devolução depende de haver saldo bloqueável e de o caso se enquadrar nas regras do MED. Quando a fraude decorre de falha de segurança do próprio banco, a discussão muda de patamar e costuma ir para a esfera judicial, com decisões que variam. Registre tudo, guarde protocolos e procure orientação jurídica se o valor for relevante.

Quantos segundos de áudio o criminoso precisa para clonar uma voz?

Pesquisas de segurança apontam algo em torno de três segundos para gerar um clone convincente. Na prática, qualquer story, áudio de WhatsApp encaminhado ou vídeo curto falando para a câmera é material suficiente.

Existe aplicativo que detecta se o áudio é falso na hora da ligação?

Não de forma confiável e em tempo real para o usuário comum. Detectores de áudio sintético trabalham com probabilidade, erram nos dois sentidos e não servem para decidir em trinta segundos com o telefone na orelha. O protocolo humano, desligar e ligar de volta pelo número da agenda, continua sendo a defesa mais eficaz.

Recebi um Pix por engano de um parente. Como devolvo?

Pela própria função de devolução no app, disponível por até 90 dias contados da transação original, com possibilidade de devolução total ou parcial. Se a origem foi falha operacional da instituição, o prazo de solução é bem mais curto, na casa de 24 horas.

Fontes oficiais

• Guia de implementação dos procedimentos de devolução no Pix, com ênfase no MED (Banco Central)

• FAQ de Participantes do Pix (Banco Central)