Tempo de leitura: 8 min · Publicado em 05/09/2026
Em regra, sim: quando a data ou o destinatário de um Pix agendado são alterados sem o consentimento do titular da conta — geralmente por meio de malware, aplicativo de acesso remoto instalado por engenharia social, ou invasão do dispositivo ou da conta bancária —, trata-se de uma transação não autorizada, e não de um erro do próprio correntista. Nesses casos, a responsabilidade objetiva do banco de origem por falha de segurança tende a se aplicar, dando à vítima o direito de acionar o Mecanismo Especial de Devolução (MED) e, se necessário, buscar reparação judicial com base no art. 14 do Código de Defesa do Consumidor.
Como esse golpe costuma se estruturar
Diferente de um golpe de engenharia social clássico, em que a própria vítima é convencida a digitar a chave Pix do golpista e autorizar a transferência, esse esquema explora justamente o intervalo de tempo entre o agendamento do pagamento e sua efetiva liquidação. O criminoso obtém acesso ao dispositivo ou à conta bancária da vítima — por meio de aplicativos de acesso remoto instalados sob pretexto de suporte técnico, de malware bancário capturado por links maliciosos, ou de credenciais obtidas em vazamentos de dados — e, com esse acesso, altera silenciosamente a chave Pix de destino ou a data de um pagamento que a própria vítima já havia agendado legitimamente (como o pagamento de um boleto, de um fornecedor ou de uma conta recorrente), redirecionando o valor para uma conta controlada pelo golpista no momento em que a transação é processada.
Em outra variação do mesmo golpe, o criminoso se aproveita de um pagamento programado corporativo (folha de fornecedores, por exemplo) comprometendo o e-mail ou o sistema de gestão financeira da empresa pagadora para substituir a chave Pix cadastrada para aquele fornecedor específico, de forma que o pagamento agendado, no dia certo e pelo sistema correto, seja simplesmente direcionado para a conta errada sem que ninguém perceba até a conciliação bancária.
Por que esse golpe é juridicamente diferente do golpe do comprovante falso
É importante distinguir esse esquema (alteração da data ou do destinatário de um pagamento que a própria vítima programou) do golpe em que um vendedor é enganado por um comprovante de Pix falso ou por um agendamento cancelado pelo próprio golpista antes da liquidação — nesse segundo caso, quem sofre o prejuízo é quem deveria receber o valor, e o banco normalmente não responde, porque não houve falha de segurança de seu sistema. Já quando a alteração do destinatário ou da data ocorre sem o conhecimento e o consentimento do próprio titular da conta pagadora, a situação se aproxima muito mais das fraudes por invasão de conta ou por engenharia social com controle remoto do dispositivo, hipóteses em que a responsabilidade do banco de origem tende a ser reconhecida.
A responsabilidade objetiva do banco por falhas de segurança
A jurisprudência brasileira, com base no art. 14 do Código de Defesa do Consumidor, já consolidou o entendimento de que os bancos respondem objetivamente pelos danos decorrentes de fraudes praticadas em suas plataformas quando essas fraudes decorrem de falha na prestação do serviço — como ausência de mecanismos adequados de detecção de transações atípicas (mudança abrupta na chave de destino de um pagamento recorrente e já cadastrado, por exemplo, é um padrão que sistemas antifraude deveriam sinalizar) ou vulnerabilidades que permitem acesso remoto não autorizado à conta do cliente. A alegação genérica de que “o cliente forneceu acesso ao próprio celular” não afasta, por si só, a responsabilidade do banco, quando a instituição não demonstra ter adotado sistemas de monitoramento compatíveis com o risco da atividade bancária, especialmente digital.
O papel do banco destinatário e o dever de conhecer seu cliente (KYC)
Além da responsabilidade do banco de origem, discute-se também a responsabilidade do banco que recebeu o valor desviado (o “banco destinatário”), sob o fundamento de que a Resolução CMN nº 4.753/2019 exige das instituições financeiras a verificação adequada da identidade de seus clientes e de quem efetivamente movimenta cada conta. Decisões judiciais recentes (como no processo TJ-SP nº 1013455-64.2024.8.26.0037) têm reconhecido que a falha do banco destinatário em verificar adequadamente a abertura e a movimentação de contas usadas para receber valores de golpes contribui para a consumação da fraude, o que pode gerar responsabilidade solidária desse banco pelo prejuízo da vítima, ao lado do banco de origem.
O Mecanismo Especial de Devolução (MED) como primeira via de recuperação
Identificado o golpe, o primeiro passo prático é acionar o MED junto ao banco de origem, mecanismo que permite o bloqueio cautelar dos valores ainda existentes na conta de destino, dentro de um procedimento com prazo determinado, antes mesmo de qualquer decisão judicial. A efetividade do MED depende, sobretudo, da rapidez com que a vítima identifica a fraude e aciona o banco — quanto mais cedo a comunicação, maior a chance de o valor ainda estar disponível na conta de destino, já que golpistas costumam pulverizar rapidamente os valores recebidos entre múltiplas contas para dificultar o rastreamento.
Perguntas frequentes
Como posso saber se o destinatário do meu Pix agendado foi alterado sem minha autorização?
O sinal mais comum é a divergência entre o nome ou a instituição do destinatário exibido na confirmação do agendamento original e o que aparece no comprovante final da transação após a liquidação. Conferir periodicamente pagamentos agendados recorrentes, especialmente de valores maiores, ajuda a identificar essa alteração antes que ela se repita em meses seguintes.
O banco pode alegar que eu mesmo autorizei a transação porque ela aparece como concluída no meu extrato?
O simples registro da transação no extrato não comprova, por si só, que o titular consentiu com a alteração do destinatário. Cabe ao banco demonstrar que adotou as medidas de segurança compatíveis com o risco da atividade para impedir esse tipo de fraude, sob pena de responder objetivamente pelo dano, conforme o art. 14 do CDC.
Empresas que tiveram pagamentos a fornecedores desviados por esse esquema têm a mesma proteção que consumidores pessoas físicas?
A relação entre empresa e banco também costuma ser tratada como relação de consumo para esse efeito, especialmente quando a empresa utiliza os serviços bancários como destinatária final, sem repassar o custo do serviço a terceiros. Ainda assim, empresas devem reforçar seus próprios controles internos de segurança de e-mail e de sistemas financeiros, já que falhas internas da própria empresa (e não do banco) também podem ser apontadas como causa do desvio.
Quanto tempo tenho para acionar o MED depois de identificar a fraude?
O MED deve ser acionado o quanto antes, idealmente nas primeiras horas após a identificação da fraude, já que sua eficácia depende diretamente da existência de saldo ainda disponível na conta de destino no momento do bloqueio cautelar solicitado pelo banco de origem.
Se o valor já foi totalmente retirado da conta de destino antes do MED, ainda tenho alguma chance de recuperação?
Sim, ainda que mais difícil. Nesse cenário, a via judicial contra o banco de origem (por falha de segurança) e, eventualmente, contra o banco destinatário (por falha na verificação da conta usada pelo golpista) passa a ser o caminho principal, já que a recuperação direta do valor pelo mecanismo administrativo se torna inviável.
Instalar um antivírus no celular já é suficiente para evitar esse tipo de golpe?
Ajuda, mas não é suficiente isoladamente. A maior parte desses golpes explora a instalação voluntária, ainda que induzida por engenharia social, de aplicativos de acesso remoto legítimos (usados para suporte técnico), que não são necessariamente detectados como maliciosos por um antivírus comum. A prevenção mais eficaz é a desconfiança em relação a qualquer solicitação de instalação de aplicativo de acesso remoto por telefone ou mensagem.
Agir rapidamente e reunir provas técnicas é essencial
Diante da suspeita de alteração não autorizada de um pagamento agendado, reunir prints da tela de agendamento original (se ainda disponíveis), do comprovante final divergente, do histórico de instalação de aplicativos no dispositivo e de qualquer comunicação suspeita recebida antes do incidente é fundamental tanto para acionar o MED quanto para sustentar eventual ação judicial contra o banco de origem ou o banco destinatário.
