Pix, RCS e remetente verificado: a fraude virou conversa

Existe um deslocamento silencioso na segurança financeira brasileira que já mudou tudo, e que a maior parte das empresas ainda trata como problema de TI: a fraude parou de invadir sistemas e passou a convencer pessoas.

Não é falta de esforço criminoso. É economia. Invadir um banco brasileiro exige capacidade técnica cara e escassa, contra um alvo que investe pesado em defesa. Convencer alguém a fazer um Pix custa uma ligação. O sistema não é burlado — ele é usado exatamente como foi projetado, pela pessoa errada, no momento errado.

Isso empurra a defesa para um lugar desconfortável: o canal de conversa. E é aí que Pix, RCS e verificação de identidade se encontram.

A tese em uma frase: quando a fraude migra do sistema para a pessoa, a superfície de ataque vira a comunicação — e a disputa deixa de ser sobre criptografia e passa a ser sobre quem consegue provar que é quem diz ser, antes de a vítima decidir.

Fraude em pagamento instantâneo: três países, três apostas

Essa comparação praticamente não existe em português, e ela organiza o assunto melhor do que qualquer descrição isolada do Pix.

Reino Unido: o banco devolve, e depois se vira

O regime britânico de reembolso obrigatório em fraude APP (Authorised Push Payment, o pagamento que a própria vítima autoriza sob engano) determina que a instituição ressarça a vítima, com o custo repartido entre os bancos envolvidos.

O que protege: a vítima, incondicionalmente. Não há discussão sobre quem foi mais ingênuo.

O que custa: o sistema paga a conta, e o custo eventualmente volta em tarifa. Há também a objeção de risco moral — se a devolução é garantida, parte do incentivo à cautela se perde. É uma objeção real e difícil de medir.

Índia: atrasar para poder cancelar

O Banco da Reserva da Índia estuda impor atraso de uma hora em certas transações do UPI, com débito provisório e janela para o usuário cancelar se perceber a fraude.

O que protege: previne em vez de remediar, que é sempre mais eficiente.

O que custa: o produto. O UPI processa uma escala colossal — as transações de pagamento instantâneo na Índia passaram de cerca de 525 milhões em 2016 para uma estimativa de 294 bilhões em 2026 — e boa parte do valor está em ser imediato. Introduzir espera é mexer no que fez o sistema funcionar. Além disso, só ajuda quem percebe o golpe dentro da janela, e a maioria percebe depois.

Brasil: preservar o instantâneo e correr atrás

O MED (Mecanismo Especial de Devolução) é acionado pela vítima junto ao próprio banco, que comunica a instituição do recebedor para bloquear o que ainda houver na conta. Confirmada a fraude, a devolução ocorre em até 96 horas — do que restar.

O que protege: o produto. O Pix continua instantâneo e sem custo automático embutido.

O que custa: a taxa de recuperação. Golpista competente pulveriza o valor em minutos, e o MED original só alcançava o primeiro salto.

É exatamente aí que entra o MED 2.0, previsto na Agenda Regulatória 2025–2026 do Banco Central: acelerar o bloqueio e rastrear o dinheiro através de várias contas até o destino final. Junto vieram exigências mais duras de segurança e governança — incluindo limite de R$ 200 por transação e R$ 1.000 por dia em dispositivos não cadastrados, medida que ataca a etapa do golpe em que o criminoso opera de um aparelho novo.

Para dimensionar o problema: as perdas com fraude APP são projetadas em US$ 5,25 bilhões somando EUA, Reino Unido e Índia em 2026.

A leitura

O Brasil escolheu proteger o produto; o Reino Unido escolheu proteger o consumidor. São escolhas legítimas e opostas, e vale saber que foi uma escolha — não uma consequência técnica inevitável, como às vezes se apresenta.

Minha objeção ao modelo brasileiro não é o desenho, é a assimetria de esforço: recuperar exige que a vítima aja rápido, entenda o que aconteceu e acione o canal certo, num momento de pânico. Quem tem menos letramento financeiro recupera menos. Isso é regressivo, e o MED 2.0 melhora o rastreamento sem tocar nesse ponto.

A camada de canal: por que RCS entrou na conversa

Se o golpe começa numa mensagem que finge ser do banco, uma defesa óbvia é tornar difícil fingir.

É o que o RCS Business Messaging propõe. Diferente do SMS, onde o nome do remetente é praticamente um campo livre, no RCS a identidade da empresa é verificada pela operadora num processo de onboarding, e a mensagem chega com logo, nome e cores corporativas certificados pela rede.

Os números explicam a adoção: 88% dos consumidores confiam mais numa mensagem exibida com selo de empresa verificada; 49% das instituições financeiras já usam RCS e 45% planejam adotar; e a receita global de RCS para empresas deve alcançar US$ 2 bilhões em 2026, rumo a US$ 6,5 bilhões em 2030.

O que isso resolve: falsificação do remetente. Fica muito mais difícil disparar uma mensagem que se passe pelo seu banco.

O que isso não resolve, e é preciso dizer:

• O golpe por telefone. O falso funcionário que liga não usa RCS. Continua funcionando exatamente igual.
• A mensagem legítima que induz. Se o criminoso convence a vítima por outro canal e ela mesma inicia o Pix, nenhuma verificação de remetente atua.
• O aprendizado do selo. Quando o usuário se acostuma a confiar no selo, um canal sem selo passa a parecer suspeito — o que é bom — mas o usuário também passa a confiar menos no próprio julgamento e mais no símbolo. Símbolo, historicamente, acaba imitado.

RCS é camada de autenticidade do canal, não proteção do usuário. Confundir as duas coisas é como achar que o cadeado do HTTPS significa que o site é honesto.

Onde a rede das operadoras entra

A peça que fecha o desenho é a verificação vinda da própria infraestrutura móvel, que já detalhei no post sobre Open Gateway.

Três APIs atacam pontos distintos do mesmo golpe:

• SIM Swap — denuncia troca recente de chip antes de autorizar operação sensível. É a defesa direta contra o sequestro de linha, tema do post sobre SIM swap e OTP por SMS.
• Number Verification — confirma a titularidade pela conexão móvel, sem código para interceptar.
• Device Location — confere se o aparelho está mesmo na região declarada, o que GPS falsificado não engana.

E a próxima leva anunciada mira exatamente o golpe da conversa. O Scam Signal sinaliza indícios de que a vítima está numa ligação com golpista no exato momento da transação — é a tentativa mais direta de atacar o falso funcionário do banco, o golpe mais comum e mais difícil do Brasil.

Vale a ressalva crítica: isso significa a rede inferindo o estado da chamada do usuário para alimentar uma decisão bancária. É defensável — e precisa de transparência sobre o que exatamente é observado, sob pena de resolver fraude criando um problema de privacidade.

O que a sua empresa deveria fazer

Mesmo que você não seja banco, a sua marca pode ser o disfarce do golpe. Cinco medidas concretas:

1. Padronize o canal e publique. De quais números e domínios a sua empresa fala? Publique isso numa página fixa e nunca varie. Um cliente que sabe que você só usa um número tem como desconfiar do resto.
2. Nunca peça código, senha ou confirmação de dado sensível por mensagem. E diga isso na própria mensagem. Empresas que fazem isso treinam seus clientes de graça.
3. Adote remetente verificado onde houver. Se você envia volume relevante, RCS verificado reduz a viabilidade de alguém se passar por você.
4. Trate vazamento de cadastro como risco de fraude, não só de conformidade. A lista de clientes vazada é a matéria-prima do golpe personalizado — e o post sobre LGPD para PMEs cobre a obrigação de comunicar.
5. Treine o time contra engenharia social. A maior parte dos golpes que usam a sua marca começa com alguém convencido a repassar informação. É território de phishing e vale mais do que qualquer ferramenta.

O ponto que fica

A infraestrutura de pagamento brasileira é tecnicamente excelente, e o Pix é um caso de sucesso mundial. Nada disso protege alguém que foi convencido a apertar o botão.

Por isso a fronteira se moveu para um lugar mais difícil de defender: a conversa. Verificação de remetente, APIs de rede e sinais de contexto elevam o custo do disfarce, e são a resposta certa. Mas continuam sendo defesa de canal — e o golpe que funciona por telefone, com uma história convincente e um senso de urgência, atravessa todas elas.

A única camada que cobre esse último metro ainda é humana: a pessoa que desliga e liga de volta para o número oficial. Enquanto a indústria constrói o resto, é isso que vale ensinar — para o cliente e para o time.