Resolução divulgada em 18 de setembro dá sete dias para a instituição responder a um pedido de cancelamento da marca, obriga a guardar os fundamentos e fixa em cinco anos a permanência do registro. O dever de avisar a pessoa marcada, porém, só começa em 1º de fevereiro de 2027 — e não inclui o motivo.
Dois golpes diferentes estão circulando sob o mesmo nome. Num, o QR Code esconde um link e leva a um site falso. No outro, o QR é um pagamento e o destinatário foi trocado. O número que ganhou manchete mede só o primeiro — e a defesa de um não serve para o outro.
Um script injetado em lojas virtuais brasileiras troca o QR Code e o copia e cola do Pix no instante do pagamento, pelo valor exato da compra. Não há falha no Pix: a única defesa do pagador é o nome do recebedor que a norma do Banco Central obriga o aplicativo a mostrar — e é justamente esse nome que o comércio eletrônico tornou impossível de conferir.
A Revolut entregou documentos, selfies de verificação e extratos de clientes a quem escrevia de um endereço legítimo de um órgão de governo. O pedido era falso. No Brasil, a lei deixa a autoridade pedir dado cadastral sem juiz, e a exceção de urgência alarga essa porta. O que a regra brasileira limita, e o que ela não impede.
O Banco Central prometeu para 2026 a consulta que mostra se a sua chave Pix foi marcada como fraude — e avisou, na mesma coletiva, que ela não traria o motivo. Em setembro de 2026 não existe nem uma coisa nem outra. O relatório que existe tem um campo chamado "Situação", e ele responde outra pergunta.
A marcação pode nascer por decisão de uma instituição só, sem revisão de outro participante, sob um padrão que o Banco Central registrou por escrito ainda não ter definido em critérios objetivos. Ela circula por cinco anos entre todas as instituições — e o acesso ao endpoint que a expõe é vedado ao usuário final.
A norma que ampliou o prazo de contestação tem duas datas de vigência. A cobertura contou a primeira. Na segunda, a notificação de infração passa a dizer, obrigatoriamente, em que camada do grafo de rastreamento a transação está.
O Mecanismo Especial de Devolução tem seis prazos, e eles não têm o mesmo peso. Cinco são metas de nível de serviço, medidas por percentil. Um é prazo com consequência automática — e quem o perde é o PSP de quem foi fraudado.
O Banco Central vai incluir na notificação de infração a profundidade do salto em que cada transação se encontra no rastro da fraude. Layering deixa de ser invisível para quem recebe a notificação — e o problema do primeiro salto ganha um número.
A partir de 1º de setembro, o prazo para contestar uma transação de devolução do Pix sai de 30 para 80 dias. É a resposta de quem foi debitado por um MED que considera indevido — e cada decisão errada nessa cadeia tem um responsável nomeado pela norma.
Em julho, o STJ decidiu que o banco não responde automaticamente pelo golpe da falsa central. Nove meses antes, a mesma turma havia condenado. A contradição é aparente — o que mudou de lugar não foi o entendimento, foi o ônus da prova.