Resolução 587/2026: suspeita de fraude no Pix e o CPF

O sistema Pix acaba de ganhar um novo mecanismo de defesa contra fraudes — e ele mexe diretamente com a vida financeira de quem usa o pagamento instantâneo no dia a dia.

A Resolução BCB nº 587, editada pelo Banco Central em setembro de 2026, criou uma trava adicional para tentar sufocar contas usadas em golpes: agora, uma suspeita de fraude registrada por uma instituição financeira pode ficar vinculada ao CPF ou ao CNPJ do titular por um prazo que chega a cinco anos.

Na prática, a mudança é significativa. Antes, quando um banco identificava movimentação suspeita, o registro daquela ocorrência ficava, em regra, restrito ao próprio banco. Se o golpista abrisse uma nova conta em outra instituição, começava do zero. Com a nova regra, a marcação passa a acompanhar o número do documento — e não apenas a conta — dentro do ecossistema do Pix. Um alerta gerado em uma fintech pode ser considerado por um banco tradicional quando o mesmo CPF pedir uma nova relação bancária, por exemplo.

A lógica beneficia quem nunca se envolveu em fraude: menos golpistas em circulação, menos contas laranjas ativas e mais chance de o dinheiro do golpe ser bloqueado antes de sumir.

Mas a mesma lógica gera um risco real para o cidadão comum: um marcador equivocado — feito por engano, por erro de sistema ou por um golpe em que a própria vítima foi usada — pode dificultar sua vida bancária pelos próximos anos.

Neste guia, você vai entender o que a resolução determina, como o histórico funciona, quem tem acesso a ele, o que fazer se seu CPF ou CNPJ for marcado sem razão e como reduzir o risco de cair em uma armadilha que suje seu nome.

O que muda com a Resolução BCB nº 587/2026 no Pix

A norma editada pelo Banco Central em setembro de 2026 aperta as regras de prevenção a fraudes no arranjo de pagamentos instantâneos. Em vez de tratar cada suspeita como um evento isolado dentro de uma única instituição, a resolução passa a exigir que as informações sobre indícios de fraude circulem de forma padronizada entre os participantes do Pix, sempre associadas ao CPF ou ao CNPJ do titular envolvido.

O ponto mais sensível é o prazo. O registro de uma suspeita — não de uma fraude confirmada, mas de uma suspeita — pode permanecer vinculado ao documento do titular por até cinco anos. Isso significa que uma marcação feita hoje pode ser considerada por outra instituição financeira em uma decisão que você só vai tomar em 2031, como abrir conta em um novo banco, contratar uma maquininha, pedir uma conta digital para o seu MEI ou receber transferências acima de determinado valor.

A regra atinge todos os participantes do Pix: bancos, cooperativas de crédito, instituições de pagamento e fintechs autorizadas a operar no arranjo. Todos passam a ter a mesma linguagem para classificar o que é uma ocorrência suspeita e o mesmo canal para consultar histórico prévio quando avaliarem o risco de um cliente ou de uma transação.

Outra mudança importante é operacional. Como o marcador acompanha o CPF ou o CNPJ — e não a conta bancária —, encerrar a conta em que a suspeita foi gerada não apaga o registro. O titular continua figurando na base pelo período previsto, ainda que troque de instituição. É esse detalhe que torna a nova regra tão eficaz contra golpistas que hoje pulam de banco em banco, mas também é ele que exige atenção redobrada de quem foi marcado por engano.

A resolução não cria uma "lista negra pública" nem transforma o registro em uma restrição comparável à negativação em serviços de proteção ao crédito. O marcador não vira automaticamente uma recusa de conta. O que ele faz é abastecer o processo interno de avaliação de risco de cada instituição, que segue com autonomia para decidir se aceita, limita ou nega uma relação bancária.

Como funciona o vínculo da suspeita de fraude ao CPF ou CNPJ

A mecânica é mais simples do que parece. Quando uma instituição financeira identifica uma transação, um comportamento ou um pedido de conta com indícios de fraude, ela abre uma ocorrência interna. Antes, esse registro morria ali. Com a nova regra, essa ocorrência passa a alimentar uma base padronizada dentro do Pix, com o CPF ou CNPJ vinculado ao evento.

Os tipos de situação que costumam gerar esse tipo de marcação envolvem, por exemplo, contas que receberam valores comprovadamente frutos de golpes, titulares que aparecem repetidas vezes em pedidos de devolução via Mecanismo Especial de Devolução (MED) do Pix, uso de conta para "triangulação" de dinheiro roubado, movimentações totalmente incompatíveis com o perfil declarado e tentativas de abrir conta com documentos suspeitos.

Assim que a ocorrência é lançada, o vínculo passa a valer para consulta pelos demais participantes do arranjo, dentro das hipóteses previstas pela regulação. Isso quer dizer que uma fintech que atualmente estuda abrir conta para uma pessoa pode consultar se aquele CPF possui histórico de suspeita registrado por outra instituição — sem que o dono do documento precise contar isso espontaneamente.

O prazo de até cinco anos serve para dar tempo suficiente de o sistema "pegar" quem tenta reciclar identidade após um golpe. Golpistas costumam esperar meses para tentar reabrir contas em outras instituições, apostando que o rastro se apagou. Com o vínculo colado ao documento por vários anos, essa estratégia perde força.

Para o cliente honesto, o desenho traz uma pergunta prática inevitável: e se o marcador for injusto? A boa notícia é que, como o registro é regulado pelo Banco Central, o titular tem direito de saber que a marcação existe, tem canal para contestar e tem prazo para que a instituição responda ao pedido de revisão.

Por que o prazo de até 5 anos preocupa consumidores

Cinco anos é muito tempo. Para efeito de comparação, uma dívida negativada em cadastro de proteção ao crédito costuma sair da lista em cinco anos — e é justamente esse período que a nova regra usa como teto para o marcador de suspeita no Pix. A diferença é que, na negativação, o consumidor sabe que deve; no marcador de fraude, a suspeita pode ter sido gerada sem que o titular tenha feito nada de errado.

O cenário mais delicado envolve vítimas de golpe usadas como "laranjas involuntários". Uma pessoa que cai em uma promessa falsa de emprego, envia documentos e assina contratos sem entender o que está fazendo pode acabar com uma conta em seu nome sendo movimentada por criminosos. Quando o golpe é descoberto, a conta é marcada — e o CPF da vítima junto. Sem uma contestação bem-feita, esse cidadão pode passar anos sofrendo para abrir uma nova conta, pedir maquininha ou receber transferências acima de certos limites.

Outro grupo em risco é o de microempreendedores. Um CNPJ que recebeu, sem saber, um Pix originado de golpe pode ser incluído na base de suspeitas caso o pagador acione o MED. Se o pequeno empresário não se defender no prazo, o próprio CNPJ da atividade fica marcado por até cinco anos, o que pode dificultar contratações futuras, pedidos de crédito e até a permanência no arranjo Pix como recebedor.

Há também o efeito psicológico. Muita gente descobre que existe um marcador apenas quando tenta abrir conta em outra instituição e é recusada sem explicação clara. A frustração de não conseguir bancarização em um país cada vez mais digital é grande — e a sensação de estar em uma "lista secreta" alimenta desconfiança. Por isso, o Banco Central estruturou a regra dando ao cidadão o direito de acesso ao próprio registro e de pedido de correção.

A leitura correta, portanto, não é "o BC criou uma lista negra", mas "o BC criou um cadastro regulado, com prazo, com direito de contestação e com finalidade específica de proteger o Pix". Só que, para se beneficiar dessa proteção sem virar vítima colateral, o consumidor precisa entender o mecanismo — e agir rápido se descobrir uma marcação indevida.

O que fazer se o seu CPF for marcado indevidamente no Pix

A primeira coisa a fazer, ao suspeitar que seu documento foi incluído na base de suspeitas, é procurar diretamente a instituição financeira em que a ocorrência foi registrada. Como toda marcação nasce de uma decisão de um participante do Pix — banco, fintech, cooperativa ou instituição de pagamento —, é lá que a análise inicial pode ser revista. Os canais mais indicados são o amortizacao-constante-sac" class="termo-glossario">SAC e a Ouvidoria da própria instituição, sempre com registro por escrito (protocolo, e-mail ou aplicativo) para servir de prova.

Se você não sabe qual instituição gerou a marcação — situação comum quando a descoberta acontece ao tentar abrir uma nova conta —, o caminho é solicitar formalmente ao banco que está negando a relação uma explicação sobre o motivo. A instituição não precisa entregar dados sigilosos de outros participantes, mas deve orientar o consumidor sobre a existência do marcador e sobre como buscar mais informações.

Não resolvendo na instituição, o próximo passo é acionar o Banco Central por meio do canal de registro de reclamações do BC, no site oficial. O BC não decide o mérito de casos individuais, mas monitora o comportamento dos participantes do Pix e pode cobrar providências quando identifica falhas sistêmicas ou descumprimento das regras da resolução.

É recomendável também registrar boletim de ocorrência sempre que a suspeita indevida decorrer de golpe — como o uso do seu nome para abrir conta em outro banco, tentativa de invasão do app ou clonagem de chave Pix. O B.O. serve como base para defesa administrativa e, se for necessário, para ação judicial.

Em casos mais graves, principalmente quando o marcador está causando prejuízo concreto (recusa de conta, bloqueio de recebimentos, encerramento unilateral de relação), o consumidor pode buscar o Procon e, se preciso, a Justiça, pedindo a exclusão da marcação e eventual indenização por dano moral. O Poder Judiciário tem entendido, em casos parecidos, que a manutenção indevida de restrições financeiras gera direito à reparação.

Por fim, guarde tudo. Extratos, prints, protocolos, e-mails, respostas de ouvidoria. Quanto mais organizada estiver a linha do tempo do problema, mais rápido a defesa anda — seja administrativamente, seja em juízo.

Como se proteger de golpes que podem sujar o seu CPF no Pix

A melhor defesa contra o marcador continua sendo a prevenção. A maior parte das marcações injustas nasce de golpes em que a própria vítima entrega, sem perceber, os elementos necessários para o criminoso movimentar sua conta ou abrir contas em seu nome. Alguns cuidados reduzem drasticamente esse risco:

Nunca compartilhe senhas, tokens e códigos de confirmação. Nenhum banco, nenhuma fintech e nenhum funcionário do Banco Central pede código de SMS, senha de app ou biometria por telefone, WhatsApp ou e-mail. Se alguém pediu, é golpe.

Desconfie de "empregos" que exigem uso da sua conta. Ofertas para "ganhar por movimentar dinheiro na sua conta bancária" ou para "receber pagamentos e repassar via Pix mediante comissão" são clássicas armadilhas de laranja. Além do risco criminal, esse tipo de participação praticamente garante uma marcação de suspeita em seu CPF.

Cuide do envio de documentos. Foto do RG, CNH, comprovante de residência e selfies com documento têm alto valor para quadrilhas. Só envie por canais oficiais e verificados, e evite aplicativos de mensagem para esse tipo de material.

Confira o destinatário antes de qualquer Pix. Golpes de "falso contato" — quando o criminoso se passa por parente, chefe ou fornecedor pedindo transferência urgente — continuam campeões de prejuízo. A confirmação por outro canal, mesmo que rápida, evita a maior parte dos golpes.

Ative os limites e as camadas extras de segurança do seu app. Reduzir o limite noturno do Pix, exigir biometria para transações acima de determinado valor e ativar notificações imediatas ajuda a detectar movimentação estranha antes que ela vire fraude — e, portanto, antes que uma marcação seja gerada.

Revise periodicamente as chaves Pix cadastradas. Se aparecer alguma chave que você não reconhece, exclua imediatamente e comunique o banco. Chave Pix cadastrada indevidamente por terceiro é um dos indícios que podem levar à abertura de ocorrência.

Atenção redobrada com o Pix Saque, o Pix Troco e recebimentos de valores altos de desconhecidos. Receber um Pix inesperado, de valor expressivo, e ser abordado logo depois com pedido de "devolução por outro Pix" é o desenho clássico do golpe do falso depósito. A devolução, se necessária, deve ser feita pelo próprio Mecanismo Especial de Devolução, informando o banco — jamais por Pix direto de volta.

O que muda para bancos, fintechs e para o dia a dia do consumidor

Do lado das instituições, a Resolução BCB nº 587/2026 impõe padronização. Todos os participantes do Pix precisam ajustar sistemas, políticas internas de prevenção a fraude, procedimentos de análise cadastral e canais de atendimento para lidar com o novo marcador. Bancos maiores tendem a absorver a mudança com mais facilidade; fintechs e instituições de pagamento menores podem precisar reforçar equipes de compliance e antifraude.

Para o consumidor, o dia a dia do Pix não muda em termos de operação. As transferências continuam instantâneas, gratuitas para pessoas físicas na maioria dos casos e disponíveis 24 horas por dia. O que muda é o processo por trás: cada nova relação bancária, cada revisão de limite, cada avaliação de risco poderá considerar histórico de suspeitas registrado por outras instituições dentro do prazo previsto na resolução.

Há impactos secundários que valem atenção. Pessoas que costumam alugar temporadas, vender online, atuar como prestadores autônomos ou receber grande volume de Pix de desconhecidos passam a estar mais expostas — não porque façam algo errado, mas porque o volume atípico de recebimentos aumenta a chance de aparecerem em pedidos de devolução de vítimas de golpe. Manter documentação de cada transação (recibo, contrato, comprovação da entrega do produto ou serviço) vira parte da rotina de proteção.

MEIs e pequenos empresários devem separar completamente o CNPJ do CPF nas movimentações. Misturar as duas coisas dificulta a defesa em caso de suspeita e pode fazer com que uma ocorrência gerada na atividade profissional respingue na vida pessoal — ou vice-versa.

Quem depende do Pix para receber salário, pensão ou benefício também tem interesse direto em manter os cuidados de segurança em dia. O marcador não bloqueia recebimento por si só, mas uma restrição no titular do documento pode gerar dificuldades no relacionamento com o banco pagador, especialmente em revisões de conta.

Conclusão: o que fazer a partir de agora

A Resolução BCB nº 587/2026 é uma resposta regulatória a um problema real: o Pix, apesar de todas as suas virtudes, se transformou em uma das principais ferramentas usadas por golpistas no Brasil. Concentrar o histórico de suspeita no CPF ou CNPJ, com prazo de até cinco anos, é uma decisão dura, mas coerente com a dimensão do prejuízo que fraudes vêm causando à população.

Para o consumidor, o resumo prático é simples. Primeiro, reforce a segurança do seu Pix agora: senhas fortes, biometria, limites ajustados, notificações ligadas, chaves revisadas. Segundo, desconfie de qualquer proposta que envolva usar sua conta para movimentar dinheiro de terceiros — o preço de aceitar pode ser anos de dificuldade bancária. Terceiro, se descobrir que seu CPF ou CNPJ recebeu uma marcação, aja imediatamente pelos canais oficiais da instituição, do Banco Central e, se preciso, do Judiciário.

O Pix seguiu como pagamento instantâneo, gratuito e universal. O que a nova regra acrescenta é uma memória compartilhada de segurança entre as instituições. Quem usa o sistema com transparência tem pouco a temer; quem, por descuido ou desinformação, cair em um golpe, precisa saber que existe caminho para limpar o próprio nome — desde que aja rápido e com registros bem organizados.