O golpe mais comum não falsifica o Pix — troca a chave no meio da conversa. O que o app do banco já mostra, o que ele mostra tarde demais, e como conferir antes.
O golpe mais comum com Pix não quebra o Pix. Ele é bem mais simples: alguém entra na conversa — por WhatsApp, por e-mail, num grupo de condomínio — e substitui a chave. O sistema funciona perfeitamente. O dinheiro só vai para outra pessoa.
A defesa também é simples, e quase ninguém usa: conferir de quem é a chave antes de pagar.
Antes de confirmar qualquer Pix, o app mostra o nome do titular e parte do documento. Isso é obrigatório, funciona, e já resolve a maior parte dos casos — se o nome que aparece não é o de quem deveria receber, pare ali.
Vale dizer isso com todas as letras, porque é a verdade: na maioria das situações você não precisa de nada além dessa tela.
O problema é quando essa tela aparece.
Ela surge no fim do fluxo — depois de você ter aberto o app, escolhido a conta, digitado o valor. Três situações em que isso é tarde ou insuficiente:
1. Você precisa decidir antes de pagar. O fornecedor manda a chave por mensagem e pede confirmação do pedido. Você quer saber se aquela chave é da empresa antes de aprovar o orçamento, não no segundo em que vai transferir.
2. Você está com pressa e o nome parece certo. "Maria S. Oliveira" quando você esperava "Maria Silva Oliveira" passa batido em qualquer tela vista com pressa. Conferir com calma, fora do fluxo de pagamento, é outra leitura.
3. Quem paga não é quem conhece. No financeiro que recebe a chave por e-mail, quem aperta o botão nunca falou com o fornecedor. O nome no app não diz nada a essa pessoa — ela não sabe qual era o esperado.
| tipo | o que dá para inferir só de olhar |
|---|---|
| CPF/CNPJ | muita coisa: o número já identifica o titular |
| Telefone | alguma: DDD, e se bate com o contato que você tem |
| alguma: domínio próprio da empresa ou e-mail genérico | |
| Aleatória | nada. É uma sequência sem significado |
A chave aleatória é a preferida em golpe justamente por isso: ela não carrega
nenhum sinal. Uma chave de e-mail em domínio da empresa pelo menos levanta
suspeita quando vira financeiro.empresa@gmail.com. A aleatória não levanta
nada — ou você consulta, ou você confia.
A consulta pergunta ao arranjo de pagamentos quem é o dono daquela chave e devolve nome do titular, a instituição onde a conta está e o documento mascarado.
Duas decisões nossas que valem explicar:
O nome vai inteiro, de propósito. Esconder o nome esconderia justamente o que a consulta existe para confirmar — e o app do banco já mostra esse nome antes de você confirmar, então não há dado novo sendo exposto.
O documento vai mascarado, também de propósito. A resposta bruta traz o CPF completo do titular, e quem consulta é, por definição, quem não é o titular. Entregar o CPF inteiro de um terceiro para confirmar um pagamento seria coletar muito mais do que a pergunta precisa. Os dígitos que sobram bastam para casar com o documento que você já tem em contrato ou nota.
A instituição costuma ser o sinal mais subestimado: um fornecedor antigo que sempre recebeu num banco grande e agora manda chave de uma conta digital recém-aberta merece um telefonema — não porque conta digital seja suspeita, mas porque mudança é.
Antes de qualquer consulta paga, três hábitos evitam a maioria dos prejuízos:
Se depois disso ainda houver dúvida, ou se o valor for alto o bastante para a dúvida custar caro, aí a consulta de chave Pix responde em segundos, sem cadastro e sem iniciar transação nenhuma.
Existe o Mecanismo Especial de Devolução (MED): você comunica o banco, ele aciona o banco do recebedor e, se o dinheiro ainda estiver lá, pode ser devolvido. O prazo para acionar é curto e a devolução não é garantida — depende de haver saldo na outra ponta.
Traduzindo: existe uma chance, e ela cai rápido. Comunique o banco no mesmo dia e registre boletim de ocorrência. Não espere o fornecedor "resolver": quem aciona o MED é a sua instituição.
O Pix é rápido e irreversível por construção — é isso que o torna útil e é isso que o torna atraente para o golpe. A conferência custa segundos e acontece antes. A recuperação custa dias e talvez não aconteça.
Se o pagamento é para alguém que você já conhece e o nome bate na tela do banco, está resolvido. Se é chave nova, valor alto, ou chegou por mensagem, vale conferir fora do fluxo — e é para esse caso que a consulta existe.
