Tenho uma regra simples para os golpes que escrevo aqui: antes de repassar um aviso, confira se ele é verdadeiro. A corrente do "Pix de um centavo" é um ótimo teste dessa regra. Ela chega encaminhada cinco vezes, com letras maiúsculas e um "avise todo mundo" no final, dizendo que receber R$ 0,01 abre a porta da sua conta bancária. Não abre. Só que quem recebeu o centavo também não está imaginando coisas.

O que a corrente diz?

A versão mais compartilhada é mais ou menos assim: "Cuidado! Se você receber um Pix de R$ 0,01 de um número desconhecido, NÃO MEXA. Os criminosos usam esse valor para entrar na sua conta e limpar tudo." Às vezes vem com um logo de banco. Às vezes com um áudio de alguém falando rápido e afobado.

É um aviso bem construído: curto, assustador e fácil de repassar. Também é falso na parte principal.

Receber um Pix pode dar acesso à minha conta?

Não. Um Pix recebido é só um crédito que entra. Quem manda o dinheiro não ganha nenhuma permissão sobre a sua conta com isso. O Banco Central e a Febraban já disseram isso de forma direta, como registrou o Security Leaders e repercutiu o SitePD.

Pense em quem entra e quem sai. Para tirar dinheiro da sua conta é preciso a sua senha, o seu aparelho cadastrado ou uma autorização feita por você. Um depósito de um centavo não é nenhuma dessas três coisas. Nesse ponto, pode respirar. 😀

O centavo em si não faz mal nenhum. O que vem depois dele é o problema, e é justamente essa parte que a corrente não conta.

Então por que mandam um centavo?

Porque é barato e funciona como preparação. Duas razões, bem separadas.

Primeiro de tudo, é um teste. A transferência confirma que aquela chave Pix existe, que a conta está ativa e que o nome que aparece na tela bate com o cadastro. Boa parte dessas chaves vem de vazamentos antigos. O centavo serve para separar o que ainda vale do que virou lixo.

A segunda razão é mais esperta: o centavo cria uma prova. Ele vira uma linha verdadeira no seu extrato. Aí chega a ligação: alguém que se apresenta como funcionário do seu banco, com voz calma, e diz que houve "uma movimentação atípica na sua conta". Para provar que é do banco, cita o centavo: valor, horário, às vezes o nome do remetente. Você confere no aplicativo. Está lá mesmo. E, a partir do momento em que você acredita, o resto do roteiro é convencer você a transferir o dinheiro por conta própria, para uma "conta segura" que não existe.

Esse é o detalhe que muda tudo: ninguém invade nada. A conversa é que faz o trabalho. 🤓

E onde entra o link?

Nem sempre a próxima etapa é uma ligação. Muitas vezes é uma mensagem (WhatsApp, SMS ou e-mail) pedindo para você "regularizar", "contestar o Pix indevido" ou "confirmar seus dados para bloquear a transação". Com um link.

A página do outro lado imita a tela de login do banco, ou uma página de "central de segurança" com o jeitão de site oficial. Alguns endereços misturam palavras que soam institucionais, no estilo pix-regularizacao[.]com ou bcb-med-contestacao[.]net (escrevo assim, com o ponto entre colchetes, para o link não ficar clicável). O nome parece sério. O dono é qualquer um.

Realbcb.gov.bro domínio do Banco Central termina em .gov.br
Falsobcb-med-contestacao[.]netnome inventado, registrado por qualquer pessoa

A leitura do endereço é sempre da direita para a esquerda, olhando o nome que fica logo antes da primeira barra. Em bcb.gov.br.contestar-pix[.]com/med, o site de verdade é contestar-pix[.]com. O bcb.gov.br ali na frente é só enfeite de subdomínio.

O que mudou nas regras do Pix em 1º de setembro?

Uma coisa importante, e é bom entender exatamente o que ela cobre. Segundo a Agência Brasil, o Banco Central ampliou de 30 para 80 dias o prazo para contestar uma devolução feita pelo MED, o Mecanismo Especial de Devolução, quando há suspeita de fraude. A regra vale desde terça-feira, 1º de setembro de 2026, e veio pela Instrução Normativa BCB 766, que atualizou o Manual Operacional do DICT, parte do regulamento do Pix. Os 80 dias contam a partir da data da devolução.

Quem isso atende, principalmente? Lojistas e prestadores de serviço que receberam um Pix legítimo e depois tiveram o valor estornado por uma contestação fraudulenta. Agora eles têm mais tempo para se defender. O Security Leaders lembra que o MED 2.0 prevê ainda o bloqueio cautelar dos valores por até 11 dias enquanto o caso é apurado. O próprio material oficial do Banco Central sobre o MED 2.0 está publicado para quem quiser a referência primária do mecanismo.

Prazo maior não é seguro de vida. O MED foi feito para casos de fraude, com análise caso a caso. Ele não é um botão de desfazer para qualquer transferência. E, infelizmente, quando você mesmo autoriza o Pix depois de uma ligação convincente, recuperar o dinheiro fica bem mais difícil. Por isso a hora de desconfiar é antes.

Como conferir o link antes de tocar nele?

  1. Não toque no link. Segure o dedo em cima dele até aparecer a opção "Copiar link" e copie o endereço sem abrir.
  2. Leia o domínio da direita para a esquerda, procurando o nome que vem antes da primeira barra. É ele que manda, e só ele.
  3. Compare letra por letra com o site oficial que você já conhece. Trocas como o número 1 no lugar do l, ou rn imitando um m, somem na fonte pequena do celular.
  4. Cole o domínio no IP Tracker para uma segunda opinião em segundos.
  5. Resolva pelo caminho oficial. Abra o aplicativo do banco você mesmo, ou ligue para o número impresso no seu cartão, nunca para o número que veio na mensagem.

O que o IP Tracker mostra aqui?

O IP Tracker é a minha extensão gratuita para o Chrome. Você cola um domínio ou um endereço de e-mail na janelinha e ele responde em português simples: são 50 checagens por dia, sem conta e sem rastreamento, e só o valor que você cola é consultado.

Para um link desses, ele faz quatro coisas. Compara o nome com as marcas mais imitadas, para apontar imitações e trocas de letra. Consulta a lista de sites perigosos do Google (o Safe Browsing). Mostra quantos serviços de segurança sinalizam aquele endereço no VirusTotal, além de denúncias de abuso. E mostra a idade do domínio: se ele foi registrado há poucos dias, isso aparece como pista de apoio, nunca como veredito sozinho.

E o que ele não faz?

Aqui a honestidade importa mais que o conforto, então vão os limites de verdade:

"Não sinalizado" não é a mesma coisa que "seguro". O IP Tracker mostra sinais para a sua decisão. Ele não bloqueia nada, não impede nada e não promete que um site é confiável.

Claro que a corrente do centavo tem um fundo verdadeiro: o centavo aparece mesmo, e vem de quem não deveria estar mandando nada. O que ela erra é o mecanismo, e errar o mecanismo faz a gente vigiar a porta errada. Ninguém entra pela conta. Entram pela conversa. 😉

Resumindo:

Desconfie da ligação, não do centavo! 😎

Fontes