Vazamento de dados do Pix: como saber se o aviso é verdadeiro e o que fazer agora
Chegou um SMS, um e-mail ou uma mensagem no WhatsApp dizendo que seus dados do Pix vazaram e pedindo que você clique em um link, ligue para um número ou confirme um código. Se o aviso de vazamento de dados do Pix chegou assim, trate-o como suspeito até conferir pelo app ou pelo site oficial do seu banco. Este guia explica por onde o aviso verdadeiro costuma chegar, como reconhecer a fraude e o que fazer em seguida.
Imagem ilustrativa sobre a conferência de um aviso de vazamento de dados do Pix pelo celular.
Resposta direta: o aviso verdadeiro costuma chegar pelo app do banco
Nos incidentes com chaves Pix divulgados entre 2021 e 2026, o Banco Central do Brasil (BC) informou que as pessoas afetadas seriam avisadas somente pelo aplicativo ou pelo internet banking da instituição com a qual têm relacionamento. O BC também informou que nem ele nem as instituições usariam SMS, e-mail, ligação ou mensagem para esse aviso [6].
Na prática, um aviso de vazamento recebido por SMS, e-mail, WhatsApp ou telefone deve ser tratado como suspeito. Para conferir, abra você mesmo o aplicativo oficial do banco ou digite o endereço do internet banking no navegador, sem usar links da mensagem.
Há uma ressalva importante. Quando o incidente acontece em um órgão público, e não no banco, o canal de consulta pode ser outro. Isso é explicado em uma seção mais adiante.
O que costuma vazar e o que esses dados permitem
Segundo os comunicados do BC sobre incidentes com o Pix, os dados expostos costumam ser cadastrais: nome, CPF (às vezes mascarado, isto é, com parte dos números escondida), instituição, agência e número da conta. Senhas, saldos e movimentações não aparecem entre os dados expostos [5].
O BC afirma que esses dados não permitem movimentar dinheiro [5]. O risco está em outro ponto: com nome, banco e agência em mãos, o golpista consegue montar uma abordagem mais convincente. É a chamada engenharia social, quando a pessoa é manipulada para entregar senha, código ou fazer uma transferência.
Por isso, o vazamento em si raramente é o problema maior. O perigo maior costuma ser a mensagem que chega depois, usando esses dados para parecer oficial.
A empresa tem dever legal de avisar você
A Lei Geral de Proteção de Dados (LGPD – Lei 13.709/2018), no art. 48, determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular os incidentes de segurança que possam causar risco ou dano relevante [2]. Controlador é quem decide sobre o tratamento dos seus dados. No Pix, normalmente é a instituição em que você tem a chave cadastrada.
A Constituição Federal também prevê a proteção de dados pessoais, inclusive nos meios digitais, como direito fundamental (art. 5º, LXXIX) [1]. Na prática, o aviso é uma obrigação jurídica e não depende da boa vontade da empresa.
O que um aviso legítimo deve conter
A Resolução CD/ANPD nº 15/2024, que trata da comunicação de incidentes de segurança, detalha o procedimento [3]. Em resumo:
- a comunicação ao titular deve ocorrer em até 3 dias úteis, contados de quando o controlador soube que o incidente atingiu dados pessoais;
- o aviso deve ser direto e individualizado, ou seja, dirigido a você, e não um comunicado genérico;
- deve informar quais dados foram afetados, os riscos envolvidos, as medidas adotadas e o contato do encarregado, que é a pessoa ou setor responsável por responder aos titulares sobre proteção de dados;
- agentes de pequeno porte têm prazo em dobro.
Desse modelo sai um critério prático: um aviso verdadeiro informa. Ele não pede sua senha, um código recebido por SMS, um pagamento para “proteger a conta” nem que você instale um aplicativo. A mensagem que exige qualquer uma dessas ações deve ser tratada como tentativa de golpe.
Sinais de que a mensagem sobre vazamento é golpe
Veja os sinais que mais indicam fraude:
- Canal fora do app: SMS, e-mail, WhatsApp, ligação ou rede social.
- Link para clicar: o endereço pode imitar o site do banco ou do BC.
- Pedido de dados: senha, token, código de verificação, foto do cartão ou selfie.
- Urgência: frases como “sua conta será bloqueada em 1 hora”.
- Transferência para “conta segura”: nenhuma instituição pede que você mova dinheiro para se proteger de um vazamento.
- Pedido de acesso remoto: instalar aplicativo ou compartilhar a tela.
- Oferta de ajuda paga: alguém promete “limpar” seus dados ou recuperar valores mediante taxa.
Um detalhe engana muita gente: o golpista pode citar corretamente seu nome, seu banco e sua agência. Acertar esses dados não prova que a mensagem é oficial, porque são exatamente os dados que podem ter vazado. O conteúdo sobre o golpe da falsa central e a reconstrução da ligação e das transações mostra como esse tipo de abordagem costuma funcionar.
Aviso oficial e mensagem golpista não são a mesma coisa
Depois de conhecer o aviso legítimo e os sinais de fraude, a comparação abaixo ajuda na decisão rápida.
| Ponto | Aviso oficial (padrão nas notas do BC) | Mensagem golpista |
|---|---|---|
| Canal | App ou internet banking da sua instituição | SMS, e-mail, WhatsApp, ligação |
| Conteúdo | Informa dados afetados, riscos e medidas | Gera medo e urgência |
| Pede senha ou código? | Não | Frequentemente |
| Pede transferência? | Não | Muitas vezes, para “conta segura” |
| Contato indicado | Encarregado de dados da instituição | Número ou link desconhecido |
| Como conferir | Abrindo o app por conta própria | Não há verificação independente |
Quando o incidente ocorre em órgão público, o canal pode ser outro
Nem todo vazamento ligado ao Pix nasce em um banco. Em 2025, foi noticiado incidente envolvendo cerca de 11 milhões de chaves Pix no Sisbajud, sistema usado pelo Judiciário para ordens de bloqueio de valores. Nesse caso, o Conselho Nacional de Justiça (CNJ) anunciou uma ferramenta de consulta própria em seu site como meio de informar os afetados [4].
Em 2026, também foi noticiado acesso indevido a dados cadastrais de 93 chaves Pix em base operada pelo Ministério Público do Estado de Goiás. Segundo a reportagem, o BC reiterou que não contataria os afetados por ligação, mensagem ou e-mail [7].
A lição prática é simples: mesmo nesses casos, ninguém liga ou manda mensagem para avisar. A consulta é feita pelo próprio interessado, que digita o endereço oficial do órgão, sem usar links recebidos.
Como conferir se houve incidente na sua instituição
O BC mantém em seu site uma página com o registro de incidentes com dados pessoais relacionados ao Pix [8]. Para consultá-la com segurança, acesse o site do BC digitando bcb.gov.br no navegador e procure a área de LGPD.
O roteiro seguro é este:
- Não responda à mensagem e não clique em nada.
- Abra o aplicativo do banco pelo ícone já instalado, ou digite o endereço oficial do internet banking.
- Veja se há aviso na caixa de mensagens ou nas notificações dentro do app.
- Consulte a página de incidentes do BC.
- Se ficar em dúvida, procure o banco pelos canais impressos no cartão ou no próprio app.
Se houver aviso real, ele deve indicar o contato do encarregado. Você pode pedir informações sobre quais dados foram atingidos. O guia sobre como pedir informações após vazamento de dados e registrar a negativa detalha esse pedido.
Imagem ilustrativa sobre o checklist de segurança após um aviso de vazamento no Pix.
Checklist de segurança depois de um aviso de vazamento de dados do Pix
Medidas imediatas (sem prejuízo):
- apague a mensagem suspeita só depois de tirar print com data, hora e remetente;
- bloqueie o número ou o remetente e denuncie a mensagem como spam;
- revise os limites do Pix no app e reduza os que não usa;
- ative a verificação em duas etapas no WhatsApp e no e-mail;
- desconfie de ligações nos dias seguintes, mesmo que o número pareça do banco.
Acompanhamento:
- acompanhe extratos e notificações do app;
- consulte o Registrato, sistema do BC que permite conferir contas, chaves Pix e operações de crédito em seu nome, acessado pelo site oficial do BC;
- avise familiares, sobretudo idosos, de que o banco não liga pedindo senha nem transferência.
Se já houve transferência ou contratação: a situação muda. Nesse caso, o vazamento é o pano de fundo, e o foco passa a ser um golpe consumado.
Se você já caiu no golpe, a prioridade muda
Se você clicou, informou código ou fez Pix, aja nesta ordem:
- Contate o banco imediatamente pelos canais oficiais e peça o bloqueio do acesso e o registro da contestação, com número de protocolo.
- Peça o acionamento do MED (Mecanismo Especial de Devolução do Pix), que permite tentar bloquear e devolver valores na conta de destino. O MED não é indenização. Ele só funciona se houver saldo na conta recebedora. O conteúdo sobre o prazo do MED do Pix e o registro do pedido com protocolo explica esse ponto.
- Registre boletim de ocorrência, em delegacia ou pela delegacia virtual do seu estado.
- Preserve provas: prints, número do remetente, comprovantes e extratos.
Também não confunda três coisas: a devolução pelo MED, a eventual restituição civil pelo banco e uma dívida de crédito contratada durante o golpe. Cada uma tem regra e caminho próprios.
Exemplo hipotético para separar valores
Imagine, de forma fictícia, que alguém transferiu R$ 3.000 do próprio saldo e, no mesmo golpe, foi induzido a contratar um empréstimo de R$ 5.000, também transferido ao golpista. O prejuízo não é de R$ 8.000 em dinheiro próprio. São R$ 3.000 de saldo perdido e R$ 5.000 de dívida a contestar. Se o MED devolver R$ 1.000, essa quantia abate o primeiro valor, e não a dívida. Somar tudo como um único número leva a dupla contagem e a pedidos mal formulados. O exemplo não indica que algum valor será recuperado.
💬 Recebeu o aviso e já fez alguma operação? Os prints, protocolos e extratos podem ser analisados para identificar o que contestar no banco e os prazos aplicáveis. Solicitar análise pelo WhatsApp
O banco pode responder pelo prejuízo? Depende das circunstâncias
O Código de Defesa do Consumidor (CDC), no art. 14, trata da responsabilidade do fornecedor por defeito do serviço. A Súmula 479 do Superior Tribunal de Justiça (STJ) costuma ser invocada para sustentar que instituições financeiras respondem por fraudes de terceiros ligadas à própria atividade, o chamado fortuito interno [9].
Em golpes de engenharia social, porém, a conclusão é analisada caso a caso. Pesam, por exemplo, a origem dos dados usados pelo golpista, o perfil das transações, a resposta do banco e a conduta da vítima. O vazamento, sozinho, não gera indenização automática. Quando os dados vazados foram usados no golpe, essa ligação pode ser um elemento relevante na análise. O artigo sobre quando o banco responde por um golpe e quais provas fazem diferença aprofunda esse ponto.
Documentos e provas: o que cada um demonstra
| Documento | O que prova | Quem fornece |
|---|---|---|
| Print da mensagem (com remetente, data e hora) | Origem e conteúdo da abordagem | Você |
| Aviso no app, se houver | Existência do incidente real | Sua instituição |
| Extrato e comprovantes do Pix | Valores, horários e contas de destino | Banco |
| Protocolos de atendimento | Data da comunicação ao banco e do pedido de MED | Banco |
| Boletim de ocorrência | Registro formal da fraude | Polícia Civil |
| Relatório do Registrato | Contas, chaves e créditos em seu nome | Banco Central |
| Resposta do encarregado (LGPD) | Quais dados foram expostos | Controlador |
Para montar a sequência dos fatos, veja quais provas guardar após um golpe e como montar a linha do tempo.
Prazos, riscos e erros comuns
Prazos. O controlador tem até 3 dias úteis para avisar o titular, contados de quando soube que o incidente atingiu dados pessoais [3]. Se houve golpe, o tempo é decisivo por um motivo prático: quanto antes o banco for acionado, maior a chance de ainda haver saldo na conta de destino. Os prazos para contestação e para eventual ação judicial variam conforme o caso e devem ser conferidos individualmente.
Erros comuns:
- clicar no link “só para ver”;
- ligar para o número indicado na mensagem;
- achar que a mensagem é verdadeira porque cita o banco certo;
- pagar a quem promete “recuperar” dados ou valores, uma nova fraude frequente, descrita no conteúdo sobre promessas de recuperar o dinheiro do golpe;
- deixar de anotar protocolos.
💬 Não sabe se o seu caso é só um aviso falso ou já virou prejuízo? A cronologia, os comprovantes e as respostas do banco podem ser organizados para avaliar os próximos passos. Solicitar análise pelo WhatsApp
Quando a orientação jurídica individual faz diferença
Se você só recebeu a mensagem e não clicou, as medidas de segurança deste guia costumam bastar. A orientação individual ganha relevância quando houve transferência, contratação de crédito, negativa do banco, MED sem devolução ou resposta incompleta da empresa sobre o vazamento.
O que esperar, com realismo: a reclamação no banco e na ouvidoria pode resolver casos simples. A reclamação no Banco Central e no consumidor.gov.br registra o problema, mas não substitui a análise do caso. A via judicial é avaliada quando há prejuízo documentado e fundamentos para discutir a responsabilidade. No escritório, esse percurso segue o método Rota Jurídica Pós-Golpe 360: diagnóstico, estratégia e condução.
O que analisamos em casos como esse
- se o aviso recebido corresponde a incidente registrado pelo BC ou pela instituição;
- se a comunicação seguiu o conteúdo mínimo e o prazo da Resolução CD/ANPD nº 15/2024;
- se os dados usados pelo golpista coincidem com os dados expostos;
- o perfil das transações em relação ao seu histórico;
- a data e o conteúdo dos protocolos e do pedido de MED;
- a separação entre saldo próprio perdido e crédito contratado;
- a resposta do encarregado de dados e eventuais lacunas.
A análise não garante resultado. Ela serve para identificar caminhos viáveis e os limites de cada um.
Perguntas frequentes
O Banco Central manda mensagem no WhatsApp avisando vazamento do Pix?
Não. Nas notas sobre incidentes com o Pix, o BC informou que não usa mensagens, ligações, SMS ou e-mail para esse aviso [6].
Como vou ser avisado se meus dados Pix vazarem?
Em regra, pelo aplicativo ou pelo internet banking da sua instituição. Em incidentes de órgãos públicos, a consulta pode ser feita no site do órgão, sempre acessado por você mesmo [4].
O que fazer se recebi SMS dizendo que minha chave Pix vazou?
Não clique nem responda. Tire print, abra o app do banco por conta própria e consulte a página de incidentes do BC.
O vazamento permite que alguém tire dinheiro da minha conta?
Segundo o BC, os dados cadastrais expostos não permitem movimentar recursos [5]. O risco é o uso desses dados para convencer você a agir.
Preciso trocar minha chave Pix?
Depende. Não há orientação oficial geral nesse sentido. Reforçar limites e a atenção a contatos suspeitos costuma ser mais útil.
Tenho direito a indenização só porque meus dados vazaram?
Não automaticamente. O cabimento depende do dano concreto, da prova e das circunstâncias do incidente.
Resumo prático
- O aviso de vazamento do Pix costuma chegar pelo app ou pelo internet banking.
- Mensagem que pede senha, código, link ou transferência é sinal de golpe.
- Confira sempre pelo app ou pelo site digitado por você.
- Se houve prejuízo: banco, MED, boletim de ocorrência e provas, nessa ordem.
Conclusão: confira antes de agir
Um aviso de vazamento de dados do Pix pede verificação, não pressa. Abra o app oficial, consulte o BC e não interaja com a mensagem. Se a mensagem resultou em transferência ou dívida, organize os documentos e os protocolos para avaliar a viabilidade jurídica de contestar. Você pode solicitar análise da situação pelo WhatsApp.
A atuação é coordenada pelo Dr. Gutemberg do Monte Amorim, OAB/GO 33.567, com sede em Goiânia e atendimento online para todo o Brasil.
Fontes e atualização
- Planalto – Constituição Federal, art. 5º, LXXIX – https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm
- Planalto – Lei 13.709/2018 (LGPD), art. 48 – https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- ANPD – Resolução CD/ANPD nº 15/2024 (reprodução do DOU) – https://www.lgpd.ms.gov.br/wp-content/uploads/2024/05/REGULAMENTO-DE-COMUNICACAO-DE-INCIDENTE-DE-SEGURANCA-ABRIL-2024-ANPD-.pdf
- Jornal Folha do Estado – Incidente Sisbajud/CNJ – https://www.jornalfolhadoestado.com/brasil/bc-comunica-vazamento-de-dados-de-11-milhoes-de-usuarios-do-pix
- CNN Brasil – Dados expostos em incidente Pix – https://www.cnnbrasil.com.br/economia/macroeconomia/banco-central-identifica-vazamento-de-dados-de-usuarios-do-pix/
- IstoÉ Dinheiro – Nota do BC sobre incidente Acesso – https://istoedinheiro.com.br/bc-comunica-vazamento-de-dados-pessoais-com-160-mil-chaves-pix-da-acesso
- Tribuna de Minas – Incidente em base operada pelo MP-GO – https://tribunademinas.com.br/colunas/maistendencias/vazamento-de-dados-do-pix-e-confirmado-pelo-banco-central-em-comunicado/
- Banco Central do Brasil – Registro de incidentes com dados pessoais – https://www.bcb.gov.br/acessoinformacao/lgpd?modalAberto=registro_de_incidentes_com_dados_pessoais
- Superior Tribunal de Justiça – Súmulas – https://www.stj.jus.br
Pesquisa revisada em 2026-11-07.
Atualizado em: 2026-11-07
Responsável pela revisão jurídica:
Conteúdo informativo que não substitui análise individual. A forma de comunicação de cada incidente, os dados atingidos e a eventual responsabilidade da instituição dependem dos fatos e documentos de cada caso.
