Admin · The Payments Corner

Excerpt

Content

Em 3 de setembro o Banco Central não editou uma regra de pagamento. Editou uma especificação de interface. A Instrução Normativa BCB nº 774 publica a versão 7.4 dos Requisitos Mínimos para a Experiência do Usuário — documento que integra o Regulamento do Pix — e determina o que pode aparecer no comprovante, como se apresenta a contestação de fraude e quando o aplicativo precisa avisar que um contato salvo mudou de titular. Atrás da especificação existe um regime sancionador que termina em exclusão do arranjo por sessenta meses. É isso que, na minha leitura, torna um manual de tela um instrumento com peso.

## Um manual de interface dentro do regulamento

A IN 774 revoga a IN BCB nº 689, de dezembro de 2025, aposenta a versão 7.3 e entra em vigor em 1º de março de 2027. São dezoito meses entre publicação e exigibilidade — prazo para que participantes reescrevam a tela de conclusão da transação e o arquivo em PDF ou imagem que o cliente compartilha por mensagem.

A cadência importa mais do que o conteúdo de qualquer versão isolada. A 7.0 saiu em agosto de 2024, a 7.1 em fevereiro de 2025, a 7.2 em outubro de 2025, a 7.3 em dezembro de 2025 com efeitos a partir de fevereiro de 2026, a 7.4 agora. Cinco revisões em pouco mais de dois anos de um documento que especifica quais mensagens de erro o aplicativo deve exibir, que ícone deve encimar o comprovante, quais nomenclaturas são obrigatórias e em que tela o atalho para o canal de atendimento precisa estar. O manual não é anexo decorativo do regulamento: é onde o regulador exerce controle de produto sobre a camada que o usuário efetivamente vê.

O pacote da 7.4 vai além do comprovante. Exige exibição do nome fantasia do recebedor pessoa jurídica. Padroniza o extrato, incluindo o uso de sinais para valores creditados e debitados e a nomenclatura de pagamento e recebimento. Obriga a informar o usuário quando a transação for barrada por fundada suspeita de fraude, e a informar, na mensagem de insucesso de cadastro de chave, quando a rejeição decorre de marcação de fraude criada ou aceita pelo próprio prestador. Restringe a reivindicação de posse às chaves do tipo número de telefone celular. Dá destaque ao campo de objeto do pagamento no Pix Automático. Cada um desses itens é uma decisão de design tomada em Brasília e implementada por cada participante à sua custa.

## O comprovante nunca foi espaço livre

A leitura corrente é que o Banco Central fechou uma brecha aberta. Li a versão 7.3 inteira antes de escrever isto, e a leitura mais precisa é outra: ele estendeu ao documento um princípio que já aplicava à mensagem.

A versão 7.3, em vigor desde fevereiro de 2026, já determina que o campo "Descrição" — que corresponde ao campo informacoesEntreUsuarios da pacs.008 — não contenha tags HTML, e que o aplicativo do pagador exiba seus caracteres literalmente, sem renderizar links ou qualquer conteúdo dinâmico. A cláusula aparece repetida em cinco capítulos do manual: Pix com chave, inserção manual, devolução, agendamento, notificação ao recebedor. Nos QR Codes, onde o campo de descrição do pagador é suprimido, a 7.3 admite HTML no campo de informações adicionais mas veda conteúdo dinâmico, como scripts. E já proíbe exibir a chave Pix e os dados bancários do recebedor no comprovante quando o identificador da transação está preenchido.

Ou seja: o Banco Central regula o que o aplicativo renderiza dentro do fluxo de pagamento há pelo menos duas versões. A novidade da 7.4 é declarar que o comprovante tem finalidade exclusiva de registrar e demonstrar a transação, e que propaganda, publicidade, ofertas comerciais, hiperlinks e qualquer conteúdo alheio à identificação, execução ou registro estão vedados — em tela, PDF, imagem e papel.

Isso muda a minha interpretação do que aconteceu. Se a regra fosse sobre monetização, seria uma novidade de política. Como extensão de uma cláusula antirrenderização preexistente, é a conclusão coerente de uma linha que o regulador vinha puxando: a superfície do pagamento não pode conter nada acionável que não seja o pagamento. O mecanismo é phishing. O golpista não precisa de acesso ao aplicativo do banco; precisa que o usuário aceite como normal a presença de um botão clicável dentro de um comprovante. Enquanto comprovantes legítimos carregarem links, o comprovante falsificado com link não destoa. Padronizado o documento sem elemento acionável, qualquer recibo com botão externo passa a ser anomalia visível — e o custo de detecção migra do usuário para o formato.

## O par que ninguém juntou

Duas mudanças da 7.4 foram tratadas separadamente por toda a cobertura que li. Para mim, só fazem sentido juntas.

A primeira: instituições passam a ter de armazenar a chave Pix utilizada, vinculada à funcionalidade de contatos salvos, e a alertar o usuário quando a chave já constante de seus contatos passa a apontar para outro titular. A segunda: a reivindicação de posse — o procedimento pelo qual alguém pede para si uma chave registrada por outro usuário — passa a existir apenas para chaves do tipo número de telefone celular.

Uma restringe o vetor. A outra instala o alarme. O ataque contra o qual ambas se dirigem é a tomada de chave já confiada: o golpista captura uma chave que a vítima já salvou e conferiu, e a transferência seguinte vai para a conta errada sem que nenhuma tela de confirmação pareça diferente. É o ponto do fluxo em que a verificação humana já foi feita e não será refeita. A 7.3 já obrigava o prestador doador a comunicar imediatamente o início de reivindicação ao titular da chave, com prazo de sete dias para revalidação — proteção do lado de quem perde a chave. A 7.4 acrescenta a proteção do outro lado: de quem paga para ela. Reduzir os tipos de chave reivindicáveis a um só, e obrigar aviso quando o titular por trás de um favorito muda, é desenho antifraude endereçado a um passo específico do fluxo, não limpeza de interface.

## O MED não foi reformado em setembro

A caracterização mais repetida sobre a IN 774 — de que ela reformula o Mecanismo Especial de Devolução — está errada, e o erro apaga a história que importa. Insisto nisso porque a reforma verdadeira passou quase em branco.

A reforma foi o MED 2.0, instituído pela Resolução BCB nº 493, de uso facultativo desde novembro de 2025 e obrigatório para todos os participantes desde 2 de fevereiro de 2026. Ele alterou a mecânica, não a apresentação: passou a permitir devolução não só a partir da conta recebedora original mas também das contas pelas quais o valor transitou depois; obrigou o reporte contínuo de transações intrabancárias, para que o Banco Central enxergue trechos da cadeia que antes ficavam invisíveis; transferiu ao próprio Banco Central, via DICT, a geração e o encaminhamento automático das notificações de infração ao longo do rastreio; e passou a marcar como envolvidas em fraude, no DICT, as contas receptoras da cadeia quando uma notificação é aceita. Nada disso está na 7.4. A 7.4 muda a tela por onde o usuário entra nesse mecanismo: linguagem cotidiana para identificar o tipo de golpe, campo para descrever o ocorrido, anexo de documentos e comprovantes, e sinalização mais clara de quando o caso não é elegível — desacordo comercial sem fraude, atraso de entrega, produto diverso do esperado.

Também não é verdade que o pacote não mexeu em prazos. Mexeu — três dias antes, em outra norma, e do outro lado da operação. A IN BCB nº 766, que publicou a versão 8.5 do Manual Operacional do DICT, ampliou de 30 para 80 dias, com vigência em 1º de setembro de 2026, o prazo de que dispõe o recebedor original para contestar uma devolução feita pelo MED. O prazo da vítima para acionar o mecanismo já era de 80 dias e permanece. Boa parte da cobertura fundiu os dois e noticiou uma ampliação de proteção à vítima que não ocorreu. O que ocorreu foi o oposto simétrico: mais tempo para o comerciante de boa-fé que teve valor debitado se defender de uma contestação improcedente.

E aqui está o número contra o qual eu meço tudo isso. Entre janeiro de 2022 e abril de 2026, R$ 24,52 bilhões foram subtraídos em fraudes por Pix e R$ 2,2 bilhões foram devolvidos pelo MED — 8,9%, com média de 271,5 mil fraudes confirmadas por mês. Nos dados mais recentes publicados, de janeiro a abril de 2026, foram 11,8 milhões de pedidos abertos e 10,7 milhões negados: taxa de recusa de 90,3%, com R$ 264,7 milhões devolvidos, cerca de 10% do valor reconhecido. O Banco Central declara publicar essas estatísticas trinta dias após o fechamento de cada mês; os dados de maio em diante ainda não saíram.

Contra esse histórico, permitir que a vítima anexe prova não é melhoria de experiência. É uma tentativa de mover uma taxa de recuperação que é catastrófica desde a origem. Se vai movê-la é pergunta empírica em aberto, e há razão para dúvida: o MED recupera valor que ainda exista na cadeia rastreada, e a restrição pode ser velocidade, não qualidade de prova. O próprio Banco Central indicou que a produção do rastreio ampliado começou cobrindo cerca de 5% das recuperações, com expansão gradual. Prova melhor não devolve dinheiro que já saiu.

## A multa é proporcional; o exílio não é

O que transforma uma especificação de tela em obrigação de balanço é o que acontece com quem a descumpre.

A Resolução BCB nº 507/2025 aprovou o Manual de Penalidades do Pix, aplicável a infrações cometidas a partir de 30 de setembro de 2025. As penalidades são advertência, multa e exclusão do arranjo; a suspensão deixou de existir como sanção autônoma. A multa parte de um valor-base entre R$ 50 mil e R$ 1 milhão conforme a faixa de gravidade, multiplicado por um fator de ponderação atrelado ao ativo total do participante, com agravantes por reincidência, redutores por reparação de dano e desconto para quem paga sem recorrer. O teto do manual é de R$ 500 milhões, contra R$ 25 milhões no regime anterior.

Esse teto, porém, quase nunca é o limite que vincula. O manual limita a soma das multas em um mesmo processo, para instituições autorizadas a funcionar pelo Banco Central, ao maior valor entre 25% do capital mínimo exigido e 25% do patrimônio líquido; para as demais pessoas jurídicas, a R$ 1,25 milhão. A multa, portanto, escala com o porte por construção. O manual é severo em cima e contido embaixo — o que é desenho de sanção convencional e defensável.

A exclusão não funciona assim. A Resolução BCB nº 506/2025 elevou de 12 para 60 meses o prazo mínimo para que um participante excluído possa pedir nova adesão, passou a exigir patrimônio líquido mínimo de R$ 5 milhões como condição de participação, e criou multa diária coercitiva de até R$ 200 mil, limitada a 60 dias, para descumprimento de determinação do regulador. A Resolução BCB nº 559/2026, de abril, acrescentou a perda da condição de participante para quem passe mais de 90 dias corridos sem participante ativo no SPI.

Cinco anos fora do Pix não é sanção graduada por porte: é o mesmo intervalo para todo mundo, e para um prestador brasileiro cuja proposta de valor depende de conta transacional é indistinguível do encerramento. A proporcionalidade do regime está na multa; a pena que não tem proporcionalidade é justamente a que não se pode absorver. É por isso que uma cláusula sobre o que pode aparecer no comprovante é assunto de conselho de administração e não de time de design.

## Regras de bandeira e mandato de banco central

Bandeiras de cartão também especificam interface. Regras de rede tratam de posicionamento de marca, telas de autenticação, textos de erro, formato de recibo. O mecanismo é o mesmo: quem opera o trilho determina o que o participante mostra.

A diferença é a natureza da adesão. Filiação a uma bandeira é relação comercial; a saída é decisão de negócio, com custo e alternativa. Participação no Pix, para quem oferece conta transacional no Brasil, é infraestrutura compulsória em tudo menos no nome — e a saída, quando imposta, dura sessenta meses. O mesmo instrumento, especificação de interface, opera sob alavancagem incomparável. Uma bandeira que endureça demais suas regras perde emissores para outra. Um banco central que endureça as suas não perde ninguém.

Não estou criticando o desenho. Estou constatando que o Pix criou uma categoria de risco regulatório que o setor ainda trata como se fosse conformidade de produto: mudanças de interface obrigatórias, com cadência de duas a três por ano, custeadas integralmente pelo participante, sancionadas por um regime cujo extremo é a saída do mercado. Quem tem margem absorve. Quem não tem, financia ferramenta de disputa mais rica até março de 2027 com o mesmo orçamento.

## Onde a tese não se sustenta

Uma parte da leitura corrente sobre a IN 774 não tem evidência, e eu procurei: a de que participantes vinham tratando o comprovante como espaço próprio de venda cruzada e o regulador reagiu a isso.

Não encontrei uma fonte sequer que nomeie banco, fintech ou carteira que colocasse anúncio ou link em comprovante de Pix. Depois do anúncio da norma, portais passaram a descrever a prática como corrente — ofertas de empréstimo pré-aprovado, parcelamento, seguro, cupom de loja parceira logo abaixo dos dados do recebedor — sem nomear instituição, sem imagem, sem fonte primária. A justificativa declarada pelo Banco Central é fraude: reduzir o risco de o documento ser usado como vetor de golpe, especialmente por meio de links fraudulentos.

Há uma segunda contraevidência, e para mim é mais eloquente que a primeira: ninguém no mercado reclamou. Não localizei manifestação de entidade de classe ou de participante nomeado sobre a perda dessa superfície. Quando o setor se pronunciou publicamente sobre o MED, em julho, a preocupação declarada foi redução de falsos positivos e tratamento adequado ao recebedor de boa-fé — risco operacional, não inventário perdido. Um ativo de monetização que ninguém defende quando é retirado provavelmente não era um ativo de monetização.

Minha leitura, portanto, é mais estreita e mais interessante que a da economia da atenção. Não é que o regulador tenha tomado de volta uma superfície comercial. É que o regulador especificou preventivamente uma superfície antes que ela se tornasse comercial — e pôde fazê-lo porque a especificação de interface já é sua, por regulamento, com sanção atrás. A capacidade de fechar um mercado publicitário que ainda não existe é a demonstração mais limpa de quem é o dono do produto.

## O que observar

O primeiro marcador que vou acompanhar é 26 de outubro de 2026, quando entra a etapa de comunicação entre instituições do MED 2.0, adiada de agosto. É a peça que determina a velocidade do rastreio em cadeia, e velocidade é a variável que decide se sobra saldo a devolver.

O segundo é a retomada das estatísticas do MED. Os dados públicos param em abril de 2026, apesar da cadência declarada de trinta dias. Sem série de maio a fevereiro, não haverá linha de base contra a qual medir o efeito da nova jornada de contestação a partir de março de 2027 — e a ausência de linha de base é como intervenções regulatórias deixam de ser avaliáveis. Vale acompanhar também a proporção de recuperações que efetivamente transita pelo rastreio ampliado, partindo dos cerca de 5% do início da produção.

O terceiro é 1º de outubro de 2026, quando entram limites personalizáveis e cai o teto fixo por transação no Pix por aproximação. É o vetor que cresce enquanto a atenção do setor está na tela do comprovante.

O quarto, e para mim o mais revelador, é o primeiro processo sancionador instaurado com fundamento em item do manual de experiência do usuário. Enquanto isso não acontecer, a hipótese de que a especificação de interface é obrigação de verdade permanece não testada — e participantes com orçamento apertado continuarão a priorizá-la abaixo de exigências cuja fiscalização já viram funcionar.

O quinto é o silêncio. Se, até março de 2027, nenhum participante pedir publicamente prazo maior, nenhuma entidade estimar custo de adequação e nenhuma instituição for identificada como tendo perdido receita com a vedação, a interpretação de que se tratava de regra antiphishing preventiva estará confirmada por ausência — e o setor terá aceitado, sem debate, que a tela onde o usuário passa mais tempo é especificada por quem opera o trilho.

*Edição em português revisada por Alexandre Goes.*

Audio script

Metadata

Author

Name

Role

Audio briefing

No audio briefing produced yet.

Save changes first if you just edited the script. Generation calls ElevenLabs and writes to R2 — takes ~10–30s for typical scripts.

Edits aren't saved until you click Save.