É inegável o sucesso do Pix: um instrumento de pagamento gratuito para as pessoas físicas; rápido, pois o pagamento ocorre em até 10 segundos; e que funciona 24 horas por dia, 7 dias por semana.
Por tais motivos, o Pix também tem sido utilizado para a prática de fraudes. Para tentar coibi-las, o Banco Central (BC) criou o Mecanismo Especial de Disputa ("MED"), que possibilita ao usuário solicitar a devolução dos recursos junto à Instituição com quem mantém conta.
De acordo com as estatísticas divulgadas pelo BC, entre janeiro e setembro/2024 foi aceito 01 de cada 03 pedidos de devolução realizados pelo MED; o que permitiu a restituição de R$ 392,7 milhões aos usuários vítimas de fraude.
Porém, os demais pedidos de devolução deixaram de ser acatados, e cerca de R$ 4,4 bilhões deixaram de ser restituídos aos usuários que acionaram o MED.
Novas Regras: medidas de caráter preventivo
A partir de hoje (01/11/2024) passam a valer as novas regras de segurança do Pix, que estipulam diversas medidas a serem adotadas pelas Instituições Financeiras e Instituições de Pagamentos (“Instituições") no gerenciamento de risco de fraudes.
A diferença é que se tratam de medidas de caráter preventivo.
Algumas medidas estão relacionadas com os computadores e aparelhos móveis (“Dispositivos") utilizados pelos usuários para a realização das transações; de modo que as Instituições:
- Somente poderão realizar transações por Dispositivos que tiverem sido previamente credenciados pelos usuários;
- Apenas poderão cadastrar novos Dispositivos depois da confirmação da identidade do usuário (mediante a confirmação de informações pessoais, dados bancários e utilização de códigos de verificação ou autenticação em dois fatores);
- Deverão disponibilizar ferramentas para inclusão de novos Dispositivos, assim como para a exclusão e bloqueio daqueles cadastrados;
- Proceder com a exclusão dos Dispositivos cadastrados, sem anuência do cliente, que tenham sido roubados, perdidos, danificados, utilizados para atividades ilegais, estejam desatualizados, ou não tenham sido utilizados para realização de uma transação por 12 meses; e
- Terão que limitar a realização de transações para Dispositivos não cadastrados, sendo: (i) R$ 200,00 por operação; e (ii) R$ 1.000,00 por dia
As Instituições também deverão adotar medidas preventivas relacionadas com o monitoramento contínuo das transações, mediante o acesso ao banco de dados disponibilizado pelo Banco Central (Diretório de Identificadores de Contas Transacionais - DICT), para:
- Identificar as transações atípicas e não compatíveis com o perfil dos clientes (inclusive para utilizar limite máximo diferenciado de tempo para autorizar transações com fundada suspeita de fraude);
- Deixar de iniciar ou receber transações suspeitas em contas mantidas por usuários suspeitos de fraude; e
- Verificar, uma vez a cada semestre, a existência de marcações de fraude dos seus clientes, e rejeitar pedidos de registro de chave para usuários com marcações ativas;
Ainda, a nova regulamentação determina que as Instituições disponibilizem um canal eletrônico com informações sobre os cuidados que os clientes devem adotar para evitar fraudes.
As novas normas não indicam todas as condutas que devem ser adotadas pelas Instituições com relação aos usuários com marcação de fraude ativa, mas espera-se que sejam adotadas medidas para: (i) o bloqueio cautelar para as transações recebidas; e (ii) o encerramento da conta em caso de fraude confirmada.
Há o desafio das Instituições para o gerenciamento dos Dispositivos, se for considerada sua obrigação de exclusão sem anuência dos clientes. Elas dependem da comunicação pelas operadoras de telefonia sobre as situações de perda, roubo, danos etc., tendo em vista que não possuem condições técnicas de identificar tais situações.
As demais informações poderão ser acessadas no DICT, mas o monitoramento das transações depende da comunicação das fraudes entre as Instituições.
Essas medidas aumentam a proteção dos usuários e buscam mitigar o risco de transações fraudulentas, notadamente diante da necessidade da identificação das transações atípicas e das limitações para utilização de Dispositivos não cadastrados. Isso evitará que terceiros realizem transações por Dispositivos que não sejam de propriedade dos usuários (com a obtenção de credenciais de acesso por engenharia social, por exemplo).
As novas regras alteram o artigo 89 do Regulamento do Pix (Resolução BCB nº 1/2020). Elas decorrem das alterações promovidas pela Resolução BCB nº 403/2024, Resolução BCB nº 425/2024 e Instrução Normativa BCB nº 491/2024.
Registro documental mantido pela Okai.
