Cadastro de dispositivos no Pix: a Resolução BCB 403/2024 e o novo alvo da fraude

Desde 1º de novembro de 2024, um Pix de valor alto iniciado de um celular que a instituição nunca viu simplesmente não sai. A regra veio do Banco Central do Brasil: a Resolução BCB nº 403, de 22 de julho de 2024, alterou o Regulamento do Pix e tornou obrigatório o cadastro prévio dos dispositivos de acesso para transações acima de limites apertados.

A mudança tem uma lógica de segurança clara: o celular roubado com a senha anotada, a conta invadida por credencial vazada e o acesso remoto instalado por engenharia social perdem quase todo o valor se o aparelho do fraudador não consegue transferir mais que uma quantia simbólica. Mas segurança em fraude é um jogo de deslocamento, não de eliminação. Quando a transação ficou difícil, o ataque migrou para o elo anterior: convencer a instituição, ou a vítima, a cadastrar o dispositivo do golpista como se fosse legítimo.

Este artigo percorre o que a norma mudou, quais são os limites, por que o cadastro do dispositivo virou um evento de verificação de identidade e como isso conversa com o mecanismo de devolução do Pix.

O que a Resolução BCB 403/2024 mudou

O Regulamento do Pix, anexo à Resolução BCB nº 1, de 12 de agosto de 2020, é a norma-base do arranjo, e foi nele que a Resolução BCB 403/2024 inseriu a obrigação: a partir de 1º de novembro de 2024, iniciar transações acima dos limites de exceção exige que o dispositivo de acesso tenha sido cadastrado previamente pelo cliente junto à sua instituição.

A ideia não nasceu ali. A Resolução BCB nº 142, de 23 de setembro de 2021, parte do primeiro pacote antifraude do Pix, já havia criado o conceito de tratar dispositivo novo com desconfiança e instituído o limite noturno de R$ 1.000 entre 20h e 6h. O que a norma de 2024 fez foi transformar a desconfiança em regra dura: sem cadastro, o teto vale para qualquer horário. A operacionalização ficou com a Instrução Normativa BCB nº 491, de 23 de julho de 2024, que disciplina o registro dos dispositivos de acesso, o gerenciamento de chaves e o valor máximo permitido para transações iniciadas em dispositivo não cadastrado.

Os limites do dispositivo não cadastrado

Os números que estruturam a regra são dois: R$ 200 por transação e R$ 1.000 de teto acumulado por dia para Pix iniciado de dispositivo que o cliente não cadastrou. Acima disso, a transação depende de o aparelho já constar do cadastro da instituição.

Para o fraudador, a aritmética mudou de figura. Uma conta invadida que antes podia ser esvaziada em uma transferência agora rende, no máximo, mil reais por dia, com o relógio correndo contra a descoberta do golpe. O ativo valioso deixou de ser a senha e passou a ser um dispositivo cadastrado na conta da vítima. E é exatamente por isso que o momento do cadastro concentra hoje a pressão do ataque.

O cadastro é um evento de identidade

Registrar um dispositivo significa afirmar que aquele aparelho pertence ao titular da conta. Na prática das instituições, o fluxo combina a validação dos dados do cliente com um segundo fator no ato do registro, como código de verificação, token ou biometria, e uma gestão de ciclo de vida que permite adicionar, remover e bloquear aparelhos. A Instrução Normativa BCB nº 594/2025 apertou essa gestão: dispositivo comprometido por roubo ou uso indevido deve poder ser excluído pela instituição mesmo sem o consentimento do cliente, e o recadastro exige o processo completo de novo.

O ponto central é que a pergunta respondida no cadastro é a mesma da verificação de identidade: quem está pedindo isso é o titular? O golpe se adapta atacando justamente essa resposta. No roteiro da falsa central, o golpista liga se passando pelo banco e conduz a vítima a "regularizar o aplicativo", e o que ela aprova, sem saber, é o cadastro do aparelho dele, como detalha o artigo sobre o golpe da falsa central. Um cadastro de dispositivo aprovado com fator fraco, como o código por mensagem de texto (SMS), que pode ser interceptado, herda todas as fraquezas do fator. Quanto mais forte a prova de identidade exigida nesse momento, mais caro o deslocamento fica para o atacante.

As obrigações contínuas de gerenciamento de risco

O pacote da Resolução BCB 403/2024 não parou no cadastro. A norma também cobra das instituições participantes do Pix mecanismos de gerenciamento do risco de fraude, e dois deles interessam a quem desenha esteiras de segurança. O primeiro: consultar as marcações de fraude do DICT, o Diretório de Identificadores de Contas Transacionais, em intervalos não superiores a seis meses, para saber se clientes da própria base carregam histórico de fraude no arranjo. O segundo: antes de elevar os limites de um cliente, verificar a ausência dessas marcações, rejeitando o aumento para quem as tem.

Na prática, isso cria uma sequência de eventos de risco que pedem re-verificação: dispositivo novo, troca de aparelho, pedido de elevação de limite. Cada um desses momentos é uma oportunidade de coletar sinais do dispositivo e do ambiente, na linha do que descrevemos em sinais de dispositivo sem SDK: plataforma, rede, indícios de automação e de acesso remoto. Sinais de IP e de dispositivo desse tipo, como os que a UNIFOKAL coleta no módulo antifraude, ajudam a separar a troca legítima de aparelho do cadastro que chega de um ambiente que não bate com o histórico do cliente.

A relação com o MED

O Pix tem um mecanismo de devolução para o dinheiro que já saiu, o MED, o Mecanismo Especial de Devolução, cujo funcionamento e limites já detalhamos em Pix e o MED. O que importa aqui é a proporção entre as duas defesas. Em apresentação oficial sobre a evolução do mecanismo, o MED 2.0, o Banco Central apontou que em 2025 a devolução recuperou em média 9,3% do valor contestado: o dinheiro de golpe se pulveriza mais rápido do que o rito consegue bloquear.

A leitura estratégica é direta. A recuperação atua depois do dano e devolve pouco; o limite de dispositivo atua antes e corta o valor do golpe na origem. Entre os dois, o cadastro de dispositivos é a fronteira: é ali que a instituição decide se o próximo Pix de valor alto vai sair de um aparelho do titular ou de um aparelho do golpista. Tratar esse cadastro com o mesmo rigor de um onboarding, com prova de identidade proporcional ao risco, é o que a mudança regulatória passou a exigir na prática, ainda que a palavra do regulador seja dispositivo, e não identidade.

Fontes citadas

• Resolução BCB nº 403, de 22 de julho de 2024, do Banco Central do Brasil, que alterou o Regulamento do Pix e instituiu o cadastro obrigatório de dispositivos de acesso: bcb.gov.br
• Instrução Normativa BCB nº 491, de 23 de julho de 2024, que operacionaliza o registro de dispositivos e o valor máximo em dispositivo não cadastrado: bcb.gov.br
• Resolução BCB nº 142, de 23 de setembro de 2021, do primeiro pacote antifraude do Pix, com o limite noturno de R$ 1.000: bcb.gov.br
• Instrução Normativa BCB nº 594/2025, sobre a exclusão de dispositivo cadastrado comprometido
• Regulamento do Pix, anexo à Resolução BCB nº 1, de 12 de agosto de 2020, do Banco Central do Brasil
• Apresentação oficial do Banco Central do Brasil sobre o MED 2.0 (Circuito Pix, outubro de 2025), com a taxa média de recuperação de 2025: bcb.gov.br