Golpe do Envelope Vazio e do Comprovante Falso: Como Confirmar um Pagamento

Confirmar um pagamento com segurança e evitar o golpe do envelope vazio ou do comprovante falso exige ignorar qualquer imagem, arquivo PDF ou recibo impresso apresentado pelo comprador e verificar exclusivamente o saldo disponível para movimentação dentro do aplicativo oficial do próprio banco recebedor. No caso do Pix, a confirmação técnica definitiva ocorre quando o valor é somado ao saldo livre e gera no extrato um Código E2E (End-to-End ID) válido de 32 caracteres iniciado pela letra "E"; já em depósitos por envelope ou cheque em caixas eletrônicos, o produto ou serviço só deve ser liberado após o prazo de compensação bancária (de 24 a 72 horas úteis), quando a quantia deixa o status de "bloqueado" ou "a conferir".

Principais Aprendizados

• Comprovante não é liquidação: Arquivos PDF, capturas de tela e tiras de papel de terminais de autoatendimento provam apenas uma solicitação ou simulação, nunca a entrada real do dinheiro.
• Saldo bloqueado não é dinheiro na conta: No golpe do envelope vazio, o valor digitado pelo fraudador no caixa eletrônico aparece no extrato como "a liberar" ou "a compensar", desaparecendo após a conferência física pelo banco.
• Validação técnica e proteção pelo MED: Transações Pix reais geram um identificador único de 32 caracteres (Código E2E) no extrato do recebedor, e devoluções de valores pagos "por engano" devem ser feitas apenas pelo botão nativo de estorno do aplicativo.

A Mecânica da Simulação Financeira: Do Caixa Eletrônico ao Pix

O golpe do envelope vazio e o golpe do comprovante falso pertencem à mesma categoria de engenharia social: a simulação de liquidação financeira. Em ambas as abordagens, o estelionatário explora a pressa, o horário comercial de pico ou a falta de familiaridade técnica da vítima com a leitura de extratos bancários para retirar um produto ou exigir a devolução de um troco antes que a transação exista de fato.

A escala desse problema no Brasil atingiu níveis críticos. Segundo pesquisa do Fórum Brasileiro de Segurança Pública em parceria com o Datafolha, divulgada pelo Senado Notícias, cerca de 24 milhões de brasileiros (14% da população entrevistada, ante 10% no levantamento anterior) foram vítimas de golpes envolvendo Pix ou boletos entre julho de 2024 e junho de 2025. O prejuízo estimado alcançou quase R$ 29 bilhões, com perda média de R$ 1.198 por vítima.

Além disso, a segunda edição do relatório anual "A Jornada dos Golpes" (junho de 2026), que consolida dados do Observatório Lupa, Febraban, Datafolha e Serasa Experian, aponta que o país registra uma tentativa de fraude digital a cada dois segundos. Levantamento da Serasa Experian também revela que, entre os brasileiros que sofreram tentativas de fraude, mais de 54% tiveram prejuízo financeiro efetivo.

Como Funciona o Golpe do Envelope Vazio e o Saldo Bloqueado

Embora muitos bancos venham substituindo máquinas antigas por terminais recicladores (que contam as notas na hora, sem envelope), o depósito tradicional por envelope físico ainda opera em diversas agências e continua sendo usado para fraudes em vendas de veículos, celulares e equipamentos de alto valor.

• A inserção simulada: O criminoso vai até um terminal de autoatendimento (ATM), seleciona a opção de depósito em dinheiro ou cheque para a conta da vítima, digita o valor combinado (ou um valor propositalmente maior) e insere na máquina um envelope totalmente vazio, com folhas em branco ou com um cheque sem fundos.
• O recibo verdadeiro de uma operação falsa: O caixa eletrônico imprime um comprovante autêntico atestando que o envelope foi recebido sob aquela declaração de valor. O golpista fotografa o papel e envia ao vendedor.
• A armadilha no extrato: O sistema bancário registra imediatamente o valor declarado na seção de "lançamentos futuros", "saldo bloqueado" ou "depósito a conferir". Se o vendedor olhar apenas o resumo superficial do extrato sem distinguir o saldo livre do bloqueado, entregará o bem acreditando que o pagamento caiu. No fim do expediente, quando a tesouraria abre o envelope vazio, o lançamento é estornado e o valor some da conta.

Os 4 Vetores Técnicos do Comprovante Falso no Pix

No ambiente digital, a simulação de pagamento evoluiu para quatro modalidades principais que exigem atenção redobrada de comerciantes e anunciantes de marketplaces:

1. Manipulação gráfica e APKs falsos: Antes, fraudadores usavam programas complexos de design; hoje, a facilidade para criar e editar fotos ou documentos PDF permite alterar nomes, datas e valores em segundos. Além disso, quadrilhas utilizam aplicativos piratas (APKs instalados fora da loja oficial) que imitam perfeitamente a tela dos principais bancos digitais, simulando inclusive a animação de conclusão do Pix na frente do atendente.
2. Golpe do Pix Agendado: O comprador realiza um agendamento real para uma data futura dentro do aplicativo legítimo do banco. O sistema gera um comprovante verdadeiro de agendamento. O golpista recorta ou edita a palavra "Agendado" da imagem, envia ao lojista e, assim que retira a mercadoria, entra no aplicativo e cancela a programação.
3. Manipulação de centavos (Transação Isca): Para burlar vendedores que conferem apenas a notificação na tela bloqueada do celular ou que validam somente a existência de uma transferência recente, o golpista envia um Pix real de R$ 1,50 ou R$ 15,00 e edita o PDF para exibir R$ 1.500,00.
4. Golpe do "Pix por engano" (Fraude reversa via MED): O criminoso transfere um valor real (ou simula um depósito por envelope acima do combinado), alega que errou a digitação e pede com urgência a devolução da diferença para a chave Pix de uma terceira pessoa ("conta laranja"). No caso do Pix, assim que a vítima transfere o dinheiro para essa terceira conta, o golpista aciona o Mecanismo Especial de Devolução (MED) no próprio banco alegando ter sofrido fraude, fazendo com que o sistema bloqueie o saldo original da vítima — que acaba perdendo o dinheiro duas vezes.

Como Confirmar um Pagamento de Verdade: Protocolo Técnico de Validação

É consenso absoluto entre o Banco Central, a Febraban e as empresas adquirentes que comprovantes enviados pelo pagador não possuem valor de liquidação. Para confirmar qualquer recebimento sem margem para erro, aplique os três passos técnicos abaixo.

1. Conciliação Direta no Saldo Disponível

Abra diretamente o aplicativo oficial da sua instituição financeira (nunca clique em links recebidos por mensagem) e verifique a linha específica de Saldo Disponível (também chamada de "saldo livre para movimentação").

Na prática, a recomendação técnica é desconsiderar o "Saldo Total" ou "Saldo Previsto", pois diversas instituições somam depósitos de envelopes e cheques ainda não compensados a esse montante geral. O dinheiro só pertence ao recebedor quando pode ser imediatamente transferido ou usado para pagamentos.

2. Auditoria pelo Código E2E (End-to-End ID) de 32 Caracteres

Quando uma transação Pix é efetivamente liquidada no Sistema de Pagamentos Instantâneos (SPI) do Banco Central, ela recebe um registro único chamado Código E2E (End-to-End) ou ID da Transação. Conforme a documentação técnica de mensageria do Pix, esse identificador possui um padrão rígido:

• Contém exatamente 32 caracteres alfanuméricos;
• Começa obrigatoriamente com a letra maiúscula "E" (exemplo: E12345678202610251430abcdef12345);
• Traz codificados na sua estrutura o ISPB (identificador da instituição financeira), a data e o horário exato da liquidação.

Comprovantes de mero agendamento não geram um Código E2E de liquidação no extrato do recebedor (muitas vezes exibem apenas um código de protocolo interno ou começam com outras letras no recibo do pagador). Se o pagamento não consta no seu extrato com um ID de 32 caracteres começando com "E", a transferência não foi concluída.

3. Automação no Varejo: QR Code Dinâmico e Maquininhas (POS)

Em estabelecimentos físicos, exigir que o funcionário do caixa avalie visualmente o celular do cliente ou abra a conta bancária da empresa a cada venda é operacionalmente inviável e inseguro. O consenso da área de meios de pagamento aponta para a eliminação da chave Pix estática impressa em placas de acrílico no balcão.

O método seguro para o varejo é o uso do Pix na maquininha de cartão (POS) ou integrado ao sistema de frente de caixa (PDV/ERP) via QR Code dinâmico. Nessa arquitetura, cada venda gera um código exclusivo com valor travado, e a própria maquininha se comunica com o servidor do banco, imprimindo o comprovante físico ou emitindo um alerta sonoro apenas quando o dinheiro entra efetivamente na conta do lojista.

Meio de Pagamento	O Que o Golpista Mostra (Sem Valor)	Única Confirmação Real para Liberar o Bem
Pix (Chave ou Copia e Cola)	PDF no WhatsApp, print de tela, comprovante de agendamento ou SMS.	Entrada do valor no Saldo Disponível do seu app + Código E2E de 32 caracteres iniciado por "E".
Pix na Maquininha (QR Dinâmico)	Tela do celular do comprador dizendo "Transferência concluída".	Impressão automática do recibo pela própria maquininha do lojista ou confirmação no sistema PDV.
Depósito em Caixa Eletrônico (Envelope)	Filipeta impressa pelo caixa eletrônico + valor no "Saldo Bloqueado".	Compensação completa (24h a 72h úteis) com migração do valor para o Saldo Disponível.
Plataformas de Marketplace	E-mail ou mensagem no WhatsApp dizendo "Venda aprovada, envie o produto".	Status de "Pagamento Confirmado / Pronto para Envio" dentro do painel oficial do aplicativo da plataforma.

Mitos de Segurança Que Levam Lojistas e Vendedores ao Prejuízo

A engenharia social funciona porque explora crenças equivocadas sobre o funcionamento do sistema bancário. Mesmo usuários experientes em tecnologia — que sabem que uma VPN não protege contra fraudes baseadas em manipulação humana — acabam caindo em armadilhas presenciais ou no WhatsApp por desconhecerem quatro fatos operacionais:

• Mito 1: "O banco me mandou uma notificação avisando que há um Pix agendado para cair na minha conta."
  Fato verificado: Conforme esclarecido oficialmente pelo Banco Central ao G1, a instituição financeira do recebedor não recebe nenhum aviso prévio quando alguém agenda um Pix em outro banco. O recebedor só é notificado na data marcada, quando o dinheiro é efetivamente transferido. Qualquer aviso de "Pix agendado a receber" enviado por SMS ou WhatsApp parte do próprio criminoso.
• Mito 2: "Recebi um SMS do banco ou e-mail do marketplace confirmando a compra."
  Fato verificado: Criminosos utilizam ferramentas de SMS Spoofing (que mascaram o número do remetente para parecer um canal oficial) e páginas falsas de e-mail para simular confirmações de pagamento, tática que dispara em épocas de alto volume comercial, quando conhecer os golpes para evitar no comércio eletrônico se torna vital. Nunca envie um produto por Correios ou motorista de aplicativo com base em e-mails ou SMS.
• Mito 3: "Eu vi o cliente digitando a senha no celular dele na minha frente."
  Fato verificado: Aplicativos falsos de Pix instalados no aparelho do fraudador reproduzem toda a jornada visual do banco (leitura de chave, digitação de valor, senha e comprovante final), sem qualquer conexão com a rede bancária.
• Mito 4: "O Pix está em análise de segurança no banco do comprador, mas já posso liberar porque o comprovante saiu."
  Fato verificado: Pelo regulamento do Banco Central, quando uma transação passa por bloqueio cautelar ou análise antifraude, ela não foi liquidada. Enquanto o valor não sair da análise e entrar no saldo disponível do vendedor, a operação pode ser cancelada ou rejeitada.

O Que Fazer Se Você Caiu no Golpe: MED, Regra de 80 Dias e Justiça

A resposta jurídica e operacional depende diretamente de como o golpe ocorreu: se houve transferência de dinheiro da sua conta para o criminoso (como na falsa devolução) ou se apenas a mercadoria foi entregue sem pagamento.

Defesa no Golpe do "Pix por Engano" e a Instrução Normativa BCB nº 766

Se um desconhecido transferir um valor real para a sua conta e pedir a devolução alegando erro, jamais faça um novo Pix para uma chave informada no WhatsApp. Utilize exclusivamente a função nativa "Devolver" (ou "Estornar") dentro do detalhe da própria transação recebida no seu aplicativo. Isso devolve o recurso exatamente para a conta de origem e impede que o fraudador acione o Mecanismo Especial de Devolução (MED) contra você.

Caso você tenha caído na armadilha de transferir para a conta de um terceiro e depois teve seu saldo bloqueado pelo MED acionado pelo golpista, há uma proteção regulatória recente: em 1º de setembro de 2026, entrou em vigor a Instrução Normativa BCB nº 766. Segundo a Agência Brasil (EBC), a norma ampliou de 30 para 80 dias o prazo para que comerciantes e recebedores de boa-fé contestem uma devolução fraudulenta via MED, igualando-o ao prazo de 80 dias que vítimas têm para acionar o mecanismo.

De acordo com dados do Banco Central do Brasil, o MED permitiu recuperar cerca de R$ 1,2 bilhão entre 2024 e 2025. Após o registro da reclamação, os bancos bloqueiam cautelarmente os valores encontrados e têm até 7 dias para analisar a fraude.

Medidas Policiais e a Controvérsia Judicial sobre Responsabilidade dos Bancos

Quando o vendedor entrega o produto mediante um comprovante falso ou envelope vazio, o MED não se aplica, pois nenhuma transação financeira real saiu da conta da vítima para ser bloqueada. Nessa situação, o procedimento imediato envolve:

1. Registrar um Boletim de Ocorrência (B.O.): Na delegacia física ou virtual, enquadrando o caso como crime de estelionato / fraude eletrônica (Art. 171, § 2º-A do Código Penal, incluído pela Lei nº 14.155/2021, cuja pena é de reclusão de 4 a 8 anos e multa).
2. Reunir provas digitais: Salvar o arquivo original do comprovante falso (que pode conter metadados de edição), conversas completas, números de telefone, placas de veículos de coleta e imagens de câmeras de segurança.
3. Comunicar a instituição financeira citada no comprovante: Caso o golpista tenha usado uma conta real para agendar o Pix ou enviar centavos, informe o banco para que a conta seja monitorada ou bloqueada por suspeita de fraude.

No âmbito judicial, a responsabilidade civil das instituições financeiras nesses casos é uma controvérsia em aberto que exige avaliação caso a caso por um advogado ou pela Defensoria Pública:

• Regra geral do STJ (Culpa Exclusiva da Vítima vs. Súmula 479): Embora a Súmula 479 do Superior Tribunal de Justiça estabeleça que os bancos respondem objetivamente por fraudes de terceiros em operações bancárias (entendimento reafirmado em casos de falha de segurança e contas abertas com documentos falsos, como nos REsp 2.052.228 e REsp 2.222.059/SP), a 3ª e a 4ª Turmas do STJ (como no julgamento do REsp 2.124.423) têm afastado o dever de indenizar quando não há falha técnica no sistema do banco e a própria vítima entrega o bem ou transfere valores voluntariamente induzida por engenharia social externa.
• Exceção por extrato confuso no Golpe do Envelope Vazio: Em Juizados Especiais Cíveis e Tribunais de Justiça estaduais (como em precedentes de Goiás e do Paraná), há decisões condenando instituições financeiras quando o layout do aplicativo bancário soma o "saldo bloqueado" (do envelope vazio) diretamente ao "saldo total" sem destaque visual claro, induzindo o correntista de boa-fé a acreditar que o dinheiro já estava disponível na conta.

Perguntas Frequentes

Como saber se um comprovante de Pix é falso ou agendado?

Não confie na aparência visual do documento, pois comprovantes de Pix agendado são gerados pelo próprio aplicativo oficial do banco e possuem fontes e logotipos verdadeiros. A única forma segura de validar é abrir o seu próprio aplicativo bancário, conferir se o valor somou ao saldo disponível e verificar no extrato se a operação possui um Código E2E (ID da transação) de 32 caracteres começando com a letra maiúscula "E".

Quanto tempo demora para o depósito em envelope cair no saldo disponível?

Depósitos feitos por envelope em caixas eletrônicos convencionais passam por conferência física na agência e levam, em média, de 24 a 72 horas úteis (dependendo se envolvem dinheiro em espécie ou cheque) para migrar do "saldo bloqueado/a conferir" para o "saldo disponível". Enquanto o valor estiver bloqueado, o depósito pode ser estornado caso o envelope esteja vazio.

Qual é o prazo para contestar um golpe pelo Mecanismo Especial de Devolução (MED)?

A vítima que enviou um Pix para um golpista tem até 80 dias a partir da data da transação para acionar o MED junto ao seu banco. Além disso, desde 1º de setembro de 2026 (pela Instrução Normativa BCB nº 766), comerciantes e recebedores legítimos que sofrerem devoluções indevidas (como no golpe do falso "Pix por engano") também contam com o prazo ampliado de 80 dias para contestar o bloqueio.

Fontes

• Banco Central do Brasil — Mecanismo Especial de Devolução (MED) e Segurança no Pix
• Agência Brasil (EBC) — Nova regra do Pix amplia prazo para contestar golpe via MED (Instrução Normativa BCB nº 766)
• Senado Notícias — Pesquisa Fórum Brasileiro de Segurança Pública e Datafolha sobre golpes pelo Pix
• Finsiders Brasil — Relatório "A Jornada dos Golpes" (Observatório Lupa, FBSP, Datafolha, Febraban e Serasa)
• Portal da Câmara dos Deputados — Levantamento Serasa Experian sobre tentativas de fraude no Brasil
• Superior Tribunal de Justiça (STJ) — Jurisprudência sobre responsabilidade de instituições financeiras em fraudes
• G1 / Globo — Esclarecimento do Banco Central sobre notificações e funcionamento do Pix agendado
• ModoPag — Validação técnica do Código E2E do Pix e enquadramento no Art. 171 § 2º-A do Código Penal
• Celcoin Documentação Técnica — Estrutura e consulta de transações Pix por Código E2E
• Cielo — Como identificar e prevenir comprovante de Pix falso no comércio
• Rota Jurídica — Jurisprudência sobre saldo disponível vs. bloqueado no golpe do envelope vazio