A Resolução BCB 587, de 18 de setembro de 2026, cria no DICT — o diretório de chaves Pix do Banco Central — a marcação de fundada suspeita de fraude transacional vinculada ao CPF ou CNPJ. A marcação persiste por cinco anos e segue o documento em qualquer instituição participante do Pix. As obrigações de rejeição de transações entram em vigor em 1º de fevereiro de 2027.
O intervalo entre a publicação e a vigência plena é de pouco mais de quatro meses. Para times de prevenção a fraude e produto, é tempo suficiente para ajustar fluxos. Não sobra margem para aguardar.
O que a resolução introduz
A norma altera a Resolução BCB 1/2020, que regula o Pix, em três frentes: a marcação de fraude transacional, a cobrança híbrida (modalidade que permite oferecer Pix e boleto como alternativas para uma mesma cobrança) e o Pix Automático em conta-salário.
A marcação de fraude transacional é o ponto mais relevante para operações de prevenção a fraude. Participantes do Pix passam a poder criar, no DICT, uma "notificação de infração" — o registro formal da suspeita — vinculada ao CPF ou CNPJ de um cliente envolvido em transação suspeita. A marcação cruza as fronteiras da instituição que a criou: qualquer participante consultando o DICT verá o registro.
"O ponto crítico da BCB 587 não é o bloqueio em si. É que a marcação segue o CPF, fechar a conta não apaga o registro. Isso muda como os times de fraude precisam pensar a janela de risco: ela não termina quando o cliente sai."
— Sandro Righi, Especialista em Compliance, Riscos e Controle · Fortface
Situações que tipicamente geram uma marcação: conta receptora de recursos sabidamente desviados, padrão de transações incompatível com o perfil declarado, solicitações repetidas do Mecanismo Especial de Devolução (MED) e tentativas de abertura de conta para operar como mula.
O que os participantes são obrigados a fazer
A partir de 1º de fevereiro de 2027, participantes que criarem ou aceitarem uma marcação de fundada suspeita ficam obrigados a:
Rejeitar transações: todas as operações Pix em que o usuário marcado figure como pagador ou recebedor devem ser bloqueadas. A única exceção prevista são devoluções ao próprio usuário.
Bloquear chave Pix: registro de nova chave e portabilidade de chave existente passam a ser recusados para CPFs e CNPJs marcados.
Comunicar o usuário: o participante que criou a marcação deve informar ao titular a data do registro, a possibilidade de revisão e o canal para solicitar esclarecimentos.
Analisar pedido de cancelamento: o usuário pode solicitar o cancelamento da marcação. O participante tem sete dias corridos para analisar e responder.
Essas obrigações constroem um ciclo operacional novo: a marcação não é um ato isolado de bloqueio, mas o início de um fluxo com deveres de comunicação, análise e resposta dentro de prazos definidos.
O que muda na prática da operação
A norma altera o fluxo de autorização de transações, insere o DICT na jornada de onboarding e cria obrigações de comunicação e prazo que exigem processo interno definido antes de fevereiro de 2027.
Monitoramento em tempo de transação. A lógica de rejeição exige que a consulta ao DICT aconteça dentro do fluxo de autorização da transação, não em lote depois. Times de produto que hoje fazem análise de risco pós-autorização precisarão revisar a arquitetura de decisão para inserir a consulta ao diretório antes da confirmação.
Exposição por aceitar transações de marcados. A partir de fevereiro de 2027, processar uma transação de um CPF/CNPJ com marcação ativa no DICT configura descumprimento da norma. O risco não é só operacional, é regulatório.
Gestão de solicitações de cancelamento. O prazo de sete dias corridos para responder a pedidos de cancelamento exige um fluxo interno documentado. Sem processo definido, a fila acumula e o prazo descumpre.
Comunicação de incidentes. A partir de 1º de fevereiro de 2027, PSPs (Prestadores de Serviços de Pagamento) provedores de conta têm a obrigação de comunicar ao titular qualquer incidente de segurança com dados pessoais relacionado ao Pix, independentemente de responsabilidade ou de dano potencial. Essa obrigação é autônoma em relação à marcação de fraude.
O que perguntar ao seu fornecedor de tecnologia
A resolução não nomeia tecnologias específicas, mas os requisitos técnicos que ela cria têm resposta direta em arquitetura de produto.
A consulta ao DICT acontece antes da autorização da transação? Fornecedores que integram a resposta do DICT no fluxo de decisão em tempo real reduzem o risco de processar transações de marcados. Consulta em lote ou assíncrona não atende a lógica da norma.
O sistema registra e rastreia marcações criadas? A obrigação de responder pedidos de cancelamento em sete dias exige que haja registro com data, canal e status de cada marcação. Sem isso, o processo é manual e propenso a descumprimento de prazo.
O fluxo de comunicação ao usuário está automatizado? A norma exige que o participante que criou a marcação comunique o usuário dentro de um prazo razoável e por canal acessível. Processos manuais não escalam com volume.
Como o sistema lida com o bloqueio de chave Pix para marcados? O impedimento de registro e portabilidade de chave precisa estar integrado ao fluxo de KYC e de abertura de conta.
Quando cada obrigação da BCB 587 entra em vigor?
- 18/09/2026: publicação; mecanismo de marcação disponível no DICT; desligamento imediato de participante.
- 01/02/2027: obrigação de rejeitar transações de CPF/CNPJ marcados; cobrança híbrida Pix + boleto; dever de comunicar incidentes de segurança ao titular.
- 01/07/2027: Pix Automático em conta-salário.
Para aprofundar
- Segundo fornecedor de biometria: quando faz sentido e como montar — como estruturar resiliência operacional antes de uma mudança regulatória
- Soluções Fortface para bancos e fintechs
