Segundo informações do Banco Central (BC), cerca de 47,9 milhões de chaves Pix foram expostas em incidentes envolvendo instituições desde o lançamento do sistema, em 2020.
Desse número, 46 milhões correspondem a um vazamento no Conselho Nacional de Justiça (CNJ), em 2025, que expôs dados cadastrais vinculados a 11 milhões de pessoas.
De acordo com o BC, uma mesma chave Pix pode estar envolvida em mais de um incidente, já que as ocorrências envolvem consultas às chaves no Diretório de Identificadores de Contas Transacionais (DICT) feitas por instituições diferentes daquelas às quais as chaves pertencem.
Os incidentes divulgados pelo BC envolvem, em geral, exposição de dados cadastrais vinculados às chaves, como nome do usuário, instituição financeira, agência e número da conta parcialmente mascarados.
Segundo a autoridade monetária, informações protegidas por sigilo bancário, como senhas, saldos e movimentações financeiras, não são afetadas, e os dados expostos não permitem a realização de transferências ou acesso às contas.
As ocorrências costumam estar relacionadas a consultas indevidas ao DICT, base de dados mantida pelo Banco Central que reúne as chaves Pix e faz a ligação entre cada identificador, como CPF, telefone ou e-mail, e a conta bancária do usuário.
O que são consultas irregulares ao sistema do Pix
- São acessos indevidos ao DICT, base que liga cada chave Pix à conta bancária do usuário;
- Ocorrem quando instituições realizam consultas sem que haja uma transação Pix legítima associada, o que foge da finalidade do sistema;
- Em alguns casos, as consultas podem ser feitas em grande volume ou de forma automatizada, para verificar várias chaves ao mesmo tempo;
- Essas buscas podem revelar dados cadastrais vinculados às chaves, como nome do titular e informações da conta parcialmente mascaradas;
- Segundo o Banco Central, essas consultas não permitem acessar contas nem movimentar recursos, mas são tratadas como incidentes de segurança e precisam ser divulgadas.
Incidentes envolvendo chaves Pix
Desde o lançamento do Pix, em novembro de 2020, o BC já divulgou diversos incidentes de segurança envolvendo dados associados a chaves do sistema de pagamentos instantâneos.
As ocorrências são comunicadas publicamente pela autoridade monetária sempre que há exposição indevida de informações vinculadas às chaves, ainda que o impacto potencial para os usuários seja considerado baixo. O volume total de registros foi impulsionado principalmente por alguns episódios de grande escala.
O maior deles ocorreu em 2025, quando um incidente envolvendo o CNJ resultou na exposição de dados relacionados a dezenas de milhões de chaves.
Outros casos, envolvendo instituições financeiras e empresas participantes do sistema, também contribuíram para elevar o número acumulado ao longo dos últimos anos. O caso mais recente envolveu o Agibank e expôs mais de 5 mil chaves Pix.
Confira os maiores incidentes que já aconteceram no âmbito do Pix:
2021
- Banco do Estado do Sergipe: 414 mil chaves expostas;
- Acesso Soluções de Pagamento: 160 mil chaves expostas.
2022
- Abastece Ai Clube Automobilista Payment: 137 mil chaves expostas.
2024
- 99Pay Instituição de Pagamento: 39 mil chaves expostas.
2025
- Conselho Nacional de Justiça: 46 milhões de chaves expostas.
Embora os episódios sejam pontuais e tenham origens distintas, a divulgação periódica desses casos pelo Banco Central faz parte de uma política de transparência adotada pela autoridade monetária desde a criação do Pix.
A medida busca informar os usuários sempre que há exposição de dados vinculados às chaves, mesmo quando não há risco de movimentação indevida de recursos.
O regulador também afirma que o Pix segue seguro e que os casos registrados não comprometem a infraestrutura do sistema de pagamentos.
De acordo com o BC, as ocorrências costumam estar associadas a falhas pontuais em instituições participantes, e não ao funcionamento do arranjo em si. A autoridade monetária ressalta ainda que acompanha os episódios e pode adotar medidas de supervisão e sanções quando são identificadas irregularidades.
