A compra parece normal. O produto está no carrinho, o site exibe o valor correto e o cliente escolhe pagar pelo Pix. Em poucos segundos, surge o código na tela, pronto para ser escaneado. O aplicativo do banco reconhece a cobrança e pede apenas a confirmação. Nada parece suspeito, mas o dinheiro pode estar prestes a seguir para a conta de um criminoso.
Esse é o funcionamento de um novo ataque identificado em lojas virtuais brasileiras. Um código malicioso invade o site e substitui o QR Code do Pix legítimo por outro, criado para direcionar o pagamento aos golpistas. A mudança acontece em tempo real, justamente no momento em que o consumidor fecha a compra.
O caso chama atenção porque a vítima pode estar utilizando um celular protegido, um aplicativo bancário oficial e uma conexão aparentemente segura. O problema não está necessariamente no aparelho de quem compra, mas no ambiente da própria loja virtual. Segundo informações confirmadas pela empresa de segurança digital Kaspersky, pelo menos 90 sites brasileiros foram encontrados com o código malicioso.
O prazo para contestar pode ser de até 80 dias, mas a chance de recuperação tende a ser maior quando a vítima reage imediatamente
Como o malware troca o QR Code do Pix?
A ameaça foi descoberta pelo pesquisador independente conhecido como eremit4 e posteriormente analisada pela Kaspersky. Os sites afetados utilizavam o Magento, uma plataforma de comércio eletrônico bastante conhecida e empregada especialmente por lojas de pequeno e médio porte.
Depois de invadir o sistema da loja, o malware permanece escondido no código da página. Quando o consumidor escolhe o Pix e solicita o pagamento, o site deveria gerar um QR Code com os dados da empresa responsável pela venda. É nesse momento que o ataque entra em ação.
O código legítimo é interceptado e substituído por um QR Code do Pix vinculado a uma conta controlada pelos criminosos. O valor da compra pode permanecer igual, assim como os demais elementos exibidos na página. Por isso, o cliente não encontra erros de digitação, janelas inesperadas ou alertas que denunciem a alteração.
O cliente acredita que está pagando pela compra, mas o QR Code do Pix pode ter sido trocado segundos antes da leitura.
A fraude também alcança quem realiza a compra pelo celular e utiliza a opção Pix Copia e Cola. Nesse caso, o malware altera a sequência de caracteres apresentada na página. Quando o usuário copia o código e o insere no aplicativo bancário, os dados fraudulentos já estão incorporados à cobrança.
Esse tipo de ataque é comparado ao chamado Magecart, nome associado a invasões de lojas virtuais para roubar informações de cartões. A diferença é que a versão encontrada no Brasil foi adaptada para a popularidade dos pagamentos instantâneos.
O perigo está na loja, não necessariamente no celular
Um dos aspectos mais preocupantes desse golpe é sua capacidade de alcançar vários consumidores ao mesmo tempo. Em ataques tradicionais, o criminoso tenta infectar individualmente o celular ou o computador de cada vítima. Neste caso, basta comprometer o site da loja para manipular os pagamentos de todos os clientes que passarem pelo checkout infectado.
Isso significa que manter o antivírus atualizado continua sendo uma medida importante, mas pode não impedir essa fraude específica. Como a alteração ocorre no servidor ou no código da loja, o navegador do comprador pode receber o QR Code falso como se ele fosse uma parte normal da página.
A ameaça ainda pode agir quando o consumidor escolhe pagar com cartão de crédito. Segundo a investigação divulgada pela Folha de S.Paulo, o malware é capaz de copiar os dados informados no checkout para que sejam utilizados em fraudes posteriores.
Nesse cenário, a loja pode receber normalmente o valor da compra, enquanto o consumidor permanece exposto à clonagem do cartão. Por isso, cartões virtuais temporários ou de uso único são opções mais seguras para compras online, desde que o banco ofereça essa funcionalidade.
Como conferir o QR Code do Pix e evitar o golpe?
A principal barreira contra esse ataque aparece no aplicativo bancário, antes da autorização definitiva. Ao escanear um QR Code do Pix, o usuário deve conferir o nome do recebedor, o CPF ou CNPJ apresentado, a instituição financeira e o valor da operação.
Se o pagamento estiver sendo feito para uma empresa conhecida, mas o aplicativo mostrar o nome de uma pessoa física desconhecida, a recomendação é interromper a transação e procurar a loja por um canal oficial. O mesmo vale quando o nome empresarial exibido não possui qualquer relação aparente com o estabelecimento.
É importante considerar que pequenos negócios podem utilizar uma conta registrada em nome do proprietário. Isso não significa automaticamente que exista uma fraude. Entretanto, diante dessa situação, o consumidor deve confirmar a informação diretamente com a empresa antes de enviar o dinheiro.
Lojistas podem ajudar divulgando no checkout o nome e o CPF ou CNPJ que aparecerão na tela do banco. Dessa forma, o cliente consegue comparar as informações e perceber uma eventual substituição do destinatário.
O cliente acredita que está pagando pela compra, mas o QR Code do Pix pode ter sido trocado segundos antes da leitura
O que fazer se o dinheiro for enviado aos criminosos?
Quem identificar um pagamento fraudulento deve entrar em contato com o banco imediatamente. Muitos aplicativos oferecem uma opção como “Contestar Pix”, “Relatar problema” ou “Fui vítima de golpe” dentro dos detalhes da transação.
A vítima pode solicitar a abertura do Mecanismo Especial de Devolução, conhecido como MED. Criado pelo Banco Central, esse procedimento permite que as instituições analisem a fraude, rastreiem os valores e bloqueiem recursos ainda disponíveis nas contas envolvidas.
O pedido pode ser apresentado em até 80 dias depois da transação, mas esperar é uma péssima estratégia. Criminosos costumam transferir o dinheiro rapidamente para outras contas, conhecidas como contas laranja. Quanto mais cedo o banco for avisado, maior será a possibilidade de localizar e bloquear algum valor.
O MED não funciona como um cancelamento automático da transferência. A devolução depende da análise das instituições e da existência de saldo nas contas que receberam o dinheiro. Conforme as regras explicadas sobre o mecanismo, ele é destinado a casos de golpe, fraude ou crime, e não a arrependimentos, transferências erradas ou simples desacordos comerciais.
O prazo para contestar pode ser de até 80 dias, mas a chance de recuperação tende a ser maior quando a vítima reage imediatamente.
Além de acionar o banco, é recomendável guardar o comprovante do Pix, fazer capturas de tela da compra, salvar mensagens trocadas com a loja e registrar um boletim de ocorrência. Esses documentos podem ajudar na apuração e demonstrar que o pagamento foi desviado durante uma compra legítima.
Para os lojistas, o episódio reforça a necessidade de manter o Magento e outros sistemas de comércio eletrônico atualizados. Senhas administrativas fortes e exclusivas, autenticação em duas etapas, controle de acessos, monitoramento do código e ferramentas de segurança também reduzem as possibilidades de invasão.
A fraude não representa uma falha no funcionamento do Pix em si. O sistema bancário processa corretamente as informações presentes no código, mas o destinatário foi adulterado antes de a cobrança chegar ao aplicativo. É como receber um boleto aparentemente verdadeiro com os dados bancários trocados.
A lição é simples, embora exija uma mudança de hábito. O QR Code do Pix agiliza o pagamento, mas não deve transformar a confirmação em um gesto automático. Antes de tocar no botão final, vale gastar alguns segundos conferindo quem realmente receberá o dinheiro. Em um golpe praticamente invisível, essa pequena pausa pode ser a única pista disponível.
