- Novo tipo de fraude no Pix substitui QR Code em lojas virtuais, afetando 90 e-commerces brasileiros.
- Fraude ativa desde junho de 2025, envolvendo lojas de óticas, autopeças e moda, usando plataforma Magento.
- Criminosos usam seis domínios para inserir código malicioso, desviando dinheiro das transações.
- Consumidores notam o golpe após atrasos na entrega, enquanto criminosos transferem valores para contas de "laranjas".
- Lojistas devem atualizar sistemas, reforçar autenticação e validar pagamentos via Pix para evitar fraudes.
Uma nova modalidade de fraude que altera o QR Code do Pix nas páginas de pagamento de lojas virtuais está atingindo e-commerces brasileiros. A empresa de cibersegurança Kaspersky identificou, até o momento, 90 lojas de pequeno e médio portes infectadas no país por um programa malicioso que substitui o código original por um fraudulento e desvia o dinheiro das transações.
O programa foi descoberto recentemente pelo pesquisador de segurança independente conhecido como “eremit4”. Segundo a Kaspersky, a fraude está ativa desde junho de 2025 e já afetou lojas de diferentes segmentos, como óticas, autopeças, moda e plataformas de vaquinhas virtuais.
Golpe atinge lojas que usam Magento
De acordo com a Kaspersky, todas as vítimas identificadas até agora têm um ponto em comum: utilizam a plataforma de comércio eletrônico de código aberto Magento.
Os criminosos utilizam seis domínios de comando e controle para inserir o código malicioso nas páginas de checkout. Quando o cliente escolhe o Pix como forma de pagamento, o programa substitui o QR Code gerado pela loja e também os dados da opção de pagamento por “copia e cola”.
A fraude ocorre de forma silenciosa. Para o lojista, a compra aparece como abandonada ou pendente, já que o sistema oficial não registra o pagamento.
O consumidor, por sua vez, geralmente só percebe o golpe dias depois, ao procurar a loja por causa do atraso na entrega. Nesse período, os criminosos podem transferir o dinheiro para diferentes contas de “laranjas”, dificultando a recuperação dos valores.
Consumidores também estão vulneráveis
Segundo Fabio Assolini, pesquisador líder de segurança da Kaspersky, a estratégia tem potencial de se espalhar e também pode atingir consumidores que fazem compras pelo celular.
Como a grande maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está amplamente vulnerável, explicou.
Assolini também alertou que novas modalidades de pagamento, como Pix Automático e Pix Parcelado, ampliam a superfície de ataque por utilizarem QR Code. Segundo o pesquisador, sem as devidas proteções, a fraude pode permitir até débitos recorrentes e indevidos na conta da vítima.
Como se proteger
Lojistas
- Mantenha a plataforma atualizada: Sistemas de gerenciamento de conteúdo (CMS) e frameworks desatualizados, são portas de entrada fáceis para invasões. Aplique correções de segurança imediatamente e descontinue o uso de versões sem suporte oficial.
- Reforce a autenticação: O uso de senhas vazadas para invadir painéis administrativos é uma das táticas mais comuns na América Latina. Exija a autenticação em duas etapas (2FA) e troque senhas periodicamente na hospedagem, no painel e na implantação, evitando que o vazamento de um único acesso comprometa toda a operação.
- Audite e monitore o checkout: Como a adulteração de dados ocorre diretamente no navegador do cliente, apenas monitorar o servidor não basta. Implemente ferramentas de verificação de integridade de arquivos nos modelos de checkout e faça auditorias constantes na página em execução.
- Valide os pagamentos via Pix: Automatize a verificação entre os comprovantes de pagamento e o status das vendas. Configure alertas automáticos para pedidos que permaneçam pendentes além do tempo esperado de liquidação do Pix.
- Seja transparente no momento do pagamento: Insira os dados reais da conta beneficiária (Nome da Empresa e CNPJ) na página de conclusão da compra, instruindo o cliente a realizar a conferência antes de finalizar o pagamento no aplicativo do banco.
Consumidores
- Verifique o nome do destinatário: Antes de confirmar qualquer transação no aplicativo do banco, confira atentamente se o nome e o CNPJ apresentados na tela pertencem à loja em que a compra está sendo feita ou ao intermediador de pagamento oficial dela. Se o nome for divergente ou de pessoa física desconhecida, não conclua a transferência.
- Use proteção no dispositivo: Tenha um bom software de segurança instalado em seu computador e celular. Soluções robustas bloqueiam acessos a endereços perigosos em tempo real. Durante a compra, caso receba um alerta de que a página está infectada ou comprometida, interrompa a navegação imediatamente e não conclua a compra.
(Com informações do Extra)