Uma nova modalidade de fraude digital está alterando QR Codes do Pix em páginas de pagamento de lojas virtuais e desviando dinheiro de consumidores. A empresa de cibersegurança Kaspersky identificou, até o momento, 90 e-commerces brasileiros de pequeno e médio portes infectados por um programa malicioso que substitui o código Pix original por outro controlado por criminosos.
O malware foi descoberto recentemente pelo pesquisador de segurança independente conhecido como “eremit4”. Segundo a Kaspersky, a fraude está ativa desde junho de 2025 e já atingiu lojas de diferentes segmentos, incluindo óticas, autopeças, moda e plataformas de vaquinhas virtuais.
Um ponto em comum entre os estabelecimentos afetados é o uso do Magento, plataforma de comércio eletrônico de código aberto.
De acordo com a Kaspersky, os criminosos utilizam seis domínios de comando e controle para injetar códigos maliciosos nas páginas de checkout. Quando o consumidor escolhe o Pix como forma de pagamento, o sistema fraudulento substitui instantaneamente tanto o QR Code legítimo quanto os dados apresentados na opção “copia e cola”.
A fraude é considerada silenciosa porque o pagamento não chega ao sistema oficial da loja. Para o comerciante, o pedido pode aparecer como abandonado ou pendente, já que a transação legítima não é registrada.
O consumidor, por outro lado, pode levar dias para perceber o golpe. Em muitos casos, a descoberta ocorre apenas quando o cliente entra em contato com o e-commerce para reclamar que o produto não foi entregue.
Esse intervalo dá tempo para que os criminosos distribuam o dinheiro roubado entre diferentes contas de “laranjas”, o que dificulta a recuperação dos valores desviados.
Segundo Fabio Assolini, pesquisador líder de segurança da Kaspersky, a estratégia tem grande potencial de disseminação e também ameaça consumidores que realizam compras pelo celular.
“Como a grande maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está amplamente vulnerável. Além disso, com inovações como o Pix Automático e o Pix Parcelado (que também funcionam por meio da leitura de um QR Code), a superfície de ataque se expande, permitindo até mesmo débitos recorrentes e indevidos na conta da vítima, caso as devidas proteções não sejam aplicadas”, explica.
Após denúncias de consumidores, alguns sites atingidos começaram a adotar medidas provisórias para tentar evitar novos golpes.
Segundo a Kaspersky, algumas lojas retiraram o QR Code das páginas e passaram a apresentar somente a chave Pix, como o CNPJ, solicitando posteriormente o envio manual do comprovante.
Outros estabelecimentos passaram a exibir abaixo do código os dados reais do beneficiário para estimular uma segunda conferência por parte do consumidor. Também houve casos de empresas que migraram suas operações para intermediadores de pagamento de terceiros.
Para os lojistas, uma das principais recomendações é manter atualizados os sistemas de gerenciamento de conteúdo, conhecidos como CMS, e os frameworks utilizados na operação. Plataformas desatualizadas e versões sem suporte oficial podem facilitar invasões, por isso as correções de segurança devem ser aplicadas rapidamente.
A autenticação também deve ser reforçada. Segundo a Kaspersky, o uso de senhas vazadas para acessar painéis administrativos está entre as táticas comuns na América Latina. A recomendação é exigir autenticação em duas etapas, conhecida como 2FA, além de trocar senhas periodicamente na hospedagem, no painel administrativo e nos sistemas de implantação.
Outra orientação é auditar e monitorar o checkout. Como a alteração dos dados ocorre diretamente no navegador do consumidor, acompanhar apenas o servidor pode não ser suficiente. As lojas devem adotar ferramentas de verificação da integridade dos arquivos utilizados nas páginas de pagamento e realizar auditorias constantes no checkout em funcionamento.
A validação dos pagamentos por Pix também pode reduzir riscos. A recomendação é automatizar a comparação entre os comprovantes recebidos e o status das vendas, além de configurar alertas para pedidos que permaneçam pendentes por um período superior ao tempo normal de liquidação do Pix.
Os e-commerces também devem apresentar de maneira clara os dados verdadeiros da conta que receberá o pagamento, incluindo nome da empresa e CNPJ, e orientar o cliente a conferir essas informações antes de concluir a operação no aplicativo bancário.
Para os consumidores, a principal precaução é verificar o nome do destinatário antes de confirmar qualquer Pix.
O nome e o CNPJ exibidos pelo banco devem corresponder à loja onde a compra está sendo realizada ou ao intermediador oficial de pagamentos utilizado pelo estabelecimento. Caso apareça uma empresa diferente ou uma pessoa física desconhecida, a transferência não deve ser concluída.
A Kaspersky também recomenda a utilização de softwares de segurança em computadores e celulares. Essas ferramentas podem bloquear o acesso a endereços considerados perigosos em tempo real.
Se durante uma compra surgir um alerta indicando que a página está infectada ou comprometida, a orientação é interromper imediatamente a navegação e não finalizar o pagamento.
Fonte: EXTRA