Golpe altera QR Code do Pix e desvia compras on-line

Um novo golpe que altera o QR Code do Pix nas páginas de pagamento de lojas virtuais vem atingindo e-commerces brasileiros. A empresa de cibersegurança Kaspersky detectou, até o momento, 90 comércios on-line de pequeno e médio porte infectados no Brasil por um programa malicioso que substitui o código Pix original por um fraudulento e desvia os valores dessas transações.

O programa malicioso foi descoberto recentemente pelo pesquisador de segurança independente conhecido como "eremit4". Segundo a Kaspersky, a fraude está ativa desde junho de 2025 e já afetou lojas de diversos segmentos, como óticas, autopeças, moda e plataformas de vaquinhas virtuais. Há um ponto em comum entre as vítimas: o uso da plataforma de comércio eletrônico de código aberto Magento.

Os cibercriminosos utilizam seis domínios de comando e controle para injetar código malicioso nas páginas de checkout. Assim que o cliente seleciona o pagamento via Pix, o código troca instantaneamente o QR Code gerado pela loja, além dos dados da opção "copia e cola".

Como o golpe age sem ser notado

Segundo a Kaspersky, o golpe é silencioso. Para o lojista, a compra aparece como "abandonada" ou pendente, pois o sistema oficial da loja não registra o recebimento. Já o cliente só percebe que foi vítima dias depois, ao entrar em contato com o e-commerce para reclamar do atraso na entrega. Esse intervalo é suficiente para que os criminosos distribuam o valor roubado em diversas contas de "laranjas", dificultando a recuperação do dinheiro.

Segundo Fabio Assolini, pesquisador líder de segurança da Kaspersky, a tática tem grande potencial de disseminação, pois "com a técnica agora pública nos fóruns do cibercrime, outros grupos criminosos devem adotá-la rapidamente". Ele ainda destaca que até consumidores que compram pelo celular estão vulneráveis: como a maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está exposto. Com inovações como o Pix Automático e o Pix Parcelado, que também funcionam por leitura de QR Code, a superfície de ataque se expande, permitindo até débitos recorrentes e indevidos na conta da vítima, caso as devidas proteções não sejam aplicadas.

Medidas provisórias e proteção

Segundo a Kaspersky, alguns sites afetados começaram a adotar medidas provisórias após denúncias de clientes. Algumas lojas removeram o QR Code e passaram a exibir apenas a chave Pix (CNPJ), solicitando o envio manual do comprovante. Outras inseriram os dados do beneficiário real abaixo do código para estimular a dupla verificação ou migraram suas estruturas para intermediadores de pagamento de terceiros.

Para o consumidor, a orientação é verificar o nome do destinatário antes de confirmar qualquer transação no aplicativo do banco. Se o nome e o CNPJ apresentados na tela não pertencerem à loja ou ao intermediador oficial, não conclua a transferência. Manter um software de segurança atualizado no computador e no celular também ajuda a bloquear acessos a endereços perigosos em tempo real.