“Golpe do Pix" afeta 90 lojas virtuais brasileiras

Uma nova modalidade de fraude que altera o QR Code do Pix tem atingido lojas virtuais brasileiras de pequeno e médio porte. A empresa de cibersegurança Kaspersky identificou, até o momento, 90 e-commerces infectados no país por um programa malicioso que substitui o código Pix original por um fraudulento, desviando os valores das transações diretamente para os criminosos.

Como o golpe afeta o e-commerce?

O programa malicioso foi descoberto pelo pesquisador de segurança independente conhecido como "eremit4". Segundo a Kaspersky, a fraude está ativa desde junho de 2025 e já afetou lojas de diversos segmentos, como óticas, autopeças, moda e plataformas de vaquinhas virtuais. Um ponto em comum entre as vítimas é o uso da plataforma de comércio eletrônico de código aberto Magento.

Os criminosos usam seis domínios de comando e controle para injetar código malicioso nas páginas de checkout. Assim que o cliente seleciona o pagamento via Pix, o código troca instantaneamente o QR Code gerado pela loja, além dos dados da opção "copia e cola".

Para o lojista, o golpe é praticamente invisível no primeiro momento: a compra aparece como abandonada ou pendente, já que o sistema oficial da loja não registra o recebimento do pagamento. O cliente, por sua vez, só percebe que foi vítima dias depois, ao entrar em contato com a loja para reclamar do atraso na entrega. Esse intervalo é suficiente para que os criminosos distribuam o valor roubado em diversas contas de laranjas, dificultando a recuperação do dinheiro.

Fabio Assolini, pesquisador líder de segurança da Kaspersky, afirma que a técnica tem grande potencial de disseminação, já que agora é pública em fóruns de cibercrime, o que deve levar outros grupos criminosos a adotá-la rapidamente. Ele destaca ainda que inovações como o Pix Automático e o Pix Parcelado, que também dependem da leitura de um QR Code, expandem a superfície de ataque e podem abrir espaço até para débitos recorrentes indevidos na conta do cliente, caso as devidas proteções não sejam aplicadas pela loja.

O que as lojas afetadas já estão fazendo?

Segundo a Kaspersky, alguns sites afetados começaram a adotar medidas provisórias depois de receberem denúncias de clientes. Algumas lojas removeram o QR Code e passaram a exibir apenas a chave Pix, o CNPJ, solicitando o envio manual do comprovante. Outras inseriram os dados do beneficiário real abaixo do código para estimular a dupla verificação, ou migraram suas estruturas para intermediadores de pagamento de terceiros.

Como o lojista pode proteger a loja virtual?

A Kaspersky recomenda que e-commerces adotem algumas práticas para reduzir o risco desse tipo de invasão:

• Mantenha a plataforma atualizada: sistemas de gerenciamento de conteúdo e frameworks desatualizados são portas de entrada fáceis para invasões, por isso é importante aplicar correções de segurança imediatamente e descontinuar versões sem suporte oficial.
• Reforce a autenticação: exija autenticação em duas etapas e troque senhas periodicamente na hospedagem, no painel e na implantação, já que o vazamento de um único acesso pode comprometer toda a operação.
• Audite e monitore o checkout: como a adulteração de dados ocorre diretamente no navegador do cliente, monitorar apenas o servidor não basta, sendo necessário implementar ferramentas de verificação de integridade de arquivos e auditar constantemente a página em execução.
• Valide os pagamentos via Pix: automatize a verificação entre os comprovantes de pagamento e o status das vendas, com alertas para pedidos que fiquem pendentes além do tempo esperado de liquidação.
• Seja transparente no momento do pagamento: insira os dados reais da conta beneficiária, nome da empresa e CNPJ, na página de conclusão da compra, instruindo o cliente a conferir essas informações antes de finalizar o pagamento no aplicativo do banco.

Para o consumidor, a orientação da Kaspersky é conferir sempre o nome do destinatário exibido no aplicativo do banco antes de confirmar qualquer transação. Se o nome ou o CNPJ apresentado na tela não corresponder à loja ou ao intermediador de pagamento oficial, a recomendação é não concluir a transferência.