Um malware descoberto pela Kaspersky está trocando o QR Code do Pix no momento do pagamento em lojas virtuais brasileiras, desviando o dinheiro do cliente direto para conta de criminosos. A empresa de...
Um malware descoberto pela Kaspersky está trocando o QR Code do Pix no momento do pagamento em lojas virtuais brasileiras, desviando o dinheiro do cliente direto para conta de criminosos. A empresa de cibersegurança detectou, até o momento, 90 comércios online de pequeno e médio porte infectados no Brasil.
O programa malicioso, descoberto pelo pesquisador independente conhecido como "eremit4" e verificado pela Kaspersky, substitui o código Pix original gerado pela loja no momento do pagamento por um fraudulento, desviando o dinheiro da vítima para a conta dos golpistas. A fraude está ativa desde junho de 2025 e teve aumento recente nas detecções, já tendo comprometido lojas de segmentos como óticas, autopeças, moda e até sites de arrecadação virtual.
Como o golpe funciona no checkout?
Foi detectado um ponto em comum entre os sites vitimados: o uso da Magento, plataforma de comércio eletrônico de código aberto. A campanha utiliza seis domínios de comando e controle para injetar um código malicioso nas páginas de checkout, e assim que o cliente seleciona o pagamento via Pix, o código troca instantaneamente o QR Code gerado, assim como o dado "copia e cola".
Por que a loja não percebe na hora?
Para o consumidor, o pagamento parece normal, mas o dinheiro cai na conta errada. Do lado da loja, a venda some do sistema — o pedido fica registrado como pendente ou abandonado, porque o Pix nunca chegou de fato à conta correta do comerciante.
Como o lojista pode se proteger?
Especialistas orientam que sistemas de comércio eletrônico, hospedagem e extensões estejam sempre atualizados, com autenticação multifator nos acessos administrativos e controle rigoroso de privilégios. Também é necessário monitorar qualquer alteração em QR Codes, chaves Pix e páginas de checkout, mantendo registros de auditoria, além de validar o QR Code no servidor para evitar que ele seja alterado apenas por scripts no navegador.
Vale lembrar que esse tipo de fraude ataca o checkout de sites de e-commerce. No caixa físico, quando o Pix é lido direto no pinpad integrado ao PDV — como no fluxo de TEF usado pela CGSYS — o código não passa pela mesma página web vulnerável a esse malware.