Criminosos virtuais infectaram ao menos 90 lojas virtuais de pequeno e médio portes no Brasil para adulterar o QR Code do PIX no momento do pagamento. O programa malicioso altera o código original e a opção "copia e cola", desviando o dinheiro das compras diretamente para contas de laranjas. A fraude foi identificada pela empresa de cibersegurança Kaspersky após descoberta do pesquisador independente "eremit4".
Receba nossas notícias NO CELULAR
WHATSAPP: As regras de privacidade dos grupos são definidas pelo WhatsApp.
WhatsApp
Telegram
Ao entrar, seu número pode ser visto por outros integrantes do grupo.
- Londrina EC e Operário podem ser denunciados por confusão após jogo no VGD
O ataque afeta plataformas que utilizam o sistema de código aberto Magento e atinge setores variados, como óticas, autopeças e moda. A ação ocorre de forma silenciosa na página de finalização do pedido. Para o comerciante, a venda consta apenas como abandonada, enquanto o consumidor descobre a fraude somente ao cobrar a entrega do produto dias depois.
Especialistas alertam que a tática amplia os riscos com o avanço de novas ferramentas, a exemplo do PIX Automático e do PIX Parcelado. Como a adulteração afeta também a chave copiada no celular, consumidores que utilizam dispositivos móveis ficam igualmente vulneráveis a cobranças indevidas ou transferências incorretas.
Lojas afetadas adotaram medidas emergenciais, como a exibição direta do CNPJ para conferência e a remoção temporária do QR Code. Para evitar prejuízos, consumidores devem conferir o nome do destinatário e o CNPJ no aplicativo bancário antes de confirmar qualquer envio. Lojistas precisam atualizar os sistemas de gerenciamento, reforçar a autenticação em duas etapas e monitorar a integridade das páginas de checkout.
Como o novo golpe do QR Code do PIX funciona
A vulnerabilidade explorada pelos cibercriminosos ocorre na etapa final da compra on-line, conhecida como checkout. Injetado em plataformas como o Magento via falhas de segurança, o código malicioso altera a requisição dos dados de pagamento antes que o consumidor visualize a tela de confirmação.
Na visão do consumidor
O cliente seleciona os produtos em uma loja virtual e escolhe pagar via PIX. Na tela final, o site apresenta um QR Code e a chave do tipo "copia e cola". Ao escanear a imagem ou colar o código no aplicativo do banco, o valor exibido é exato, mas o destinatário muda sem o cliente perceber. Se o consumidor não conferir a razão social ou o CNPJ do favorecido antes de digitar a senha, o valor é enviado diretamente para a conta de um "laranja".
Como se proteger do golpe do QR Code do PIX
Para os lojistas, a prevenção exige a atualização constante dos sistemas de gerenciamento (CMS) e o fim do uso de versões sem suporte. Reforçar a autenticação com verificação em duas etapas (2FA) e trocar senhas periodicamente evita invasões por credenciais vazadas. Além disso, os comerciantes devem auditar a integridade das páginas de checkout, automatizar a validação dos pagamentos para identificar pedidos pendentes e exibir claramente o CNPJ e a razão social na tela final.
Já os consumidores precisam conferir os dados do destinatário no aplicativo do banco antes de concluir a transferência. Caso o nome ou o CNPJ não pertençam ao e-commerce ou ao intermediador oficial, a operação deve ser cancelada. Também é fundamental manter programas de segurança atualizados no celular e no computador, interrompendo a navegação imediatamente ao receber alertas sobre páginas infectadas.
