Uma campanha de fraude digital identificada em lojas virtuais brasileiras mostra um risco diferente dos golpes tradicionais com Pix: o site do comércio eletrônico é comprometido, e não necessariamente o celular ou computador do comprador.
Segundo reportagem da Folha de S.Paulo com análise confirmada pela Kaspersky, o código malicioso consegue substituir o QR Code e o conteúdo do Pix Copia e Cola exibidos no checkout, redirecionando o pagamento para contas controladas por criminosos.
A ameaça também pode capturar dados de cartão quando essa opção é utilizada.
O ataque acontece dentro da loja
Nesse tipo de fraude, o consumidor pode estar acessando o endereço verdadeiro de uma loja real. O problema está no código do próprio site, alterado depois que criminosos conseguem comprometê-lo.
Por isso, sinais clássicos de phishing — como domínio estranho, página visualmente malfeita ou conexão insegura — podem não aparecer.
A campanha observada atingiu principalmente lojas de pequeno e médio porte que utilizam Magento, plataforma amplamente empregada em comércio eletrônico.
Pix pode ser trocado em tempo real
Quando o cliente escolhe Pix, o malware intercepta a etapa de pagamento e apresenta um QR Code ou código Copia e Cola diferente daquele gerado originalmente para a compra.
A tela pode continuar parecendo normal. A principal oportunidade de detectar a fraude aparece no aplicativo do banco: o nome do destinatário e outros dados da transação precisam ser conferidos antes da confirmação.
Se o recebedor não tiver relação com a loja ou intermediador esperado, o pagamento não deve ser concluído.
Cartões também entram no alvo
A mesma infecção pode ser usada para capturar informações inseridas no checkout, incluindo dados de cartões.
Para reduzir o risco, especialistas recomendam o uso de cartões virtuais, limites temporários e notificações imediatas de compra.
Do lado das lojas, manter a plataforma e extensões atualizadas, limitar acessos administrativos, utilizar autenticação multifator e monitorar mudanças inesperadas no código são medidas importantes.
O que fazer se o Pix já foi enviado
Em caso de fraude, a orientação é entrar em contato imediatamente com a instituição financeira e solicitar a abertura do Mecanismo Especial de Devolução (MED), quando aplicável.
O mecanismo não garante a recuperação do dinheiro: o resultado depende da identificação dos recursos e da existência de saldo disponível nas contas envolvidas.
Também é recomendável registrar a ocorrência e guardar comprovantes, dados do pedido e informações sobre o recebedor.
O episódio reforça uma regra básica de segurança no Pix: a última tela do banco é parte da verificação. Mesmo quando a loja parece legítima, o destinatário exibido antes da confirmação precisa ser conferido.