Um novo tipo de golpe está desviando pagamentos via Pix de consumidores brasileiros ao substituir, de forma imperceptível, o QR Code legítimo por um falso nas páginas de pagamento de lojas virtuais. A Kaspersky identificou pelo menos 90 sites de pequeno e médio porte infectados no país, a maioria deles utilizando a plataforma gratuita Magento.
O golpe foi descoberto no dia 1º de setembro pelo pesquisador de segurança independente eremit4, que alertou a Kaspersky sobre a infecção. Segundo o especialista, os criminosos evoluíram “da leitura de dados de cartão para a captura em tempo real do Pix, trocando QR codes durante o checkout para redirecionar pagamentos”.
Como funciona a fraude?
Diferentemente de golpes tradicionais que atacam o dispositivo do consumidor, este malware infecta o próprio site da loja. No momento em que o cliente clica para gerar o pagamento, um script malicioso substitui o QR Code do Pix legítimo por um código que aponta para a conta dos criminosos.
Além do QR Code, o mesmo também acontece com o código “copiar e colar” do Pix, que é trocado pela chave fraudulenta. O dinheiro é então distribuído por múltiplas contas de “laranjas”, dificultando o rastreamento e a devolução às vítimas.
O diretor de investigações da Kaspersky para a América Latina, Fabio Assolini, destacou que o dano potencial é alto justamente porque a infecção ocorre no site e não no aparelho do usuário: “Todos os clientes da loja são potencialmente afetados.”
Além do desvio via Pix, o malware também pode capturar dados de cartão de crédito caso o cliente opte por esse método de pagamento, gerando cobranças fraudulentas posteriores.
Como se proteger
Para os consumidores, a principal recomendação é verificar sempre o nome do recebedor e o CNPJ no aplicativo do banco antes de confirmar qualquer Pix. A alteração ocorre no site, não no aparelho, então a desconfiança é essencial mesmo que o QR Code pareça normal.
Para os lojistas, a Kaspersky recomenda manter o Magento sempre atualizado, utilizar autenticação em dois fatores, monitorar as páginas de checkout e comparar os pedidos com os pagamentos efetivamente recebidos. Algumas lojas já removeram o QR Code e passaram a exibir apenas a chave Pix (CNPJ) como medida preventiva.
Caso o consumidor perceba inconsistências ou tenha sido vítima, deve contatar o banco imediatamente para tentar bloquear a transação e registrar um Boletim de Ocorrência. A velocidade de reação é o fator mais crítico para a recuperação do valor desviado.
