Foto: Reprodução Magnific
Uma nova modalidade de fraude no comércio eletrônico brasileiro está desviando pagamentos efetuados via Pix em e-commerces de pequeno e médio porte. Por meio de um programa malicioso, criminosos conseguem adulterar o QR Code e a chave no formato “copia e cola” exibidos na tela de finalização da compra, direcionando os valores das transações para contas de terceiros.
Segundo mapeamento da empresa de cibersegurança Kaspersky, ao menos 90 plataformas brasileiras já foram infectadas. Os estabelecimentos atingidos cobrem diversos segmentos, como moda, autopeças, óticas e financiamento coletivo. Todas as páginas afetadas possuem em comum a utilização do sistema de código aberto Magento.
A campanha fraudulenta está ativa desde junho de 2025 e teve sua descoberta atribuída ao pesquisador de segurança conhecido como “eremit4”.
Mecânica do ataque e impacto nas operações
A invasão ocorre pela inserção de scripts maliciosos nas páginas de pagamento das lojas por meio de servidores de comando e controle. No momento em que o consumidor escolhe a opção de pagamento por Pix, o código adulterado substitui a cobrança original pela do fraudador.
A alteração atinge tanto a imagem do QR Code quanto o código alfanumérico gerado. Dessa forma, o cliente conclui a transferência acreditando estar pagando pelo produto, enquanto o dinheiro cai em contas controladas por “laranjas”.
O golpe afeta simultaneamente compradores e lojistas:
Para o estabelecimento: A compra permanece com o status de pendente ou cancelada por falta de pagamento, uma vez que a integração oficial do site não recebe a confirmação bancária.
Para o consumidor: A percepção do problema costuma ocorrer apenas após o atraso na entrega da mercadoria, intervalo que favorece a dispersão do dinheiro acumulado pela quadrilha.
A fraude atinge usuários de computadores e dispositivos móveis indistintamente. De acordo com especialistas, o avanço de ferramentas como o Pix Automático e Parcelado tende a expandir o vetor de ataques desse tipo de praga virtual.
Soluções adotadas por lojistas e medidas de prevenção
Diante do volume de reclamações, proprietários de sites afetados vêm aplicando contornos operacionais para mitigar as perdas. As ações incluem a remoção temporária do QR Code — mantendo apenas chaves manuais acompanhadas da exigência de comprovante —, a migração para intermediadores de pagamento e o detalhamento ostensivo do CNPJ e da razão social da empresa na tela do pedido.
Recomendações para comerciantes
Atualização de softwares: Aplicar correções de segurança com frequência e evitar plataformas sem suporte oficial do fabricante.
Reforço no acesso: Exigir autenticação em dois fatores (2FA) e utilizar credenciais exclusivas para o painel administrativo, hospedagem e repositórios.
Auditoria de código: Monitorar a integridade dos arquivos que rodam no navegador dos clientes durante o checkout.
Cruzamento de dados: Automatizar a verificação entre os pedidos registrados e os recebimentos efetivos em conta corrente.
Orientação aos consumidores
A verificação minuciosa dos dados antes da confirmação da transferência é a principal defesa contra o golpe. No aplicativo do banco, o comprador deve confirmar se a razão social e o CNPJ do destinatário correspondem exatamente à loja ou ao intermediador de pagamento oficial informado. Caso conste o nome de uma pessoa física desconhecida ou de uma empresa distinta, a operação deve ser cancelada imediatamente.
Em situações em que o pagamento indevido já tenha sido efetuado, a orientação é acionar imediatamente a instituição financeira para notificar a fraude e reunir o comprovante, capturas de tela e dados da compra para auxiliar nos procedimentos de contestação e investigação.
