Um novo golpe do Pix conseguiu atingir o próprio sistema de lojas virtuais brasileiras para alterar silenciosamente os dados de pagamento apresentados ao consumidor no momento da compra.
A Kaspersky confirmou a infecção de pelo menos 90 e-commerces de pequeno e médio portes no Brasil. O código malicioso substitui o QR Code legítimo gerado pela loja por outro associado a contas controladas pelos criminosos.
O ataque também consegue modificar o Pix Copia e Cola, ampliando o risco para quem realiza toda a compra pelo celular e não utiliza a câmera para escanear um QR Code.
A ameaça foi descoberta em 1º de setembro de 2026 pelo pesquisador independente conhecido como eremit4 e posteriormente verificada pela Kaspersky. A empresa informou que a campanha está ativa desde junho de 2025 e registrou aumento recente nas detecções.
Leia mais:
Nestlé, Electrolux e outras empresas viram alvo de posts enganosos sobre fábricas no Brasil
Golpe do Pix já atingiu 90 lojas brasileiras
As lojas identificadas pela investigação atuam em segmentos diferentes, incluindo óticas, autopeças, moda e plataformas de arrecadação de dinheiro, conhecidas como vaquinhas virtuais.
Existe, porém, uma característica comum entre os casos analisados.
Todos os estabelecimentos comprometidos identificados pela Kaspersky utilizavam o Magento, plataforma de comércio eletrônico de código aberto.
Isso não significa que qualquer site construído com Magento esteja infectado.
A própria análise chama atenção para a importância da manutenção da plataforma. Instalações desatualizadas e falhas no gerenciamento das correções de segurança podem criar oportunidades para criminosos explorarem vulnerabilidades e modificarem partes do site.
O problema se torna especialmente grave porque, nesse golpe, o consumidor pode estar acessando a página verdadeira da loja.
Não é necessário entrar em um endereço falso ou instalar um programa desconhecido para que o pagamento seja desviado.
Como o malware troca o QR Code do Pix?
A fraude atua justamente na etapa mais sensível da compra: o checkout.
Segundo a investigação, a campanha utiliza seis domínios de comando e controle para inserir código malicioso nas páginas comprometidas.
Quando o consumidor seleciona o Pix como forma de pagamento, o site deveria gerar o QR Code legítimo do estabelecimento ou de seu intermediador financeiro.
O programa invasor interfere nesse processo.
Em poucos instantes, ele substitui:
- o QR Code verdadeiro;
- o código do Pix Copia e Cola;
- os dados necessários para direcionar a transação.
O comprador continua vendo uma cobrança aparentemente normal.
Ao abrir o aplicativo bancário e ler o QR Code, entretanto, a instituição financeira prepara a transferência para a conta determinada pelo código fraudulento.
Se o usuário não conferir o destinatário antes de autorizar, o dinheiro é enviado aos criminosos.
Loja verdadeira também pode aplicar um Pix falso sem saber
Essa característica diferencia o ataque de muitos golpes tradicionais de comércio eletrônico.
Em uma fraude de phishing, normalmente o criminoso cria uma página que imita determinada empresa e tenta convencer o consumidor de que aquele endereço é legítimo.
No caso identificado pela Kaspersky, a própria loja verdadeira foi comprometida.
O endereço pode estar correto, o certificado do site pode estar válido, o catálogo pode funcionar normalmente e o produto realmente pode existir.
O problema aparece somente na etapa de pagamento.
Por isso, observar apenas o endereço da página não é suficiente para detectar esse tipo de ataque.
Pedido fica pendente mesmo depois de o cliente pagar
O golpe também gera uma situação que pode atrasar a descoberta da fraude.
Quando o consumidor efetua o Pix adulterado, o dinheiro não passa pelo sistema financeiro associado ao pedido verdadeiro.
Para a loja, portanto, aquele pagamento nunca aconteceu.
O pedido pode continuar sendo exibido como pendente, abandonado ou aguardando pagamento.
Já o consumidor vê a transferência concluída em seu aplicativo bancário e acredita que a compra foi quitada.
Segundo a Kaspersky, muitas vítimas podem perceber o problema somente dias depois, quando entram em contato com a loja para perguntar por que o produto não foi enviado.
Esse intervalo favorece os criminosos.
Criminosos pulverizam dinheiro em contas de terceiros
Depois de receber o Pix, os fraudadores podem rapidamente transferir os valores para outras contas.
A prática utiliza as chamadas contas de “laranjas” e busca dificultar o rastreamento e a recuperação do dinheiro.
Quanto maior o intervalo entre a transferência e a identificação do golpe, menores podem ser as chances de ainda existir saldo disponível para bloqueio.
Por isso, quem identificar uma transação fraudulenta deve comunicar imediatamente a própria instituição financeira.
Pix Copia e Cola também está vulnerável
Evitar o QR Code não é suficiente nesse caso.
O mesmo código malicioso identificado pela investigação também modifica os dados da opção Pix Copia e Cola.
Isso é particularmente relevante para consumidores que fazem compras pelo smartphone.
Como não é possível apontar a câmera do próprio celular para a tela, muitos usuários copiam o código disponibilizado pela loja e o colam diretamente no aplicativo do banco.
Se o site estiver comprometido, esse conteúdo também pode ter sido substituído.
A principal barreira passa a ser a conferência dos dados mostrados pelo banco antes da autorização.
Confira o nome de quem vai receber o Pix
Antes de digitar a senha ou utilizar a biometria para concluir uma transferência, o consumidor deve parar na tela final e conferir quem aparece como beneficiário.
A Kaspersky recomenda verificar especialmente nome ou razão social e CNPJ apresentados pelo aplicativo bancário.
Se uma compra estiver sendo realizada em uma empresa e o Pix aparecer destinado a uma pessoa física desconhecida, a operação não deve ser concluída.
Também é preciso considerar que algumas lojas utilizam intermediadores de pagamento.
Nesses casos, o nome exibido pelo banco pode pertencer à empresa responsável por processar legitimamente a cobrança. O estabelecimento deve informar essa situação de forma clara ao comprador.
Em caso de dúvida, o mais seguro é interromper o pagamento e entrar em contato com a empresa por um canal oficial.
Malware também pode colocar cartões de crédito em risco
O ataque não está limitado ao Pix.
Análises da ameaça indicam que o mesmo tipo de comprometimento pode capturar informações inseridas durante pagamentos com cartão de crédito, característica associada aos ataques conhecidos como Magecart.
Nessa modalidade, códigos maliciosos são implantados em lojas virtuais para roubar informações digitadas pelos consumidores no checkout.
O pesquisador eremit4 chegou a definir a campanha identificada no Brasil como uma espécie de “novo Magecart brasileiro”, pela adaptação da lógica do ataque ao sistema de pagamentos instantâneos.
A diferença é que o Pix permite desviar o pagamento imediatamente, sem a necessidade de esperar pelo uso posterior de dados roubados.
Por que o Magento aparece nos ataques?
Magento Open Source é uma plataforma legítima amplamente utilizada para criação de lojas virtuais.
O fato de os 90 sites identificados utilizarem o sistema não significa que a plataforma, por si só, esteja realizando a fraude.
O risco aumenta quando uma instalação deixa de receber atualizações, correções de vulnerabilidades ou monitoramento adequado.
A Kaspersky recomenda que comerciantes mantenham sistemas de gerenciamento de conteúdo e frameworks atualizados e abandonem versões que já não recebam suporte de segurança.
A Adobe, responsável atualmente pelo ecossistema Magento e Adobe Commerce, também mantém a autenticação em dois fatores como mecanismo de proteção do painel administrativo e recomenda que o recurso não seja desativado.
Como lojistas podem reduzir o risco do golpe?
A prevenção exige mais do que instalar uma correção e considerar o problema resolvido.
Como o código adulterado pode ser executado durante o checkout no navegador do comprador, o monitoramento da página final de pagamento ganha importância.
Entre as medidas recomendadas estão:
- instalar rapidamente as atualizações de segurança do Magento e demais componentes;
- abandonar versões que já não tenham suporte;
- manter autenticação em dois fatores no painel administrativo;
- utilizar senhas exclusivas e protegidas para hospedagem e implantação;
- monitorar alterações em arquivos relacionados ao checkout;
- analisar a página executada no navegador do comprador;
- criar alertas para pedidos via Pix que permaneçam pendentes por tempo anormal;
- conciliar automaticamente pagamentos recebidos e pedidos registrados;
- informar claramente ao comprador o nome e o CNPJ do beneficiário esperado.
A Kaspersky destaca que observar somente o servidor pode não ser suficiente quando a adulteração acontece no conteúdo apresentado ao cliente.
Lojas atingidas mudaram temporariamente a cobrança
Alguns dos estabelecimentos afetados adotaram medidas emergenciais depois de receber reclamações.
Segundo a investigação, houve casos em que lojas retiraram temporariamente o QR Code e passaram a informar diretamente uma chave Pix associada ao CNPJ.
Outras começaram a exibir os dados do verdadeiro beneficiário abaixo do código para incentivar a conferência antes da transferência.
Também houve empresas que migraram o processamento das cobranças para intermediadores externos enquanto analisavam a segurança da infraestrutura.
Essas medidas, porém, não substituem a correção da vulnerabilidade que permitiu o comprometimento.
O que fazer depois de pagar um Pix fraudulento?
Quem percebeu que enviou dinheiro para um destinatário fraudulento deve agir rapidamente.
O Banco Central orienta a vítima de golpe a entrar em contato com seu banco e solicitar a contestação da operação.
A instituição pode iniciar o Mecanismo Especial de Devolução (MED) do Pix.
De forma simplificada, o processo envolve:
- comunicação da fraude ao banco;
- abertura da notificação de infração;
- tentativa de bloqueio do dinheiro existente na conta do suspeito;
- análise das instituições financeiras envolvidas;
- devolução total ou parcial caso a fraude seja confirmada e existam recursos disponíveis.
O Banco Central informa que o pedido relacionado a fraude pode ser feito em até 80 dias após o Pix, embora comunicar o banco rapidamente aumente a possibilidade prática de localizar recursos antes que sejam movimentados.
A vítima também deve registrar boletim de ocorrência.
MED não garante recuperação de todo o dinheiro
O Mecanismo Especial de Devolução aumenta a possibilidade de ressarcimento, mas não funciona como um seguro.
Se o criminoso retirar ou transferir o dinheiro antes do bloqueio, pode não existir saldo suficiente para uma devolução imediata.
O Banco Central prevê mecanismos de bloqueios e devoluções posteriores quando houver recuperação parcial dos recursos, dentro das regras aplicáveis ao MED.
É justamente por isso que a pulverização rápida dos valores entre diferentes contas é utilizada pelos criminosos.
A estratégia dificulta a recuperação e aumenta a importância de comunicar a fraude assim que ela for percebida.
Pix Automático amplia preocupação com páginas adulteradas
Ao comentar a descoberta, Fabio Assolini, pesquisador líder de segurança da Kaspersky, chamou atenção para a expansão das modalidades de pagamento vinculadas ao Pix.
Segundo o especialista, tecnologias como Pix Automático e outras formas de pagamento baseadas na infraestrutura do Pix aumentam a superfície que precisa ser protegida contra adulterações em páginas de cobrança.
Isso não significa que o Pix Automático esteja comprometido pela campanha identificada.
O alerta é sobre a possibilidade de criminosos adaptarem a mesma lógica de manipulação do checkout para novos fluxos de pagamentos caso lojas e intermediadores não reforcem seus controles.
Consumidor deve conferir os dados mesmo em lojas conhecidas
O aspecto mais preocupante do ataque identificado em 2026 é justamente a dificuldade de perceber visualmente que alguma coisa está errada.
O consumidor pode conhecer a loja, estar no endereço correto e navegar normalmente pelo site.
Ainda assim, o checkout pode ter sido comprometido.
Por isso, a última tela mostrada pelo aplicativo bancário se torna uma camada fundamental de proteção.
Antes de confirmar qualquer Pix, é importante verificar:
- nome do beneficiário;
- CPF ou CNPJ apresentado;
- valor da transferência;
- instituição financeira recebedora, quando exibida;
- relação entre o beneficiário e a empresa onde a compra está sendo realizada.
Se algum dado parecer incompatível, o consumidor deve cancelar a operação.
Ataque transforma a página verdadeira em parte do golpe
A campanha descoberta pelo pesquisador eremit4 e confirmada pela Kaspersky demonstra uma evolução relevante das fraudes envolvendo compras pela internet.
Nesse caso, o criminoso não precisa convencer o consumidor a visitar uma loja falsa.
Ele procura comprometer a infraestrutura da empresa verdadeira e manipular o pagamento no momento em que a vítima já acredita estar em um ambiente confiável.
Até setembro de 2026, a Kaspersky havia confirmado pelo menos 90 lojas brasileiras comprometidas, todas utilizando Magento entre os casos identificados. A campanha estava ativa desde junho de 2025 e apresentava crescimento recente.
Para comerciantes, manter plataformas atualizadas, proteger o painel administrativo e monitorar o checkout se tornou indispensável.
Para compradores, a regra mais importante permanece simples: mesmo em um site conhecido, nunca confirme um Pix sem verificar quem realmente receberá o dinheiro.
