Um novo tipo de golpe envolvendo o Pix coloca consumidores e lojistas brasileiros em alerta. A fraude compromete o próprio site de comércio eletrônico e altera, durante a finalização da compra, o QR Code que deveria direcionar o pagamento para a empresa.
A ameaça foi identificada em setembro de 2026 pelo pesquisador de segurança conhecido como “eremit4” e posteriormente analisada pela Kaspersky. A empresa de cibersegurança encontrou 90 sites brasileiros de pequeno e médio porte infectados, todos com utilização da plataforma de comércio eletrônico Magento. A campanha, segundo as informações divulgadas, está ativa desde 2025.
O aspecto mais preocupante é que o consumidor não precisa estar com o celular ou computador infectado. O código malicioso fica no ambiente da loja e pode alterar o pagamento quando o cliente chega ao checkout.
Leia mais:
Empresas estaduais têm inscrições estaduais suspensas por ‘golpe Pix’
Como funciona o novo golpe do Pix
O ataque acontece na etapa mais sensível da compra: o momento em que o consumidor recebe os dados para pagar.
Em uma loja comprometida, o sistema deveria apresentar um QR Code associado à cobrança legítima. O malware, porém, substitui esse código por outro controlado pelos criminosos. A alteração também pode atingir o Pix Copia e Cola, permitindo que a fraude alcance quem prefere copiar o código em vez de escanear a imagem.
Na prática, a página pode continuar exibindo produto, preço, carrinho e informações aparentemente normais. O problema está escondido no conteúdo utilizado para gerar o pagamento.
Isso torna o golpe especialmente perigoso. O consumidor pode estar no endereço verdadeiro da loja, ter escolhido um produto real e, ainda assim, enviar o dinheiro para uma conta utilizada pelos criminosos.
Por que o golpe é difícil de perceber
A alteração ocorre sem necessariamente produzir uma diferença visual perceptível no checkout. Por isso, olhar apenas para o QR Code não é suficiente para confirmar que o pagamento está correto.
A principal barreira de segurança está no próprio aplicativo bancário. Antes de autorizar o Pix, o consumidor deve conferir os dados apresentados pela instituição financeira, especialmente nome do recebedor e CNPJ ou CPF associado à conta.
Em pequenos negócios, existe uma particularidade: o pagamento pode aparecer no nome civil do proprietário, e não na marca utilizada comercialmente pela loja. Isso, por si só, não comprova uma fraude. O importante é verificar se o destinatário corresponde aos dados informados pelo estabelecimento.
O Pix Copia e Cola também pode ser adulterado
Quem acredita que está protegido por não utilizar a câmera do celular também precisa ter cuidado.
A ameaça identificada consegue modificar o código utilizado no sistema de Pix Copia e Cola. Portanto, copiar diretamente a sequência apresentada pelo site não elimina o risco.
A recomendação é a mesma: depois de inserir o código no aplicativo do banco, conferir os dados do destinatário antes de tocar no botão de confirmação.
Se o nome ou documento do recebedor não fizer sentido, o pagamento deve ser interrompido. O consumidor deve entrar em contato com a empresa por um canal oficial para confirmar os dados.
O vírus também pode afetar pagamentos com cartão
A ameaça não está limitada ao Pix.
Segundo as informações divulgadas pela Kaspersky, o mesmo código malicioso associado ao ataque também pode atuar sobre dados de cartões de crédito quando essa modalidade é escolhida no checkout. Nesse cenário, o pagamento pode até ser processado normalmente para o comerciante, enquanto os dados do cartão ficam expostos aos criminosos para utilização posterior.
Por esse motivo, consumidores que compram em sites de menor porte podem considerar o uso de cartões virtuais, quando disponibilizados pelo banco. A solução reduz a exposição dos dados do cartão físico e pode limitar o prejuízo em determinadas situações.
Também é importante manter o sistema operacional, navegador e aplicativos de segurança atualizados.
O que o consumidor deve fazer antes de pagar
A conferência dos dados no aplicativo bancário é uma das medidas mais importantes contra esse tipo de fraude.
Antes de confirmar o Pix, vale verificar:
- nome do destinatário;
- CPF ou CNPJ apresentado pelo banco;
- valor da transação;
- correspondência entre o recebedor e a loja;
- eventuais diferenças entre os dados informados pelo estabelecimento e os exibidos no aplicativo.
Se houver qualquer divergência inexplicável, o ideal é não concluir a operação.
Outro cuidado é evitar canais de atendimento encontrados em anúncios ou mensagens suspeitas. Para confirmar uma informação de pagamento, o consumidor deve utilizar o endereço oficial da loja ou os canais fornecidos na própria plataforma.
O que fazer se o Pix foi para a conta errada
Quem perceber que caiu no golpe deve agir rapidamente.
O Banco Central orienta que a vítima entre em contato imediatamente com sua instituição financeira e solicite a devolução pelo Mecanismo Especial de Devolução (MED). Também é recomendável registrar um boletim de ocorrência.
O pedido de MED pode ser aberto para transações realizadas há até 80 dias, quando houver suspeita de fraude, golpe ou crime. Depois da reclamação, o banco da vítima registra a ocorrência e a instituição que recebeu os recursos pode bloquear valores disponíveis para análise.
O caso é analisado pelas instituições em até sete dias. Se a fraude for confirmada, a devolução pode ocorrer em até 96 horas após o encerramento da análise, desde que existam recursos disponíveis na conta utilizada pelo fraudador.
A recuperação do dinheiro é garantida?
Não.
O MED aumenta as possibilidades de recuperação, mas não representa uma garantia de que todo o valor será devolvido. Se o dinheiro já tiver sido transferido para outras contas e não houver saldo suficiente, a recuperação pode ser parcial.
Pelas regras do Banco Central, quando não existe saldo suficiente, podem ocorrer bloqueios e devoluções parciais à medida que novos recursos chegam à conta envolvida, dentro do período previsto pelo mecanismo.
Por isso, comunicar o banco imediatamente é muito mais importante do que esperar para descobrir se a loja recebeu ou não o pagamento.
Como os lojistas podem evitar o ataque
A responsabilidade pela segurança não está apenas nas mãos do consumidor. O caso também mostra a importância de proteger a infraestrutura utilizada pelo comércio eletrônico.
Para os lojistas que utilizam Magento, uma das recomendações é manter a plataforma e seus componentes atualizados. Também é importante utilizar senhas exclusivas e robustas para a área administrativa e limitar o acesso aos sistemas internos.
A Kaspersky recomenda ainda monitoramento frequente do ambiente da loja para identificar alterações suspeitas no código. A detecção pode ser difícil porque o malware pode utilizar trechos de programação ofuscados para esconder seu funcionamento.
Além da segurança técnica, o comércio pode facilitar a conferência do consumidor informando claramente o nome empresarial e o CNPJ que aparecerão no pagamento.
O que muda para o comércio eletrônico brasileiro
O caso chama atenção porque desloca a lógica tradicional de muitos golpes digitais.
Em vez de convencer o consumidor a acessar uma página falsa, instalar um aplicativo ou entregar voluntariamente seus dados, o criminoso compromete a infraestrutura da própria loja. Dessa maneira, uma única invasão pode potencialmente atingir diversos clientes que utilizam o site legítimo.
A descoberta de 90 lojas infectadas mostra a dimensão que uma campanha desse tipo pode alcançar entre pequenos e médios negócios.
Para o consumidor, a principal lição é simples: não basta confiar que o QR Code exibido pela loja é legítimo. A confirmação deve ser feita pelos dados apresentados pelo aplicativo do banco antes da autorização.
Para o lojista, o episódio reforça que segurança digital precisa fazer parte da operação cotidiana, e não apenas ser tratada depois que uma fraude acontece.
Imagem: Reprodução/Seu Crédito Digital
