Um novo golpe digital envolvendo o Pix chama atenção de consumidores e lojistas brasileiros porque a fraude acontece dentro do próprio ambiente de pagamento de lojas virtuais. Em vez de levar a vítima para uma página falsa, o código malicioso pode modificar as informações exibidas no checkout de um comércio eletrônico legítimo.
A ameaça foi identificada em dezenas de lojas brasileiras, principalmente negócios de pequeno e médio porte. O mecanismo altera o QR Code gerado para o pagamento e também pode modificar o Pix Copia e Cola, fazendo com que o dinheiro seja direcionado para uma conta controlada pelos criminosos.
O cenário exige atenção porque o consumidor pode estar navegando no endereço verdadeiro da empresa e, ainda assim, realizar uma transferência para o destinatário errado.
Leia mais:
SumUp lança maquininha Smart com Pix QR code gratuito
Como funciona o golpe do QR Code do Pix
A fraude começa com o comprometimento do sistema utilizado pela loja virtual. Quando o consumidor escolhe o Pix como forma de pagamento, o código malicioso interfere na etapa de checkout e substitui os dados legítimos da cobrança.
O QR Code que deveria encaminhar o dinheiro para o estabelecimento passa a representar outra transação. A mesma alteração pode ocorrer na sequência de caracteres usada pelo Pix Copia e Cola.
Na prática, isso significa que não basta verificar se o site da loja é verdadeiro. A conferência precisa continuar dentro do aplicativo bancário, antes da confirmação da transferência.
É nesse momento que o consumidor consegue visualizar os dados efetivamente associados ao Pix. Se o nome ou o CNPJ do recebedor não corresponder à empresa ou ao intermediador de pagamento informado pelo comércio, a operação deve ser interrompida.
Por que o consumidor pode não perceber a fraude
Um dos aspectos mais perigosos desse tipo de ataque é a discrição.
O cliente pode escolher um produto verdadeiro, chegar normalmente à página de pagamento e visualizar um QR Code com aparência completamente normal. O problema está no destino financeiro associado ao código.
Em determinados casos, o lojista também pode não perceber imediatamente o ataque. A venda pode permanecer como pendente no sistema da empresa, enquanto o consumidor acredita que pagou corretamente.
O problema só aparece posteriormente, por exemplo, quando o comprador percebe que o pedido não foi liberado ou entra em contato com a loja para perguntar sobre a entrega.
Esse intervalo pode beneficiar os criminosos, que têm tempo para movimentar os valores recebidos e dificultar a recuperação do dinheiro.
Pix Copia e Cola também exige atenção
A utilização do Pix Copia e Cola não elimina o risco.
Se o código apresentado no checkout foi alterado pelo malware, copiar a sequência diretamente da página pode levar ao mesmo destino fraudulento. Por isso, a conferência no aplicativo do banco continua sendo uma etapa essencial.
O procedimento é simples: depois de inserir ou escanear o código, o cliente deve observar cuidadosamente o nome do recebedor, CPF ou CNPJ, valor e instituição financeira apresentados antes da autorização.
Uma divergência não significa automaticamente que existe fraude, já que alguns estabelecimentos utilizam intermediadores de pagamento ou podem apresentar o nome empresarial em vez da marca comercial. Ainda assim, qualquer informação incompatível deve ser esclarecida antes do pagamento.
Como as lojas virtuais podem ser comprometidas
A investigação citada na referência aponta para lojas que utilizam Magento, plataforma de comércio eletrônico de código aberto. Isso não significa que o Magento, por si só, seja responsável pela fraude. O problema está relacionado à segurança e à manutenção do ambiente utilizado pelo comerciante.
A necessidade de manter a plataforma atualizada é especialmente relevante em setembro de 2026. A Adobe publicou recentemente atualizações de segurança para Adobe Commerce e Magento Open Source e, em 7 de setembro, divulgou uma correção crítica relacionada à vulnerabilidade CVE-2026-75650, informando que ela vinha sendo explorada.
A Adobe também recomenda a instalação dos patches de segurança mais recentes para as versões suportadas.
Portanto, uma loja que utiliza Magento não deve apenas atualizar o sistema principal. Extensões, módulos, integrações de pagamento, credenciais administrativas e demais componentes também precisam fazer parte da estratégia de segurança.
Como o consumidor pode evitar o golpe
A principal proteção está em verificar o pagamento antes de autorizá-lo.
Se uma loja informa que o recebedor será determinado CNPJ, mas o aplicativo bancário mostra outro documento ou um nome completamente diferente, a transação não deve ser confirmada sem esclarecimento.
Também é recomendável desconfiar de alterações inesperadas no processo de pagamento, como mudança repentina de instruções, pedido para realizar uma transferência para uma conta pessoal ou solicitação de pagamento fora dos canais habituais da empresa.
Manter o celular e o navegador atualizados e utilizar uma solução de segurança confiável também ajuda a reduzir a exposição a outras modalidades de malware.
Para compras de maior valor, uma medida adicional é confirmar diretamente com a empresa, utilizando um canal oficial, os dados que aparecerão no momento do pagamento.
O que fazer se o Pix foi desviado
Se o consumidor descobrir que enviou dinheiro para um fraudador, a recomendação do Banco Central é procurar imediatamente o banco e solicitar a devolução pelo Mecanismo Especial de Devolução, o MED. Também é recomendável registrar um boletim de ocorrência. (Banco Central
O pedido pode ser registrado em até 80 dias após a transação nos casos de fraude, golpe ou crime. Quanto mais cedo a instituição financeira for comunicada, maior tende a ser a possibilidade de encontrar recursos ainda disponíveis na conta que recebeu o dinheiro.
Depois da abertura do procedimento, as instituições analisam o caso. Se a fraude for confirmada, a devolução pode ocorrer de forma integral ou parcial, dependendo da existência de saldo na conta do fraudador. O Banco Central informa que a análise ocorre em até sete dias e, confirmada a fraude, a devolução deve ocorrer em até 96 horas após o encerramento da avaliação, quando houver recursos disponíveis.
O MED, porém, não garante que todo o dinheiro será recuperado. Se os criminosos já tiverem movimentado os recursos, a devolução pode ser apenas parcial.
O que os lojistas devem fazer para evitar prejuízos
Para os comerciantes, a prevenção começa pela atualização constante da infraestrutura.
A Adobe mantém uma política de atualizações e patches de segurança para o Magento Open Source e o Adobe Commerce. A recomendação oficial é instalar as correções mais recentes e, antes de aplicá-las em produção, realizar testes e manter cópias de segurança adequadas.
Também é importante restringir o acesso administrativo, utilizar autenticação e senhas fortes, revisar extensões instaladas e monitorar alterações inesperadas nos arquivos da loja.
O lojista deve ainda acompanhar pedidos que permanecem pendentes apesar de o consumidor apresentar um comprovante de pagamento. Uma quantidade incomum de compras nessa situação pode ser um sinal de que existe algum problema no fluxo de pagamento.
A fraude muda a forma de conferir um Pix
O golpe mostra que a segurança de uma compra online não termina quando o consumidor confirma que está no site correto.
O endereço legítimo da loja não garante, sozinho, que o ambiente esteja livre de comprometimentos. Por isso, a informação mais importante para a confirmação de um Pix continua sendo aquela exibida pelo banco no momento anterior à autorização.
Para o consumidor, a regra prática é simples: escaneou o QR Code ou colou o código? Confira o destinatário antes de pagar.
Para o lojista, o alerta é ainda mais amplo: manter a plataforma atualizada, monitorar o ambiente e acompanhar as transações são medidas essenciais para impedir que uma invasão transforme o próprio checkout em ferramenta de desvio de dinheiro
Imagem: Reprodução/Seu Crédito Digital
