Comprar em uma loja virtual verdadeira já não elimina todos os riscos de fraude. Uma nova campanha criminosa identificada no Brasil consegue invadir sites de comércio eletrônico e substituir o QR Code legítimo do Pix no momento do pagamento.
Para o consumidor, a página continua funcionando normalmente. O produto, o endereço do site, o carrinho e a tela de pagamento parecem verdadeiros. A fraude acontece nos bastidores: o código que deveria enviar o dinheiro ao lojista é trocado por outro, vinculado a uma conta controlada pelos criminosos.
O código do Pix Copia e Cola também pode ser alterado. Isso significa que escanear o QR Code ou copiar os caracteres apresentados pela loja pode levar ao mesmo resultado: o pagamento vai para o destinatário errado.
A Kaspersky confirmou a contaminação de pelo menos 90 lojas virtuais brasileiras, principalmente pequenos e médios comércios. Os sites utilizavam o Magento, plataforma de código aberto usada para criar e administrar operações de comércio eletrônico.
A descoberta muda a principal orientação de segurança para pagamentos online. Não basta conferir se o endereço da loja é verdadeiro. Antes de confirmar o Pix, o comprador precisa verificar, no aplicativo do banco, quem receberá o dinheiro.
Leia mais:
Tecnologia também paga dividendos: veja as empresas da B3 que mais distribuem
Como funciona o golpe que troca o QR Code do Pix?
O ataque começa na estrutura da loja virtual, e não necessariamente no celular ou no computador do consumidor. Os criminosos encontram uma brecha no site e inserem um código malicioso, conhecido como malware.
Quando o cliente seleciona o Pix no checkout — etapa em que a compra é finalizada — o código legítimo é substituído. A página pode continuar com o mesmo visual, sem mensagens de erro ou mudanças evidentes.
O comprador abre o aplicativo bancário, escaneia o QR Code e vê os dados da transação. Se confirmar sem conferir o destinatário, transfere o dinheiro para a conta dos golpistas.
A loja verdadeira não recebe o valor. Em seu sistema, o pedido pode continuar aparecendo como pendente ou abandonado. O consumidor normalmente percebe a fraude quando o pagamento não é reconhecido ou o produto não é enviado.
Pix Copia e Cola também pode ser adulterado
O risco não desaparece quando a compra é feita pelo celular. Nesse caso, muitas pessoas usam o Pix Copia e Cola em vez de apontar a câmera para o QR Code.
Como as duas formas carregam os dados da mesma transação, o malware pode substituir também a sequência alfanumérica. Copiar o código diretamente da página infectada, portanto, não garante que o destinatário seja o comerciante.
O dado mais importante aparece no aplicativo do banco antes da confirmação: o nome da pessoa ou empresa que receberá o dinheiro.
Por que a fraude é difícil de perceber?
Golpes tradicionais costumam depender de páginas falsas, endereços parecidos com os de empresas conhecidas ou mensagens enviadas por criminosos. Nesses casos, erros de português, ofertas exageradas e links suspeitos podem funcionar como sinais de alerta.
No novo ataque, a loja pode ser verdadeira. O certificado de segurança, representado pelo cadeado do navegador, também pode estar válido.
O cadeado indica que a comunicação entre o aparelho e o site está protegida por criptografia. Ele não garante, entretanto, que o servidor da loja esteja livre de invasões ou códigos maliciosos.
A troca do QR Code ocorre de maneira silenciosa e pode não produzir qualquer alteração visual perceptível. De acordo com a investigação confirmada pela Kaspersky, os 90 sites identificados eram de segmentos variados, como moda, óticas, autopeças e plataformas de arrecadação. A campanha estaria ativa desde junho de 2025 e apresentou crescimento nas detecções em 2026.
A fraude está ocorrendo na Bahia?
Os pesquisadores confirmaram lojas comprometidas no Brasil, mas não divulgaram quantas estavam sediadas na Bahia nem a localização dos consumidores afetados. Por isso, não é possível afirmar que determinados estabelecimentos baianos tenham sido infectados.
O alerta vale para moradores da Bahia porque uma loja virtual pode atender clientes de qualquer estado. O local onde a empresa está registrada também pode ser diferente do endereço de quem faz a compra.
Dados do Anuário Brasileiro de Segurança Pública ajudam a mostrar o contexto regional. A Bahia registrou 10.116 ocorrências de estelionato eletrônico em 2024, diante de 7.723 registros em 2023. O crescimento foi de aproximadamente 30,8%.
Esses números abrangem diferentes tipos de fraude eletrônica e não apenas a substituição do QR Code. Eles não devem ser usados para estimar quantas pessoas sofreram especificamente com o novo malware.
Como verificar o Pix antes de confirmar?
O aplicativo bancário mostra os dados do recebedor antes de concluir a transferência. Essa tela é a última oportunidade para interromper a operação.
Antes de digitar a senha, confira:
- nome do recebedor;
- CPF ou CNPJ parcialmente apresentado;
- instituição que receberá o dinheiro;
- valor da compra;
- descrição da operação, quando disponível;
- compatibilidade entre o beneficiário e a loja.
Se qualquer informação parecer incompatível, não confirme. Tire um print, feche a tela e procure a empresa por um canal de atendimento independente, como o telefone divulgado em suas redes oficiais ou em outra área do site.
Não use apenas um número apresentado na página de pagamento possivelmente comprometida. Se o site estiver sob controle dos criminosos, informações de contato também poderão ser manipuladas.
E quando aparece o nome do proprietário?
Pequenas empresas podem utilizar uma conta vinculada ao proprietário. Nesse caso, o nome apresentado pelo banco pode ser diferente do nome fantasia da loja.
Isso não significa automaticamente que seja um golpe. Entretanto, a situação deve ser confirmada antes da transferência, especialmente quando o recebedor é uma pessoa física desconhecida.
O lojista pode reduzir essa dúvida informando previamente a razão social, o CNPJ e, quando aplicável, o nome da pessoa que aparecerá como beneficiária do Pix.
O antivírus consegue impedir o golpe?
Uma solução de segurança atualizada pode detectar comportamentos suspeitos, scripts maliciosos ou conexões com endereços associados a ataques. Isso acrescenta uma camada de proteção, mas não elimina a necessidade de conferir a transação.
Como a invasão está no servidor da loja, o aparelho do consumidor não precisa estar infectado. O usuário também pode não receber qualquer aviso antes de o QR Code ser substituído.
Manter navegador, sistema operacional e aplicativos atualizados continua sendo importante. Mesmo assim, a conferência do destinatário no aplicativo bancário é a proteção mais direta contra essa modalidade.
O golpe também pode roubar dados do cartão?
Sim. A investigação aponta que o código malicioso pode capturar informações de cartão digitadas no checkout.
Nesse cenário, a loja pode receber normalmente o valor da compra, mas os dados do cartão ficam expostos. Os criminosos poderão tentar utilizá-los posteriormente em outras operações.
Para reduzir o risco, o consumidor pode gerar um cartão virtual temporário no aplicativo do banco. Alguns cartões virtuais mudam o código de segurança ou deixam de funcionar após uma compra, limitando o uso dos dados roubados.
Também é recomendável ativar notificações para cada transação. Assim, uma cobrança desconhecida pode ser identificada mais rapidamente.
O que fazer se o Pix já foi enviado?
A vítima deve entrar imediatamente no aplicativo ou no canal oficial de atendimento do banco e contestar a transferência. É importante informar que se trata de uma fraude e solicitar a abertura do Mecanismo Especial de Devolução, o MED.
O MED é um procedimento criado pelo Banco Central para analisar transações envolvendo fundada suspeita de fraude. A contestação pode ser registrada em até 80 dias após o Pix, mas agir rapidamente aumenta a possibilidade de encontrar dinheiro nas contas usadas pelos criminosos. A regra dos 80 dias é confirmada pelo Banco Central.
Os passos recomendados são:
- Comunique a fraude ao banco imediatamente.
- Solicite a abertura do MED.
- Guarde o comprovante do Pix.
- Faça capturas da página de pagamento e do pedido.
- Registre os dados exibidos sobre o recebedor.
- Avise a loja verdadeira.
- Registre um boletim de ocorrência.
- Acompanhe a contestação pelo banco.
O registro pode ser feito pelo próprio aplicativo quando a instituição oferece o botão de contestação. Se a opção não estiver disponível, o cliente deve usar os canais oficiais do banco.
O MED garante que o dinheiro será devolvido?
Não. O mecanismo aumenta a possibilidade de bloqueio e devolução, mas não funciona como um seguro.
A instituição que recebeu os recursos analisa a notificação. Se a fraude for confirmada, o valor disponível poderá ser devolvido total ou parcialmente.
O problema é que os criminosos costumam transferir o dinheiro rapidamente para várias contas de terceiros, conhecidas como contas laranja. Se não houver saldo suficiente quando ocorrer o bloqueio, a vítima pode receber somente uma parte ou não recuperar o valor.
Desde 2026, o MED permite ampliar o rastreamento e a devolução a partir de contas seguintes utilizadas para dispersar o dinheiro, conforme o Relatório de Gestão do Pix 2023–2025. Mesmo com esse avanço, comunicar a fraude imediatamente continua sendo essencial.
MED não resolve qualquer problema de compra
O Mecanismo Especial de Devolução é voltado a fraudes, golpes e determinadas falhas operacionais. Ele não deve ser usado para simples desacordos comerciais.
Se o consumidor fez um Pix conscientemente ao vendedor correto, mas não gostou do produto ou enfrentou atraso na entrega, a situação deve ser resolvida pelos canais da empresa e pelos instrumentos de defesa do consumidor.
No golpe do QR Code adulterado, o dinheiro é direcionado a um beneficiário diferente daquele que deveria receber. Esse desvio caracteriza uma situação que deve ser comunicada ao banco como suspeita de fraude.
A loja verdadeira é responsável pelo prejuízo?
A resposta depende das circunstâncias e pode exigir análise individual. Embora o comerciante também seja vítima da invasão, o consumidor realizou a compra confiando no ambiente de pagamento oferecido pela empresa.
O Código de Defesa do Consumidor estabelece responsabilidade pela segurança e pela qualidade dos serviços oferecidos. No entanto, fatores como origem da invasão, medidas preventivas adotadas, informações apresentadas e participação de empresas terceirizadas podem ser considerados.
A abertura do MED não impede o consumidor de procurar a loja, o Procon ou o Poder Judiciário. Também não significa que o banco ou o comerciante reconhecerão automaticamente a responsabilidade.
Por isso, preservar as provas é fundamental. Prints, protocolos, comprovantes, e-mails e a confirmação de que o pedido permaneceu pendente podem ajudar a demonstrar o que aconteceu.
Como os lojistas podem proteger o checkout?
O ataque mostra que segurança digital não pode ser tratada apenas durante a criação da loja. Plataformas e extensões precisam receber correções ao longo de toda a operação.
A Kaspersky recomenda que os comerciantes:
- mantenham o Magento e seus componentes atualizados;
- removam extensões que não são mais utilizadas;
- adotem senhas administrativas fortes e exclusivas;
- protejam contas de administração com autenticação em duas etapas;
- controlem quem possui acesso ao sistema;
- monitorem mudanças inesperadas nos arquivos;
- investiguem aumento incomum de pedidos pendentes;
- usem ferramentas capazes de detectar scripts maliciosos;
- avaliem serviços de pagamento isolados da estrutura principal da loja.
Uma queda repentina na confirmação de pagamentos via Pix pode ser um indício. Reclamações de clientes que pagaram, mas continuam com o pedido pendente, também precisam ser investigadas imediatamente.
A empresa deve retirar a página afetada do ar, acionar sua equipe técnica e avisar os clientes potencialmente expostos. Apenas gerar um novo QR Code não resolve o problema se o código malicioso continuar ativo.
Conferir o recebedor virou etapa obrigatória
O ataque contra lojas verdadeiras elimina alguns dos sinais mais conhecidos de fraude. O site pode ter aparência profissional, usar conexão segura e apresentar todos os dados corretos até o momento do pagamento.
A proteção passa pela confirmação dentro do aplicativo do banco. Nome, CPF ou CNPJ parcial, instituição recebedora e valor precisam fazer sentido para aquela compra.
Se algo estiver diferente, interrompa a operação. Alguns segundos de conferência podem evitar que o dinheiro seja enviado para uma rede de contas laranja e reduzir as chances de recuperação.
Quem já pagou deve comunicar o banco imediatamente, solicitar o MED, avisar o comércio e registrar a ocorrência. Esperar a entrega ou tentar resolver apenas por mensagens dá aos criminosos mais tempo para movimentar os recursos.
Perguntas frequentes sobre o golpe do QR Code do Pix
Uma loja verdadeira pode mostrar um QR Code falso?
Sim. Se o site for invadido, um código malicioso pode substituir o QR Code legítimo durante o pagamento. O restante da página pode continuar com aparência normal.
Como saber se o QR Code do Pix foi alterado?
A troca pode não deixar sinal visual. A principal medida é conferir no aplicativo bancário o nome e os dados do recebedor antes de confirmar a transferência.
O Pix Copia e Cola é mais seguro nesse golpe?
Não necessariamente. O malware também pode substituir o código do Pix Copia e Cola, fazendo o dinheiro seguir para a mesma conta fraudulenta.
O cadeado do navegador garante que a loja está segura?
Não. O cadeado indica que a comunicação com o site é criptografada, mas não confirma que o servidor esteja livre de invasões ou códigos maliciosos.
Como pedir a devolução de um Pix fraudulento?
A vítima deve contestar a transação imediatamente no banco e solicitar o Mecanismo Especial de Devolução. O pedido pode ser registrado em até 80 dias, mas a rapidez aumenta a chance de bloqueio.
O MED devolve todo o dinheiro?
Não há garantia. A devolução depende da confirmação da fraude e da existência de recursos nas contas alcançadas pelo mecanismo. O retorno pode ser total, parcial ou não ocorrer.
O golpe também rouba cartão de crédito?
O código malicioso identificado pode capturar dados de cartões inseridos no checkout. Usar um cartão virtual temporário ajuda a limitar o aproveitamento dessas informações.
