Vírus altera QR Code do Pix em lojas virtuais brasileiras sem deixar rastro

Um pesquisador de segurança independente identificou em 1º de setembro um novo tipo de ataque que reescreve o código Pix no momento exato em que você está prestes a pagar em uma loja online. O vírus substitui o QR code legítimo por outro fraudulento, desviando seu dinheiro diretamente para contas de criminosos. Não há aviso visual. Nenhum sinal de que algo mudou. Você vê o código, escaneia, transfere — e o dinheiro vai para o lugar errado.

O pesquisador, que se identifica como "eremit4", descreveu a tática como "o novo magecart brasileiro", referência a uma forma tradicional de roubo de dados de cartão de crédito. A diferença agora é que os criminosos evoluíram. Não estão mais apenas capturando informações de cartões. Estão sequestando pagamentos Pix em tempo real, trocando os códigos durante o checkout para redirecionar as transações. A empresa de segurança Kaspersky verificou o trabalho do pesquisador e confirmou a descoberta: 90 sites de ecommerce de pequeno e médio porte no Brasil estão infectados. Todos usam a plataforma Magento, um software gratuito de construção de lojas virtuais.

O que torna esse ataque particularmente perigoso é que o vírus infecta o site, não o computador do cliente. Isso significa que qualquer pessoa que compra naquela loja está vulnerável. Não é um problema isolado de um usuário desatento. É um problema que afeta todos os clientes simultaneamente. Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, explica que a troca do código não deixa nenhum indício visual. O código Pix Copia e Cola também é alterado, prejudicando quem acessa a loja pelo celular. Para o comprador comum, é impossível saber que algo está errado apenas olhando.

Alguns lojistas já perceberam o problema — não porque viram o vírus, mas porque notaram um aumento anormal no número de compras abandonadas. Alguns começaram a informar o CNPJ e o nome da empresa para que os clientes pudessem verificar o destinatário antes de confirmar. Outros redirecionaram os pagamentos para plataformas terceirizadas. Mas a maioria provavelmente ainda não sabe que foi infectada. Assolini alerta que em sites menores, o pagamento nem sempre vai para o nome fantasia da loja. O registro pode estar no nome do proprietário. Isso cria uma zona cinzenta onde o cliente legítimo não consegue distinguir entre um pagamento legítimo e um fraudulento.

Quando a fraude é descoberta, existe um mecanismo chamado MED — Mecanismo Especial de Devolução — que pode rastrear a transação por até cinco transferências. Mas aqui está o problema: quanto mais tempo passa entre o pagamento e a descoberta da fraude, mais tempo os criminosos têm para dispersar o dinheiro. Eles costumam ter mais de 50 contas de "testas de ferro" em operações como essa. Em poucas horas, o valor é distribuído entre dezenas de contas. Perder duas ou três contas durante o crime está nos planos deles. O cliente tem 80 dias para solicitar a devolução, mas os estelionatários já sabem disso. Eles trabalham rápido.

O mesmo vírus que desvia o Pix também copia dados de cartão de crédito quando o cliente escolhe pagar com cartão em vez de Pix. Nesse cenário, o lojista recebe o dinheiro normalmente, mas o cliente é fraudado depois, quando seus dados clonados são usados em outras transações. A solução recomendada é usar cartões virtuais — números temporários gerados pelo banco que expiram após uma única transação.

Para se proteger, o consumidor deve verificar o nome do recebedor e o CNPJ antes de confirmar qualquer transferência Pix. Se notar um desvio, deve acionar o banco imediatamente para registrar a fraude e solicitar o MED. Quanto mais rápido o aviso, maior a chance de o banco bloquear o valor antes que seja dispersado. Para os lojistas, a proteção passa por manter o Magento atualizado, usar senhas únicas e complexas para a administração do site, e fazer monitoramento recorrente com software de qualidade para identificar comportamentos anômalos. O código malicioso que ativa a troca do QR code costuma ser escrito em linhas ofuscadas — uma atividade muito suspeita que um software de monitoramento deveria detectar. Mas para um lojista sem experiência técnica, identificar essas linhas é um desafio.