Vírus brasileiro altera QR codes do Pix em ecommerces para desviar pagamentos

No início de setembro, um pesquisador independente de segurança identificou algo perturbador: um vírus que altera silenciosamente os códigos QR do Pix em lojas virtuais, redirecionando pagamentos de clientes para contas de criminosos. O descobridor, que usa o pseudônimo eremit4, encontrou o malware em 1º de setembro e descreveu a tática como "o novo magecart brasileiro" — uma evolução de técnicas antigas de roubo de dados de cartão de crédito para algo mais direto e devastador: o sequestro de Pix em tempo real.

A empresa de segurança Kaspersky verificou o trabalho do pesquisador e confirmou o problema. Encontrou 90 sites de pequeno e médio porte infectados no Brasil, a maioria rodando a plataforma gratuita Magento. O que torna essa fraude particularmente insidiosa é onde ela acontece: não no computador da vítima, mas no servidor da loja. Isso significa que todos os clientes que acessam aquele site estão expostos simultaneamente. Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, explica que o potencial de dano é muito maior justamente por isso — não é um ataque individual, é um ataque em massa disfarçado de transação legítima.

O mecanismo é invisível. O código QR original, gerado pela loja, é substituído por um fraudulento no exato momento do pagamento. Não há aviso visual, nenhuma mudança perceptível na tela. O cliente vê tudo normal, confirma a transação, e o dinheiro vai direto para a conta de um criminoso. O vírus também altera o código Pix Copia e Cola — aquele que você digita manualmente — afetando até quem prefere pagar pelo celular sem ler o QR.

O desafio para recuperar o dinheiro é brutal. O Banco Central oferece o Mecanismo Especial de Devolução (MED), que consegue rastrear uma transação por até cinco transferências. Mas os criminosos sabem disso. Eles distribuem o dinheiro roubado entre dezenas de contas laranja em poucas horas — muito antes de a vítima perceber o problema. Assolini aponta que os estelionatários costumam ter mais de 50 contas falsas em operações assim. Perder duas ou três durante o crime está nos planos deles. Embora o cliente tenha até 80 dias para solicitar o MED, quanto mais tempo passa, mais disperso fica o dinheiro, e mais difícil fica rastreá-lo através das cinco transferências permitidas.

Alguns lojistas já perceberam que foram infectados ao notar um aumento suspeito no número de compras abandonadas. Alguns começaram a informar explicitamente o CNPJ e o nome da empresa para que os clientes pudessem verificar antes de confirmar o pagamento. Outros simplesmente redirecionaram seus clientes para plataformas de pagamento terceiras. Mas a solução real passa por manutenção técnica: manter o Magento atualizado, usar senhas únicas e complexas para a administração do site, e fazer monitoramento constante com software de qualidade para detectar comportamentos anômalos.

O vírus também faz algo mais: quando o cliente escolhe pagar com cartão de crédito em vez de Pix, o malware copia os dados do cartão. Nesse caso, a loja recebe o pagamento normalmente — ninguém percebe nada de errado na transação — mas o cliente é fraudado depois, quando seus dados são usados para compras não autorizadas. A proteção aqui é simples: usar cartões virtuais, aqueles números temporários que expiram após uma única transação.

Para o comprador comum, a defesa começa com atenção. Antes de confirmar qualquer transferência Pix, é preciso verificar se o nome do recebedor e o CNPJ correspondem realmente à loja. Desconfiar de pagamentos direcionados a pessoas físicas desconhecidas — embora lojas muito pequenas possam usar o nome do proprietário. Se notar que o dinheiro foi desviado, agir rápido é crítico: contactar o banco imediatamente, registrar a fraude, solicitar o MED. Quanto mais rápido o aviso, maior a chance de o banco bloquear o valor antes que ele se disperse entre as contas laranja. Usar antivírus também ajuda, já que o código que ativa a troca do QR code costuma ser escrito em linhas ofuscadas — algo que um bom antivírus consegue detectar como suspeito.