Comprar pela internet e pagar com Pix pode exigir um cuidado a mais: criminosos estão infectando lojas virtuais para substituir o QR Code verdadeiro por um código falso no momento do pagamento. A fraude já foi identificada em pelo menos 90 e-commerces de pequeno e médio portes no Brasil, segundo a empresa de cibersegurança Kaspersky.
Como funciona o golpe
O golpe funciona de maneira silenciosa. Quando o consumidor escolhe o Pix na página de checkout, um programa malicioso altera o QR Code e também os dados da opção “copia e cola”. Em vez de o dinheiro chegar à loja onde a compra foi feita, o valor é direcionado para uma conta controlada pelos criminosos.
Um golpe que pode passar despercebido por dias
O problema é que nem o consumidor nem o lojista necessariamente percebem a fraude no momento da compra. Para a loja, o pedido pode aparecer como abandonado ou pendente, já que o sistema oficial não identifica o recebimento do dinheiro. O cliente, por sua vez, pode acreditar que o pagamento foi realizado normalmente e só descobrir o golpe dias depois, ao procurar o comércio para reclamar que a mercadoria não foi entregue.
Esse intervalo também dificulta a recuperação do dinheiro. Segundo a Kaspersky, os valores desviados são distribuídos rapidamente entre diferentes contas de “laranjas”, dificultando o rastreamento.
Fabio Assolini, diretor do time de segurança da Kaspersky, afirma que a ameaça não se limita a quem paga pelo computador:
“Como a grande maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está amplamente vulnerável.”
Ele também alerta que, com a técnica já pública em fóruns de cibercrime, outros grupos criminosos devem adotá-la rapidamente — e que o mesmo tipo de código malicioso é capaz de capturar dados de cartão de crédito, não só do Pix.
Segundo o pesquisador, a adoção de novas modalidades de pagamento, como o Pix Automático e o Pix Parcelado, também pode ampliar a superfície de ataque, já que essas operações podem envolver a leitura de QR Codes.
O que o consumidor deve fazer
Antes de confirmar um pagamento via Pix, o principal cuidado é conferir quem receberá o dinheiro. No aplicativo do banco, verifique o nome e o CNPJ que aparecem antes da confirmação. Os dados devem corresponder à loja onde a compra foi realizada ou ao intermediador de pagamento informado oficialmente pelo comércio.
Se aparecer o nome de uma pessoa física desconhecida ou qualquer informação diferente da esperada, não conclua a transferência. Também é recomendado manter computador e celular protegidos por softwares de segurança. Caso o navegador apresente algum alerta de que o site está infectado ou comprometido, a orientação é interromper a compra e não realizar o pagamento.
Como as lojas podem reduzir o risco
Para os lojistas, a Kaspersky recomenda manter plataformas e sistemas atualizados, abandonar versões sem suporte e adotar autenticação em duas etapas para os acessos administrativos.
Também é importante monitorar a página de checkout e verificar se os dados apresentados ao consumidor permanecem íntegros — como a adulteração pode ocorrer diretamente no navegador, apenas o monitoramento do servidor não é suficiente. Outra medida é automatizar a conferência entre o pagamento recebido e o status do pedido, criando alertas para transações que permaneçam pendentes por tempo acima do esperado.
A empresa também recomenda que os sites mostrem claramente o nome da empresa e o CNPJ do beneficiário na etapa final da compra, para que o consumidor possa comparar os dados exibidos na loja com aqueles apresentados pelo aplicativo do banco antes de confirmar o Pix.
Algumas lojas atingidas pela fraude já adotaram medidas provisórias, como retirar o QR Code e disponibilizar apenas a chave Pix, solicitar o envio manual do comprovante ou migrar o pagamento para intermediadores de terceiros.
