Comprar pela internet e pagar com Pix pode exigir um cuidado a mais: criminosos estão infectando lojas virtuais para substituir o QR Code verdadeiro por um código falso no momento do pagamento. A fraude já foi identificada em pelo menos 90 e-commerces de pequeno e médio portes no Brasil, segundo a empresa de cibersegurança Kaspersky.
Como funciona o golpe
O golpe funciona de maneira silenciosa. Quando o consumidor escolhe o Pix na página de checkout, um programa malicioso altera o QR Code e também os dados da opção “copia e cola”. Em vez de o dinheiro chegar à loja onde a compra foi feita, o valor é direcionado para uma conta controlada pelos criminosos.
A fraude foi descoberta em 1º de setembro pelo pesquisador de segurança independente conhecido como “eremit4”, que descreveu a técnica como “o novo magecart brasileiro” — numa referência a uma modalidade tradicional de roubo de dados de cartão de crédito. Segundo ele, “os criminosos evoluíram de leitura de cartão para sequestro de Pix em tempo real, trocando QR Codes durante a conclusão da compra para redirecionar os pagamentos”.
De acordo com a Kaspersky, que verificou a descoberta, a fraude está ativa desde junho de 2025. Entre os sites identificados estão lojas de óticas, autopeças, moda e até plataformas de vaquinhas virtuais. Um ponto em comum chamou a atenção dos pesquisadores: todos os sites atingidos utilizavam a plataforma de comércio eletrônico de código aberto Magento. Os criminosos usam seis domínios de comando e controle para inserir o código malicioso nas páginas de pagamento.
Um golpe que pode passar despercebido por dias
O problema é que nem o consumidor nem o lojista necessariamente percebem a fraude no momento da compra. Para a loja, o pedido pode aparecer como abandonado ou pendente, já que o sistema oficial não identifica o recebimento do dinheiro. O cliente, por sua vez, pode acreditar que o pagamento foi realizado normalmente e só descobrir o golpe dias depois, ao procurar o comércio para reclamar que a mercadoria não foi entregue.
Esse intervalo também dificulta a recuperação do dinheiro. Segundo a Kaspersky, os valores desviados são distribuídos rapidamente entre diferentes contas de “laranjas”, dificultando o rastreamento.
Fabio Assolini, diretor do time de segurança da Kaspersky, afirma que a ameaça não se limita a quem paga pelo computador:
“Como a grande maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está amplamente vulnerável.”
Ele também alerta que, com a técnica já pública em fóruns de cibercrime, outros grupos criminosos devem adotá-la rapidamente — e que o mesmo tipo de código malicioso é capaz de capturar dados de cartão de crédito, não só do Pix.
Segundo o pesquisador, a adoção de novas modalidades de pagamento, como o Pix Automático e o Pix Parcelado, também pode ampliar a superfície de ataque, já que essas operações podem envolver a leitura de QR Codes.
O que o consumidor deve fazer
Antes de confirmar um pagamento via Pix, o principal cuidado é conferir quem receberá o dinheiro. No aplicativo do banco, verifique o nome e o CNPJ que aparecem antes da confirmação. Os dados devem corresponder à loja onde a compra foi realizada ou ao intermediador de pagamento informado oficialmente pelo comércio.
Se aparecer o nome de uma pessoa física desconhecida ou qualquer informação diferente da esperada, não conclua a transferência. Também é recomendado manter computador e celular protegidos por softwares de segurança. Caso o navegador apresente algum alerta de que o site está infectado ou comprometido, a orientação é interromper a compra e não realizar o pagamento.
Como as lojas podem reduzir o risco
Para os lojistas, a Kaspersky recomenda manter plataformas e sistemas atualizados, abandonar versões sem suporte e adotar autenticação em duas etapas para os acessos administrativos.
Também é importante monitorar a página de checkout e verificar se os dados apresentados ao consumidor permanecem íntegros — como a adulteração pode ocorrer diretamente no navegador, apenas o monitoramento do servidor não é suficiente. Outra medida é automatizar a conferência entre o pagamento recebido e o status do pedido, criando alertas para transações que permaneçam pendentes por tempo acima do esperado.
A empresa também recomenda que os sites mostrem claramente o nome da empresa e o CNPJ do beneficiário na etapa final da compra, para que o consumidor possa comparar os dados exibidos na loja com aqueles apresentados pelo aplicativo do banco antes de confirmar o Pix.
Algumas lojas atingidas pela fraude já adotaram medidas provisórias, como retirar o QR Code e disponibilizar apenas a chave Pix, solicitar o envio manual do comprovante ou migrar o pagamento para intermediadores de terceiros.