Novo golpe muda o QR Code do Pix para desviar dinheiro
Programa malicioso substitui o código legítimo por um fraudulento durante o pagamento e direciona o dinheiro para contas usadas pelos criminosos
Uma nova modalidade de fraude envolvendo pagamentos por Pix está atingindo lojas virtuais brasileiras. Segundo a empresa de cibersegurança Kaspersky, 90 e-commerces de pequeno e médio portes já foram identificados como infectados por um programa malicioso capaz de substituir o QR Code legítimo exibido na etapa de pagamento por um código controlado pelos criminosos.
A ameaça foi identificada recentemente pelo pesquisador independente conhecido como “eremit4”. De acordo com a Kaspersky, a campanha está ativa desde junho de 2025 e já atingiu estabelecimentos de diferentes segmentos, incluindo lojas de ótica, autopeças, moda e plataformas de arrecadação de doações.
Um elemento em comum entre os sites identificados é a utilização do Magento, plataforma de comércio eletrônico de código aberto.
Código é trocado durante o pagamento
Segundo a investigação, os criminosos utilizam seis domínios de comando e controle para inserir códigos maliciosos nas páginas de checkout das lojas comprometidas.
Quando o consumidor escolhe o Pix como forma de pagamento, o programa modifica o QR Code gerado originalmente pelo comércio. A alteração também pode atingir as informações disponibilizadas na opção de pagamento por “copia e cola”.
A fraude pode passar despercebida tanto pelo estabelecimento quanto pelo consumidor. Para o lojista, o pedido pode permanecer com status de abandono ou pendência, uma vez que o sistema da loja não identifica o pagamento.
Já o cliente normalmente só descobre o problema posteriormente, ao procurar a empresa porque a mercadoria não foi entregue. Nesse intervalo, os valores desviados podem ser transferidos entre diferentes contas utilizadas como “laranjas”, dificultando o rastreamento e a recuperação do dinheiro.
Celulares também estão vulneráveis
Fabio Assolini, pesquisador líder de segurança da Kaspersky, alerta que o método possui potencial de atingir um número ainda maior de consumidores.
Isso ocorre porque muitos sites oferecem a alternativa de copiar os dados do Pix, recurso bastante utilizado por quem realiza compras pelo celular. A empresa também aponta que a expansão de modalidades como Pix Automático e Pix Parcelado, que podem utilizar QR Codes, aumenta a superfície potencial de ataque.
Medidas adotadas por lojas afetadas
Após receberem relatos de clientes, alguns dos sites identificados adotaram soluções temporárias para reduzir o risco.
Entre as medidas estão a retirada do QR Code e a disponibilização somente da chave Pix vinculada ao CNPJ, com solicitação de envio manual do comprovante. Outras empresas passaram a informar o nome e os dados do beneficiário verdadeiro próximos ao código, incentivando a conferência antes do pagamento.
Também houve casos de lojas que migraram o processamento dos pagamentos para intermediadores de terceiros.
Como lojistas podem se proteger
Entre as recomendações de segurança estão:
- Manter plataformas e sistemas atualizados, instalando correções de segurança e deixando de utilizar versões que não recebem mais suporte;
- Adotar autenticação em dois fatores (2FA) e substituir periodicamente senhas utilizadas na hospedagem, painéis administrativos e processos de implantação;
- Monitorar a integridade do checkout, com auditorias frequentes dos modelos e da página efetivamente carregada pelo consumidor;
- Conferir automaticamente os pagamentos, relacionando os comprovantes e o status dos pedidos e criando alertas para transações que permaneçam pendentes por tempo acima do esperado;
- Exibir os dados do beneficiário, como nome empresarial e CNPJ, para que o consumidor possa conferir as informações antes de autorizar a transferência.
Cuidados para consumidores
O principal cuidado é conferir os dados do destinatário antes de confirmar o Pix. O nome e o CNPJ apresentados no aplicativo do banco devem corresponder à loja onde a compra foi realizada ou ao intermediador oficial responsável pelo pagamento.
Caso apareça o nome de uma pessoa física desconhecida ou qualquer outra informação incompatível com a empresa, a orientação é não concluir a transferência e entrar em contato com o estabelecimento por um canal oficial.
Também é recomendável manter soluções de segurança atualizadas no computador e no celular. Se houver algum alerta indicando que a página de pagamento pode estar infectada ou comprometida, o consumidor deve interromper a operação e não efetuar o pagamento.
Fonte: Guia Muriaé, com informações do Extra
Receba nossas notícias direto no seu WhatsApp! Envie uma mensagem para o número (32) 99125-5754 ou pelo link 
