Um novo tipo de vírus está colocando consumidores e lojistas brasileiros em alerta. A ameaça altera o QR Code do Pix diretamente na página de pagamento de lojas virtuais e redireciona o dinheiro para contas controladas por criminosos. O ataque acontece de forma silenciosa, sem necessariamente mudar o visual do site ou exibir sinais claros de fraude para a vítima.
O caso foi descoberto em 1º de setembro de 2026 pelo pesquisador independente conhecido como eremit4 e posteriormente analisado pela empresa de segurança Kaspersky. Até o momento, a companhia identificou 90 sites de comércio eletrônico de pequeno e médio porte infectados no Brasil, todos utilizando a plataforma Magento. O alerta foi divulgado nesta semana e reforça a necessidade de conferir os dados do recebedor antes de confirmar qualquer transferência. (www1.folha.uol.com.br)
Como funciona o novo golpe do Pix
O ataque ocorre dentro da própria loja virtual. Depois que o consumidor escolhe os produtos e chega à etapa de pagamento, o código malicioso modifica o QR Code legítimo gerado pelo comércio. Em vez de direcionar o valor para a conta da empresa, o código adulterado envia o Pix para uma conta utilizada pelos golpistas.
A fraude também pode alterar o chamado Pix Copia e Cola. Isso significa que o consumidor que prefere copiar o código exibido na tela, em vez de escanear o QR Code, também pode ser enganado. O perigo está justamente no fato de que a página pode continuar exibindo o nome da loja, o valor da compra e a mensagem de pagamento normalmente, enquanto o destino real da transferência já foi trocado.
Segundo a Kaspersky, a substituição não deixa indícios visuais evidentes. O criminoso infecta o site e não necessariamente o computador ou o celular do cliente. Com isso, todos os consumidores que acessarem a página de pagamento comprometida podem ser expostos ao golpe. A técnica foi associada a uma evolução do chamado Magecart, uma família de ataques historicamente usada para roubar dados de cartão em sites de comércio eletrônico. (www1.folha.uol.com.br)
Por que a ameaça é difícil de identificar
Em golpes tradicionais, o usuário costuma perceber sinais como um endereço de site estranho, erros de ortografia, pop-ups suspeitos ou solicitações fora do padrão. Neste caso, porém, a fraude pode acontecer em uma loja real, com domínio legítimo e conexão segura. O problema está no código inserido ou alterado dentro do sistema da loja.
Na prática, o consumidor pode seguir todo o processo normal: escolher o produto, informar o endereço, selecionar Pix e visualizar um QR Code aparentemente legítimo. A alteração acontece no momento em que o pagamento é concluído. Como o código é visualmente parecido com qualquer outro QR Code, a imagem, por si só, não revela a fraude.
O mesmo código malicioso pode apresentar outro risco. De acordo com o alerta de segurança, quando o cliente escolhe pagar com cartão, a ameaça também pode tentar capturar os dados digitados. Nesse cenário, a compra pode até ser aprovada e o lojista receber o dinheiro, mas as informações do cartão podem ser utilizadas posteriormente em tentativas de clonagem ou transações não autorizadas. (www1.folha.uol.com.br)
Como se proteger ao pagar com Pix em lojas virtuais
A principal recomendação para o consumidor é não confirmar o pagamento imediatamente. Antes de digitar a senha ou concluir a autenticação no aplicativo do banco, confira cuidadosamente as informações apresentadas na tela de confirmação.
- Verifique o nome do recebedor: ele deve fazer sentido em relação à loja onde a compra foi realizada.
- Confira o CNPJ ou CPF: em alguns casos, o pagamento legítimo pode aparecer no nome empresarial ou no nome do proprietário, mas qualquer divergência precisa ser investigada.
- Analise o valor: confirme se o preço corresponde ao total exibido no carrinho, incluindo frete e eventuais descontos.
- Não aprove uma transferência com pressa: se o destinatário parecer desconhecido, cancele o pagamento e entre em contato com a loja por um canal oficial.
- Prefira cartões virtuais: em compras de sites menores, um cartão virtual temporário pode limitar os danos caso os dados sejam capturados.
- Mantenha o celular atualizado: atualizações do sistema operacional e do aplicativo bancário ajudam a reduzir riscos relacionados a falhas conhecidas.
O Banco Central recomenda que os usuários observem os dados da transação antes da confirmação. O Pix pode ser feito por QR Code, código Copia e Cola, chave ou outras modalidades integradas a plataformas de pagamento, mas a etapa de validação no aplicativo da instituição financeira continua sendo essencial. (bcb.gov.br)
O que fazer se você caiu no golpe
Quem realizou um Pix para um destinatário suspeito deve agir o mais rápido possível. O primeiro passo é entrar em contato com o banco pelos canais oficiais e informar que a transação está relacionada a fraude ou golpe. Também é importante solicitar a abertura do Mecanismo Especial de Devolução, conhecido como MED.
O MED permite que as instituições financeiras analisem a operação e tentem bloquear ou recuperar os valores quando há indícios de fraude. A velocidade é decisiva porque os criminosos costumam transferir o dinheiro para outras contas em pouco tempo, dificultando o rastreamento e a devolução. Mesmo quando a recuperação não é garantida, a contestação ajuda os bancos a identificar contas suspeitas e interromper o fluxo dos recursos. (www1.folha.uol.com.br)
Além de acionar o banco, o consumidor deve guardar comprovantes, capturas de tela, endereço da loja, mensagens recebidas e informações sobre o destinatário do Pix. Esses dados podem ser úteis para registrar um boletim de ocorrência e comprovar o ocorrido em eventuais contatos com a empresa responsável pela plataforma de pagamento.
O que os lojistas precisam fazer
Para os comerciantes, o alerta mostra que proteger apenas o computador do cliente não é suficiente. A própria infraestrutura da loja virtual precisa ser monitorada continuamente. Sites que utilizam Magento ou outras plataformas de comércio eletrônico devem manter o sistema, extensões e módulos atualizados, além de revisar acessos administrativos e integrações de pagamento.
Medidas recomendadas para empresas
- Atualizar o Magento, plugins, temas e bibliotecas utilizadas no checkout.
- Adotar senhas únicas, longas e exclusivas para o painel administrativo.
- Ativar autenticação em dois fatores sempre que a plataforma permitir.
- Monitorar alterações inesperadas em arquivos e scripts da página de pagamento.
- Verificar regularmente o código responsável pela geração do QR Code e do Pix Copia e Cola.
- Utilizar ferramentas de detecção de comportamento anômalo e varredura de malware.
- Informar claramente ao cliente o nome empresarial e o CNPJ que aparecerão na confirmação do pagamento.
O caso também reforça uma tendência importante da segurança digital: os criminosos estão atacando cada vez mais os intermediários das transações. Em vez de tentar convencer cada consumidor individualmente, eles comprometem uma plataforma ou uma loja e atingem várias pessoas ao mesmo tempo.
Conclusão
O novo vírus que troca o QR Code do Pix mostra que uma página aparentemente legítima não é garantia suficiente de segurança. A fraude pode ocorrer dentro de uma loja real e alterar tanto o código visual quanto o Pix Copia e Cola, sem sinais evidentes para o consumidor.
Por isso, a regra mais importante é conferir o nome, o documento do recebedor e o valor diretamente no aplicativo do banco antes de concluir a operação. Para os lojistas, manter a plataforma atualizada, reforçar os acessos e monitorar o checkout são medidas indispensáveis. Em caso de golpe, a orientação é agir imediatamente, acionar o banco, solicitar o MED e preservar todas as provas da transação.