A ameaça compromete lojas virtuais e modifica silenciosamente o QR Code apresentado durante o checkout. Em vez de transferir o dinheiro para o estabelecimento onde a compra está sendo realizada, o consumidor acaba enviando o valor para contas controladas pelos criminosos.
O ataque também consegue substituir o código do Pix Copia e Cola, utilizado principalmente por consumidores que fazem compras pelo próprio smartphone.
Até agora, a investigação confirmou 90 sites brasileiros de pequeno e médio porte infectados, todos utilizando a plataforma de comércio eletrônico Magento.
A descoberta inicial ocorreu em 1º de setembro, a partir do trabalho do pesquisador independente conhecido como eremit4, e posteriormente foi analisada e confirmada pela equipe de segurança da Kaspersky.
O aspecto mais preocupante é que o malware não precisa infectar o celular ou computador do comprador.
Quem foi comprometido é o próprio e-commerce.
Ataque acontece dentro da loja virtual
Essa característica muda completamente a dinâmica do golpe.
Em muitas fraudes envolvendo Pix, o criminoso tenta convencer a vítima a acessar um site falso, instalar um aplicativo malicioso ou transferir dinheiro para uma conta fraudulenta.
Neste caso, o consumidor pode estar acessando a loja verdadeira.
O domínio pode estar correto.
O catálogo pode estar funcionando normalmente.
O produto realmente existe.
O carrinho funciona.
O checkout parece legítimo.
O problema aparece quando o site comprometido gera a cobrança.
QR Code legítimo é substituído em tempo real
O código malicioso interfere no processo de pagamento e troca as informações legítimas por dados controlados pelos criminosos.
Visualmente, entretanto, o comprador continua vendo um QR Code aparentemente normal.
Ele abre o aplicativo do banco.
Escaneia o código.
O Pix é reconhecido.
A transferência pode ser realizada normalmente.
Mas o destinatário não é quem deveria receber o dinheiro.
Esse detalhe transforma a conferência das informações exibidas dentro do aplicativo bancário em uma das principais formas de defesa.
Pix Copia e Cola também é adulterado
Os criminosos não atacam somente quem escaneia o QR Code.
O Pix Copia e Cola também pode ser substituído.
Isso é particularmente relevante para quem realiza todo o processo pelo smartphone.
Nesse cenário, o consumidor copia o código apresentado pelo e-commerce e cola no aplicativo do banco.
Como o conteúdo já foi adulterado pelo site comprometido, o resultado é o mesmo: o dinheiro pode ser enviado para a conta dos fraudadores.
É uma evolução do Magecart
O pesquisador responsável pela descoberta descreveu a ameaça como uma espécie de “novo Magecart brasileiro”.
O termo Magecart ficou conhecido no mundo da segurança por ataques nos quais códigos maliciosos são inseridos em páginas de comércio eletrônico para capturar informações de pagamento.
Tradicionalmente, um dos principais objetivos era roubar números de cartões de crédito.
A operação descoberta no Brasil adapta essa lógica ao comportamento financeiro brasileiro.
Em vez de apenas capturar cartões, os criminosos passaram a sequestrar pagamentos via Pix no momento da compra.
Pix virou alvo natural dos criminosos
A adaptação não surpreende.
O Pix se tornou um dos principais meios de pagamento do Brasil e movimenta enormes volumes diariamente.
Para os criminosos, existe outra vantagem.
Um pagamento via cartão passa por mecanismos de autorização e possui processos consolidados de contestação.
O Pix é uma transferência praticamente instantânea.
Assim que recebe o dinheiro, o fraudador pode tentar distribuí-lo rapidamente para outras contas.
Essa velocidade reduz o tempo disponível para reação.
O problema não está no Pix
Existe uma distinção essencial nesta notícia.
Não há indicação de uma vulnerabilidade no sistema Pix do Banco Central.
O mecanismo de pagamentos não foi “hackeado”.
O ataque ocorre antes da transferência, dentro do site comprometido.
O criminoso manipula as informações que serão utilizadas pelo consumidor para realizar o pagamento.
Depois que a vítima autoriza a transferência para o destinatário fraudulento, o Pix funciona exatamente como deveria: envia o dinheiro para aquela conta.
Portanto, trata-se de um ataque ao e-commerce e ao processo de checkout, não de uma quebra da infraestrutura central do Pix.
Todos os clientes da loja comprometida podem ficar expostos
Esse é um dos fatores que tornam a campanha particularmente perigosa.
Quando um malware infecta o computador de uma pessoa, normalmente o alcance inicial está limitado àquela vítima.
Quando um criminoso compromete uma loja online, cada visitante pode se transformar em potencial vítima.
Um único site infectado pode processar centenas ou milhares de pedidos.
Por isso, o impacto potencial de um ataque à cadeia de pagamento de um e-commerce é muito maior.
Pelo menos 90 sites foram identificados
A Kaspersky confirmou a presença da ameaça em 90 lojas virtuais brasileiras de pequeno e médio porte.
O número deve ser interpretado corretamente.
Ele representa os sites identificados na investigação divulgada até agora.
Não significa necessariamente que existam apenas 90 lojas comprometidas no País.
Também não significa que todos os clientes desses sites tenham sido vítimas.
O número corresponde aos e-commerces onde a ameaça foi detectada.
Sites utilizavam Magento
As lojas identificadas utilizam Magento, plataforma amplamente empregada na criação de e-commerces.
Isso também não significa que qualquer site Magento esteja comprometido.
Milhares de lojas utilizam a plataforma de maneira legítima.
O problema é que sistemas de comércio eletrônico são alvos particularmente interessantes para criminosos porque processam pagamentos e informações de clientes.
Instalações desatualizadas, extensões vulneráveis, credenciais administrativas comprometidas ou servidores mal configurados podem abrir caminhos para invasões.
Até o momento, as informações divulgadas sobre essa campanha não permitem atribuir todas as infecções a uma única vulnerabilidade específica do Magento.
Não é correto culpar automaticamente o Magento
Esse cuidado é importante.
O fato de os 90 sites identificados utilizarem a mesma plataforma não prova, por si só, que exista uma única falha inédita no Magento responsável por todos os ataques.
Um invasor pode obter acesso através de diferentes caminhos.
Credenciais roubadas.
Plugins vulneráveis.
Falhas não corrigidas.
Servidores comprometidos.
Contas administrativas fracas.
Ou componentes de terceiros.
A investigação pública disponível até agora não estabelece uma única porta de entrada para toda a campanha.
Malware também pode roubar cartões
A ameaça não se limita ao Pix.
Se o consumidor decidir pagar com cartão de crédito, o código malicioso também pode capturar os dados utilizados durante a compra.
Nesse cenário, existe uma diferença importante.
O pagamento legítimo pode chegar normalmente ao lojista.
O cliente recebe o produto.
A compra aparentemente termina sem qualquer problema.
Mas as informações do cartão podem ter sido copiadas silenciosamente.
A fraude aparece depois.
Cartão pode ser utilizado posteriormente
Com os dados capturados, criminosos podem tentar realizar novas compras ou comercializar as informações em mercados clandestinos.
Isso faz com que uma vítima talvez nem associe imediatamente uma cobrança fraudulenta à loja comprometida anteriormente.
É uma das razões pelas quais ataques Magecart historicamente são tão perigosos.
Eles podem permanecer escondidos durante períodos consideráveis.
Cartão virtual reduz parte do risco
Para compras online, cartões virtuais temporários ou de uso único podem oferecer proteção adicional.
Se os dados forem capturados, sua utilidade para o criminoso pode ser reduzida depois que a transação legítima é concluída.
Naturalmente, isso depende do funcionamento oferecido por cada instituição financeira.
O cartão virtual não resolve a infecção do site.
Mas pode limitar o impacto para o consumidor.
No Pix, conferência do destinatário vira última barreira
Para quem utiliza Pix, a principal recomendação é simples:
não confirme automaticamente a transferência depois de escanear o QR Code.
O aplicativo bancário apresenta informações sobre o destinatário antes da autorização.
Esse é o momento de verificar se os dados fazem sentido.
Nome.
Instituição.
CPF ou CNPJ, quando exibido.
Valor.
Identificação disponível.
Se uma compra realizada em uma empresa resultar em pagamento para uma pessoa ou organização completamente desconhecida, é um sinal de alerta.
Existe uma dificuldade nas lojas menores
A verificação, entretanto, não é perfeita.
Pequenos estabelecimentos podem utilizar contas registradas no nome do proprietário.
O nome exibido pelo aplicativo bancário pode, portanto, ser diferente da marca utilizada comercialmente.
Isso pode gerar confusão.
Uma prática importante para os próprios lojistas é informar claramente no checkout qual nome e CNPJ devem aparecer no aplicativo bancário.
Assim, o consumidor possui uma referência independente para conferir antes da transferência.
Criminosos precisam esconder o dinheiro rapidamente
Depois que um Pix fraudulento é realizado, começa uma corrida contra o tempo.
Os criminosos sabem que a conta que recebeu o dinheiro pode ser identificada e bloqueada.
Por isso, operações de fraude utilizam diversas contas laranja.
O dinheiro pode ser transferido repetidamente para dificultar o rastreamento e a recuperação.
Segundo as informações divulgadas na investigação, grupos envolvidos em operações desse tipo podem manter dezenas de contas disponíveis.
MED pode ajudar na recuperação
Uma vítima que identificar a fraude deve entrar em contato imediatamente com sua instituição financeira e solicitar a contestação através do Mecanismo Especial de Devolução (MED).
O MED foi criado pelo Banco Central para situações envolvendo suspeita de fraude no Pix.
O processo pode permitir o bloqueio e eventual devolução de valores existentes nas contas envolvidas.
Mas existe um ponto essencial:
o MED não garante que o dinheiro será recuperado.
Rapidez aumenta chance de recuperação
A vítima possui prazo para registrar a contestação, mas esperar é uma péssima estratégia.
Quanto mais tempo passa, maior é a possibilidade de o criminoso movimentar os recursos.
Mesmo quando todo o valor já desapareceu da primeira conta, registrar a fraude continua sendo importante.
As informações ajudam instituições financeiras a identificar contas utilizadas em atividades suspeitas.
MED não é chargeback
Também existe uma diferença importante em relação ao cartão.
O MED não funciona como um sistema automático de chargeback para qualquer problema comercial.
Ele é destinado a situações específicas de fraude.
Arrependimento de compra, produto que não chegou ou desacordo comercial não são automaticamente enquadrados como fraude no Pix.
Por isso, cada caso passa por procedimentos de análise das instituições envolvidas.
Novas regras chegam em 2027
O Banco Central também está aprimorando a experiência de contestação.
A partir de 1º de março de 2027, novas regras deverão tornar mais clara a forma como usuários relatam golpes e fraudes dentro dos aplicativos das instituições financeiras.
Entre as mudanças previstas estão linguagem mais simples e possibilidade de fornecer informações adicionais sobre o ocorrido.
Também haverá melhorias na identificação de empresas recebedoras.
Essas medidas podem ajudar justamente em situações nas quais conferir o verdadeiro destinatário é essencial.
Antivírus pode ajudar, mas há uma limitação importante
Soluções de segurança podem detectar scripts suspeitos ou comportamentos associados a códigos maliciosos.
Mas este ataque possui uma característica diferente de muitas ameaças tradicionais.
O computador do consumidor não precisa estar infectado.
O problema pode estar no servidor ou na página legítima da loja.
Portanto, manter antivírus atualizado continua sendo uma boa prática, mas não substitui a conferência do pagamento.
Responsabilidade maior está também com o lojista
A campanha mostra que segurança do comércio eletrônico não pode depender apenas do consumidor.
Uma loja virtual está administrando uma infraestrutura que processa dinheiro e informações pessoais.
Isso exige monitoramento constante.
Para estabelecimentos que utilizam Magento ou outras plataformas de comércio eletrônico, medidas fundamentais incluem manter software e extensões atualizados, revisar contas administrativas, utilizar autenticação multifator e monitorar alterações inesperadas nos arquivos do site.
Integridade dos arquivos precisa ser monitorada
Ataques desse tipo frequentemente dependem da inserção ou alteração de código.
Por isso, sistemas de File Integrity Monitoring podem ajudar a identificar modificações inesperadas.
Se um arquivo crítico do checkout foi alterado sem existir uma atualização autorizada, a equipe de segurança precisa ser alertada.
Logs também devem ser preservados para permitir investigação posterior.
Scripts de terceiros ampliam superfície de ataque
E-commerces modernos dependem de dezenas de componentes.
Analytics.
Chat.
Marketing.
Gateways.
Plugins.
Tags.
Bibliotecas JavaScript.
Cada elemento adicional aumenta a complexidade.
Se um componente externo for comprometido, códigos maliciosos podem acabar chegando ao navegador do consumidor.
É o conceito conhecido como ataque à cadeia de suprimentos de software.
Checkout deveria receber proteção especial
A área de pagamento é uma das páginas mais sensíveis de qualquer comércio eletrônico.
Ela deveria possuir controles mais rigorosos que uma página comum do site.
Mudanças no código precisam ser monitoradas.
Permissões administrativas devem ser restritas.
Extensões desnecessárias devem ser removidas.
Credenciais precisam ser protegidas.
E alterações precisam passar por processos de revisão.
Empresas podem ajudar mostrando destinatário esperado
Existe ainda uma defesa simples que não exige tecnologia sofisticada.
Antes de apresentar o QR Code, a loja pode informar claramente:
“Ao realizar o pagamento, confirme que o destinatário exibido pelo banco é Empresa X — CNPJ XX.XXX.XXX/XXXX-XX.”
Isso cria uma referência adicional para o consumidor.
Se o malware trocar o QR Code por uma conta laranja, haverá incompatibilidade entre o que a loja informou e o que o banco exibiu.
Golpe explora confiança no QR Code
A campanha revela um problema comportamental importante.
QR Codes criaram uma experiência extremamente conveniente.
Apontar.
Escanear.
Confirmar.
Mas essa facilidade também reduziu a atenção dedicada aos dados existentes por trás do código.
O QR Code é apenas uma forma visual de transportar informações.
Ele não prova que o destinatário é legítimo.
Cadeia de confiança termina no aplicativo bancário
Quando um consumidor compra em um site comprometido, praticamente toda a interface anterior pode estar sob controle do atacante.
O aplicativo do banco, entretanto, continua sendo um ambiente separado.
É nele que aparecem os dados efetivos da transação antes da autorização.
Por isso, essa tela funciona como uma importante última oportunidade para detectar o golpe.
Consumidor deve desconfiar até de um site verdadeiro
Esse talvez seja o principal aprendizado da campanha.
Durante anos, recomendações de segurança se concentraram em verificar o endereço do site e evitar páginas falsas.
Esses cuidados continuam fundamentais.
Mas ataques à cadeia de pagamento criam um cenário mais sofisticado:
o site pode ser verdadeiro e ainda assim estar comprometido.
O cadeado HTTPS também não resolve esse problema.
Ele indica que a comunicação entre navegador e site está criptografada.
Não garante que o próprio servidor esteja livre de malware.
Ataque representa adaptação do cibercrime ao Brasil
O chamado “Magecart brasileiro” mostra como grupos criminosos adaptam técnicas internacionais às características econômicas de cada mercado.
Em países onde cartões dominam o comércio eletrônico, skimmers digitais procuram cartões.
No Brasil, onde o Pix se tornou parte central da economia, os criminosos estão ajustando a técnica para interceptar transferências instantâneas.
A infraestrutura atacada muda.
O objetivo continua o mesmo: posicionar-se exatamente entre o consumidor e o pagamento.
O que fazer antes de confirmar um Pix
A melhor defesa do consumidor, neste caso, acontece nos segundos finais da operação.
Antes de digitar a senha ou confirmar pela biometria, é necessário olhar novamente para a tela.
O valor está correto?
O destinatário faz sentido?
O CNPJ corresponde ao estabelecimento?
Existe alguma informação inesperada?
Em uma compra de maior valor, alguns segundos de conferência podem evitar um prejuízo difícil de recuperar.
Ataque acende alerta para o comércio eletrônico brasileiro
A descoberta de 90 e-commerces comprometidos demonstra que a ameaça já ultrapassou o estágio de uma simples prova de conceito.
Ao mesmo tempo, não há evidência pública de que todo o ecossistema Magento brasileiro esteja comprometido ou de que exista uma vulnerabilidade no próprio Pix.
O que existe é uma campanha que combina uma técnica conhecida de comprometimento de lojas virtuais com uma característica extremamente brasileira: a utilização massiva das transferências instantâneas.
E isso muda uma das regras básicas das compras online.
Não basta mais conferir se o site é verdadeiro. No Pix, é preciso conferir também se o destinatário apresentado pelo banco é realmente quem deveria receber o dinheiro.
