Kaspersky identifica 90 lojas online infectadas pelo programa malicioso que afeta pagamentos por QR Code no país
A Kaspersky alerta para uma nova modalidade de fraude que altera de forma imperceptível o QR Code do PIX nas páginas de pagamento de lojas virtuais. Até o momento, a empresa de cibersegurança detectou 90 comércios online de pequeno e médio porte infectados no Brasil. O programa malicioso, descoberto recentemente pelo pesquisador de segurança independente conhecido como "eremit4", e verificado pela Kaspersky, substitui o código PIX original gerado pela loja online no momento de pagamento por um fraudulento, desviando o dinheiro da vítima diretamente para a conta de golpistas. Entenda mais sobre o novo golpe e como se proteger abaixo.
Ativa desde junho de 2025 e com um aumento recente nas detecções, a fraude já comprometeu pelo menos 90 lojas virtuais de pequeno e médio porte em diversos segmentos, como óticas, autopeças, moda e até sites de arrecadação virtual (vaquinhas), de acordo com investigação da Kaspersky. O ponto em comum entre as vítimas é o uso da Magento – plataforma de comércio eletrônico de código aberto (open-source). Quando o lojista não realiza a manutenção e as atualizações de segurança adequadas do sistema, abre brechas para que invasores explorem vulnerabilidades que podem comprometer a estrutura da loja e ter controle sobre as páginas de compra.
Imagem site verídico com QR Code alterado Divulgação: Kaspersky Segundo a análise, a campanha utiliza seis domínios de comando e controle para injetar um código malicioso nas páginas de checkout. Assim que o cliente seleciona o pagamento via PIX, o código troca instantaneamente o QR Code gerado, assim como o dado "copia e cola". O golpe é silencioso: para o lojista, a compra aparece como "abandonada" ou pendente, pois o sistema oficial da loja não registra o recebimento. O cliente só percebe que foi vítima dias depois, ao contatar o e-commerce para reclamar do atraso na entrega. Esse intervalo é tempo suficiente para que os criminosos pulverizem o valor roubado em diversas contas de "laranjas", dificultando a recuperação do dinheiro por meio do Mecanismo Especial de Devolução (MED) do Banco Central.
"Essa tática tem um enorme potencial de disseminação, pois, com a técnica agora pública nos fóruns do cibercrime, outros grupos criminosos devem adotá-la rapidamente. Como a grande maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está amplamente vulnerável. Além disso, com inovações como o PIX Automático e o PIX Parcelado – que também funcionam por meio da leitura de um QR Code – , a superfície de ataque se expande, permitindo até mesmo débitos recorrentes e indevidos na conta da vítima, caso as devidas proteções não sejam aplicadas", explica Fabio Assolini, pesquisador líder de segurança da Kaspersky.
Alguns sites afetados começaram a tomar medidas provisórias após receberem denúncias de clientes. Parte das lojas removeu o QR Code, passando a exibir apenas a chave PIX (CNPJ) e solicitando envio manual do comprovante; outras inseriram os dados do beneficiário real abaixo do código para estimular a dupla verificação, ou migraram suas estruturas para intermediadores de pagamento de terceiros.
Para garantir a proteção integral contra esse tipo de ataque, a Kaspersky recomenda ações fundamentais para lojistas e clientes:
Para os lojistas:
- Mantenha a plataforma atualizada: Sistemas de gerenciamento de conteúdo (CMS) e frameworks desatualizados, são portas de entrada fáceis para invasões. Aplique correções de segurança imediatamente e descontinue o uso de versões sem suporte oficial.
- Reforce a autenticação: O uso de senhas vazadas para invadir painéis administrativos é uma das táticas mais comuns na América Latina. Exija a autenticação em duas etapas (2FA) e troque senhas periodicamente na hospedagem, no painel e na implantação, evitando que o vazamento de um único acesso comprometa toda a operação.
- Audite e monitore o checkout: Como a adulteração de dados ocorre diretamente no navegador do cliente, apenas monitorar o servidor não basta. Implemente ferramentas de verificação de integridade de arquivos nos modelos de checkout e faça auditorias constantes na página em execução.
- Valide os pagamentos via PIX: Automatize a verificação entre os comprovantes de pagamento e o status das vendas. Configure alertas automáticos para pedidos que permaneçam pendentes além do tempo esperado de liquidação do PIX.
- Seja transparente no momento do pagamento: Insira os dados reais da conta beneficiária (Nome da Empresa e CNPJ) na página de conclusão da compra, instruindo o cliente a realizar a conferência antes de finalizar o pagamento no aplicativo do banco.
Para os clientes (consumidores):
- Verifique o nome do destinatário: Antes de confirmar qualquer transação no aplicativo do banco, confira atentamente se o nome e o CNPJ apresentados na tela pertencem à loja em que a compra está sendo feita ou ao intermediador de pagamento oficial dela. Se o nome for divergente ou de pessoa física desconhecida, não conclua a transferência.
- Use proteção no dispositivo: Tenha um bom software de segurança, como o Kaspersky Premium, instalado em seu computador e celular. Soluções robustas bloqueiam acessos a endereços perigosos em tempo real. Durante a compra, caso receba um alerta de que a página está infectada ou comprometida, interrompa a navegação imediatamente e não conclua a compra.
Para mais informações sobre proteção digital, visite o blog da Kaspersky.
