Golpe troca QR Code do Pix em lojas virtuais: como sua empresa se protege

Uma nova fraude digital está preocupando quem vende pela internet. Um código malicioso identificado em setembro está sendo usado para alterar QR Codes de Pix no momento em que o cliente finaliza a compra em lojas virtuais, redirecionando o dinheiro para contas de golpistas. A empresa de cibersegurança Kaspersky já identificou 90 sites de comércio eletrônico de pequeno e médio porte infectados no Brasil, todos utilizando a plataforma gratuita Magento.

O detalhe mais grave dessa fraude é que ela não depende do computador ou celular do cliente estar contaminado. O vírus fica instalado diretamente no site da loja e age exatamente na hora do pagamento, trocando o QR Code verdadeiro por um falso, sem qualquer alteração visual perceptível. Isso significa que, mesmo com cuidado, o consumidor pode não perceber que está pagando para a conta errada. A ameaça também atinge o Pix Copia e Cola, o que amplia o alcance para quem paga pelo celular.

Por que isso é um problema para o seu negócio

Se você vende online e utiliza a plataforma Magento, seu site pode estar entre os alvos dessa fraude sem que você saiba. O golpe não depende de uma falha isolada em cada compra: uma única infecção no site pode atingir diversos clientes diferentes, todos que passarem pela página de pagamento comprometida. Isso coloca em risco a confiança do consumidor na sua loja, mesmo quando o problema técnico não foi causado diretamente por você.

Além do Pix, a mesma ameaça pode atuar sobre pagamentos com cartão de crédito. Nesse caso, o pagamento pode até ser recebido normalmente pela loja, mas os dados do cartão do cliente são capturados pelos criminosos para futura clonagem. Ou seja, o problema não se limita a uma forma de pagamento: qualquer opção oferecida no seu checkout pode ser explorada de maneira diferente pelo mesmo código malicioso.

Como orientar seus clientes

Uma medida simples pode ajudar a evitar prejuízo: oriente seus clientes a conferir, no aplicativo do banco, o nome do destinatário e o CNPJ antes de confirmar qualquer Pix. Em negócios pequenos, o pagamento pode aparecer no nome da pessoa proprietária, e não no nome fantasia usado na loja, o que exige atenção redobrada. Por isso, alguns comerciantes afetados passaram a informar previamente o CNPJ e o nome da empresa, justamente para facilitar essa checagem. Outra alternativa adotada por lojistas é usar plataformas de pagamento terceirizadas, em vez de processar a transação diretamente no próprio site.

Para pagamentos com cartão, a orientação é o uso de cartões virtuais, que geram dados válidos apenas para uma transação específica e expiram logo depois do uso, reduzindo o risco de clonagem posterior.

Se um pagamento for desviado

Caso um cliente perceba que pagou para uma conta diferente da esperada, a orientação é procurar o banco imediatamente para registrar a fraude e solicitar o Mecanismo Especial de Devolução (MED) do Pix, prazo que pode chegar a até 80 dias após a transação. Ainda assim, a rapidez é essencial: os criminosos podem transferir os valores para diversas contas em poucas horas, e o MED consegue rastrear a movimentação por até cinco transferências. Quanto mais cedo a fraude for comunicada, maiores as chances de recuperação.

O pedido é feito diretamente no aplicativo do banco, na opção de contestar o Pix, informando o motivo (golpe, fraude ou pagamento sem autorização) e podendo anexar boletim de ocorrência, embora isso não seja obrigatório. Depois da análise, contas envolvidas podem ficar bloqueadas por até 11 dias, e o estorno, se aprovado, deve ocorrer nesse mesmo prazo após a decisão. Mesmo quando a recuperação não é possível, registrar a contestação ajuda a identificar contas usadas em fraudes recorrentes.

Diante desse cenário, vale reforçar internamente a atenção com a segurança do site, principalmente se sua empresa usa Magento, e comunicar de forma clara os dados corretos de recebimento aos clientes. Prevenção e agilidade na resposta são, hoje, as principais ferramentas para reduzir o impacto financeiro e reputacional desse tipo de golpe.