Novo golpe altera QR Code do Pix em lojas virtuais e desvia dinheiro

Fraude já atingiu 90 comércios on-line no Brasil e substitui o código de pagamento por um falso; especialista explica como agir para tentar recuperar o valor e quais cuidados consumidores e lojistas devem tomar

Apesar do avanço para outros países, o BC esclarece que ainda não há um Pix internacional oficial - (crédito: Bruno Peres/Agência Brasil)

Uma nova fraude que altera o QR Code do Pix em páginas de pagamento de lojas virtuais vem atingindo o e-commerce brasileiro. A empresa de cibersegurança Kaspersky detectou, até o momento, 90 comércios on-line de pequeno e médio portes infectados no Brasil por um programa malicioso que substitui o código Pix original por um fraudulento e desvia os valores dessas transações.

Descoberto recentemente, o golpe está ativo desde junho de 2025, e já afetou lojas de diversos segmentos, em especial aquelas que utilizam a plataforma gratuita de código aberto Magento. 

Os criminosos utilizam seis domínios de comando para injetar o código malicioso nas páginas de checkout. Assim que o cliente seleciona o pagamento via Pix, o código troca o QR Code gerado pela loja, além dos dados de “copia e cola”. 

Segundo a Kaspersky, o golpe é silencioso. Para o lojista, a compra aparece como “abandonada” ou pendente, pois o sistema oficial da loja não registra o pagamento. Já o cliente só percebe que foi vítima dias depois, geralmente ao entrar em contato com a loja para reclamar do atraso na entrega. Esse intervalo, é tempo suficiente para os criminosos distribuírem o valor roubado em cotas de “laranjas”, dificultando a recuperação do dinheiro. 

Mesmo quando a vítima demora a perceber a fraude, ainda é possível tentar recuperar o dinheiro. De acordo com Raimundo Nonato, presidente da Asssociação Brasileira de Defesa dos Clientes e Consumidores de Operações Financeiras e Bancárias (Abradeb), o consumidor deve comunicar imediatamente o banco, contestar a transação e solicitar a abertura do Mecanismo Especial de Devolução (MED), além de registrar um boletim de ocorrência e avisar a loja.

O Banco Central permite a solicitação do MED em até 80 dias, mas a rapidez é determinante. Quanto mais cedo a fraude for comunicada, maior a possibilidade de o dinheiro ainda estar disponível para bloqueio. Caso a fraude seja confirmada, o banco do recebedor tenta bloquear e devolver os valores encontrados.

“O MED aumenta as chances de recuperação, mas não funciona como um seguro que garante o ressarcimento em qualquer situação”, explica Nonato.

Segundo o presidente da Abradeb, o mecanismo prevê o bloqueio dos valores disponíveis na conta que recebeu o pagamento. As instituições analisam o caso em até sete dias corridos e, confirmada a fraude, a devolução deve ocorrer em até 96 horas após o fim da análise. No entanto, o ressarcimento fica limitado ao dinheiro que ainda puder ser localizado e bloqueado.

A pulverização dos valores entre diferentes contas, especialmente de “laranjas”, pode dificultar a recuperação. Por isso, mesmo que o consumidor já tenha percebido o golpe dias depois, a contestação continua sendo importante, pois pode gerar novos bloqueios e contribuir para a investigação policial e judicial.

Quem deve pagar pelo prejuízo?

A responsabilidade pelo dinheiro perdido não é automaticamente atribuída à loja ou ao banco. Segundo Nonato, é necessário analisar as circunstâncias da fraude e identificar onde ocorreu a eventual falha de segurança.

Se o site da loja foi invadido e não contava com mecanismos razoáveis de segurança, monitoramento ou validação do QR Code, a empresa pode ser responsabilizada por uma falha na prestação do serviço. Isso ocorre porque o consumidor acreditava estar efetuando o pagamento diretamente para o estabelecimento onde realizou a compra.

O banco também pode ter responsabilidade caso sejam identificadas falhas de segurança, negligência na identificação de uma conta utilizada para fraude, descumprimento de procedimentos antifraude ou uma movimentação claramente incompatível com o perfil da transação.

“É preciso avaliar a atuação da loja, do banco do pagador, do banco do recebedor e dos fraudadores. Em determinados casos, pode haver responsabilidade de mais de um participante”, afirma.

O especialista ressalta ainda que o simples processamento de uma ordem de Pix autorizada pelo cliente não significa, por si só, que a instituição financeira seja obrigada a devolver o dinheiro. A análise deve considerar as circunstâncias específicas do caso.

“Copia e cola” também exige atenção

A fraude não se limita ao QR Code exibido na tela. Quem utiliza o Pix Copia e Cola também pode ser vítima, já que o código apresentado no site pode ter sido adulterado antes de ser copiado pelo consumidor.

Por isso, antes de confirmar qualquer pagamento, é fundamental conferir as informações apresentadas pelo aplicativo do banco. Entre os dados que devem ser observados estão o nome do recebedor, CPF ou CNPJ, quando disponível, instituição financeira, valor e descrição da operação.

“Se os dados não corresponderem à loja, o consumidor deve interromper a operação”, orienta Nonato.

Quais provas guardar?

Para tentar recuperar o dinheiro e comprovar a fraude, o consumidor deve preservar o máximo possível de informações sobre a compra. Entre os documentos e registros importantes estão o comprovante completo do Pix, com valor, data, horário, ID da transação e dados do recebedor, além de capturas de tela ou gravações do site mostrando a oferta e o código utilizado para pagamento.

Também devem ser guardados o endereço completo da página, número do pedido, nota fiscal, recibos, e-mails e mensagens trocadas com a loja, publicidade ou links que levaram ao site, protocolos de atendimento, contestação feita ao banco, boletim de ocorrência e extratos bancários.

Caso exista, um comunicado da própria loja confirmando a invasão também pode ser relevante. Se o problema não for resolvido, o consumidor pode procurar o Procon, registrar reclamação no Banco Central e avaliar a possibilidade de recorrer à Justiça.

Como evitar o golpe?

A principal recomendação é conferir os dados do destinatário antes de confirmar qualquer Pix. Descontos muito acima do padrão também devem levantar suspeitas, especialmente quando o pagamento é direcionado a uma pessoa física ou a uma empresa diferente daquela responsável pela venda.

Outra orientação é acessar a loja pelo endereço oficial, evitando links recebidos por mensagens. Manter sistema operacional, navegador, antivírus e aplicativo bancário atualizados também reduz riscos.

O consumidor deve ainda evitar pagamentos em redes Wi-Fi públicas ou em dispositivos desconhecidos, não instalar programas indicados por supostos atendentes e manter limites de Pix compatíveis com o uso cotidiano.

Para os comerciantes, a prevenção passa pela proteção de todo o ambiente de pagamento. Segundo Nonato, sistemas de comércio eletrônico, hospedagem e extensões devem estar atualizados, enquanto acessos administrativos precisam contar com autenticação multifator e controle rigoroso de privilégios.

Também é necessário monitorar alterações em QR Codes, chaves Pix, dados bancários e páginas de checkout, além de manter registros de auditoria e alertas para mudanças no código de pagamento.

Uma das medidas apontadas pelo especialista é validar o QR Code no servidor, evitando que ele possa ser alterado apenas por scripts executados no navegador. Testes de vulnerabilidade, backups, ferramentas de proteção contra invasões e a separação entre ambientes de desenvolvimento, administração e produção também são recomendados.

Em caso de suspeita de invasão, a orientação é agir rapidamente: interromper os pagamentos, preservar os registros técnicos, comunicar bancos e autoridades e informar os clientes potencialmente afetados.

“A loja não deve esperar que o consumidor descubra o golpe. Ao primeiro sinal de alteração indevida, deve interromper os pagamentos, preservar os registros técnicos, comunicar os bancos e orientar os clientes”, afirma Nonato. Para ele, a segurança digital deve ser tratada como uma obrigação contínua, e não como uma providência tomada apenas depois que uma fraude acontece.

Por Giovanna Rodrigues

postado em 09/09/2026 12:28