Clientes de lojas virtuais podem pagar uma compra por Pix e enviar o dinheiro para criminosos sem perceber a troca no checkout. A fraude substitui o QR Code gerado pelo comércio e também o código de copia e cola por versões controladas pelos golpistas.
A Kaspersky identificou 90 e-commerces brasileiros de pequeno e médio portes infectados por um programa malicioso. A atividade está em andamento desde junho de 2025 e atingiu estabelecimentos de segmentos como óticas, autopeças, moda e plataformas de vaquinhas virtuais.
As lojas afetadas têm em comum o uso do Magento, uma plataforma de comércio eletrônico de código aberto. A alteração acontece no momento do pagamento e pode passar despercebida tanto pelo consumidor quanto pelo lojista.
Para quem compra, uma das principais verificações deve ser feita no aplicativo do banco, antes da confirmação do Pix. O cliente precisa conferir se o nome do destinatário e o CNPJ correspondem à loja ou ao intermediador de pagamento oficial. Qualquer divergência deve ser tratada como motivo para interromper a operação.
Também é recomendável manter uma solução de segurança instalada no celular. Se aparecer um alerta durante o pagamento, a orientação é parar o processo imediatamente.
Do lado do comércio, a plataforma e o sistema de gerenciamento de conteúdo devem permanecer atualizados, com a aplicação das correções de segurança disponíveis. No caso de soluções como o Magento, essa manutenção é uma das medidas indicadas para reduzir a exposição.
A Kaspersky também recomenda auditar o checkout e usar ferramentas que verifiquem a integridade dos arquivos dos modelos de pagamento. Auditorias constantes na página em execução ajudam a identificar alterações.
Outra medida é configurar alertas automáticos para pedidos que continuem pendentes além do tempo esperado de liquidação do Pix. A loja também deve informar, na página de conclusão da compra, o nome da empresa e o CNPJ da conta beneficiária, orientando o cliente a conferir os dados antes de finalizar o pagamento.
Quando o pagamento não é registrado pelo sistema, o pedido pode aparecer para o lojista como pendente ou abandonado. O consumidor, por sua vez, pode só perceber o problema dias depois, ao reclamar do atraso na entrega.
