Novo golpe altera QR Code do Pix em lojas virtuais e desvia dinheiro

Uma nova fraude que altera o QR Code do Pix em páginas de pagamento de lojas virtuais vem atingindo o e-commerce brasileiro.

A empresa de cibersegurança Kaspersky detectou, até o momento, 90 comércios on-line de pequeno e médio portes infectados no Brasil por um programa malicioso que substitui o código Pix original por um fraudulento e desvia os valores dessas transações.

Descoberto recentemente, o golpe está ativo desde junho de 2025, e já afetou lojas de diversos segmentos, em especial aquelas que utilizam a plataforma gratuita de código aberto Magento.

Os criminosos utilizam seis domínios de comando para injetar o código malicioso nas páginas de checkout.

Assim que o cliente seleciona o pagamento via Pix, o código troca o QR Code gerado pela loja, além dos dados de “copia e cola”.

Segundo a Kaspersky, o golpe é silencioso .

Para o lojista, a compra aparece como “abandonada” ou pendente, pois o sistema oficial da loja não registra o pagamento.

Já o cliente só percebe que foi vítima dias depois, geralmente ao entrar em contato com a loja para reclamar do atraso na entrega.

Esse intervalo, é tempo suficiente para os criminosos distribuírem o valor roubado em cotas de “laranjas”, dificultando a recuperação do dinheiro.

Leia também: Pix bloqueado e cachês em risco: o que famosos endividados devem fazer para não agravar a situação Mesmo quando a vítima demora a perceber a fraude, ainda é possível tentar recuperar o dinheiro.

De acordo com Raimundo Nonato, presidente da Asssociação Brasileira de Defesa dos Clientes e Consumidores de Operações Financeiras e Bancárias (Abradeb), o consumidor deve comunicar imediatamente o banco, contestar a transação e solicitar a abertura do Mecanismo Especial de Devolução (MED), além de registrar um boletim de ocorrência e avisar a loja.

O Banco Central permite a solicitação do MED em até 80 dias, mas a rapidez é determinante.

Quanto mais cedo a fraude for comunicada, maior a possibilidade de o dinheiro ainda estar disponível para bloqueio.

Caso a fraude seja confirmada, o banco do recebedor tenta bloquear e devolver os valores encontrados.