A empresa de cibersegurança Kaspersky identificou em 8 de setembro de 2026 que 90 lojas virtuais de pequeno e médio portes no Brasil foram infectadas por um programa malicioso que altera o QR Code do Pix e desvia o dinheiro das compras.
O pesquisador independente conhecido como eremit4 descobriu o código invasor. A ação criminosa opera desde junho de 2025 em negócios de ótica, autopeças, vestuário e financiamento coletivo. Todos os alvos utilizavam o sistema de comércio eletrônico de código aberto Magento.
Invasores utilizam servidores externos para manipular pagamentos
Criminosos controlam seis domínios.
Esses endereços remotos injetam instruções fraudulentas diretamente na etapa final de fechamento do pedido, momento exato em que a chave e a imagem gráfica de pagamento da loja são substituídas instantaneamente pelos dados bancários de contas pertencentes a pessoas intermediárias sem o conhecimento imediato do comprador. O lojista nota o pedido apenas como pendente no painel. O cliente percebe o desvio dias depois.
Riscos para quem utiliza o pagamento pelo celular
O pesquisador líder de segurança da Kaspersky, Fabio Assolini, explicou que a ameaça atinge aparelhos móveis: “Como a grande maioria dos e-commerces oferece a função de copiar e colar a chave, quem compra pelo celular também está amplamente vulnerável. Além disso, com inovações como o Pix Automático e o Pix Parcelado (que também funcionam por meio da leitura de um QR Code), a superfície de ataque se expande, permitindo até mesmo débitos recorrentes e indevidos na conta da vítima, caso as devidas proteções não sejam aplicadas”.
Comércios invadidos retiraram a imagem gráfica e passaram a solicitar depósitos diretos em chave de CNPJ. Outros estabelecimentos transferiram o fluxo financeiro para plataformas terceirizadas. Algumas páginas adicionaram a identificação do titular logo abaixo do código.
Recomendações técnicas para a administração de lojas virtuais
Medidas de segurança foram detalhadas para os operadores das páginas eletrônicas.
- Aplicar atualizações imediatas nos sistemas para fechar brechas de invasão
- Exigir autenticação em duas etapas no painel administrativo e trocar senhas periodicamente
- Auditar constantemente a integridade dos arquivos na tela final de pagamento
- Configurar alertas para pedidos com liquidação pendente além do tempo padrão
- Informar a razão social e o CNPJ da empresa ao lado dos dados da cobrança
Medidas de precaução para compradores antes da transferência
Consumidores precisam conferir o destinatário cadastrado no aplicativo do banco antes de digitar a senha. Se os dados forem divergentes do cadastro da empresa vendedora, o pagamento precisa ser cancelado. Softwares de segurança bloqueiam conexões perigosas em computadores e celulares.
A apuração técnica apontou que os criminosos transferem o montante obtido para contas bancárias de intermediários para dificultar o rastreio.
