Malware infecta 90 lojas virtuais brasileiras, altera QR Codes do Pix e desvia pagamentos sem deixar sinais visíveis ao cliente
Um novo malware infectou 90 lojas virtuais brasileiras e está adulterando códigos do Pix em tempo real. A empresa de cibersegurança Kaspersky confirmou a fraude após a descoberta do pesquisador independente conhecido como “eremit4”.
Segundo a Folha, o código malicioso altera o QR Code e o Pix Copia e Cola no momento de fechar a compra. O dinheiro é desviado para contas controladas por golpistas, sem que o consumidor perceba qualquer sinal visual da fraude.
Como funciona o ataque que invisibiliza a fraude
O malware infecta sites de e-commerce que utilizam a plataforma Magento. Quando o cliente gera o pagamento para finalizar o pedido, o script substitui o QR Code legítimo por um código fraudulento controlado pelos criminosos.
Como a alteração acontece dentro do próprio site, quem está comprando não percebe nenhuma anormalidade. O pesquisador eremit4 chamou a operação de “o novo magecart brasileiro”, em referência à modalidade tradicional de fraude usada para roubar dados de cartões.
Se a opção escolhida for o cartão de crédito, o mesmo malware também pode copiar os dados para uma fraude posterior. Nesse caso, o lojista recebe normalmente o pagamento, enquanto o cliente fica exposto à clonagem do cartão.
Como o criminoso infecta o site e não o computador da vítima, o potencial de estrago é muito maior e atinge todos os clientes.Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, à Folha.
O desafio do resgate e as barreiras do MED
Perceber a fraude rapidamente é fundamental para tentar recuperar o dinheiro. O Mecanismo Especial de Devolução (MED) do Pix permite rastrear a transação por até cinco transferências, segundo o alerta de Assolini.
O problema é que os criminosos podem distribuir o dinheiro entre dezenas de contas laranja em poucas horas, dificultando a recuperação dos valores.
“Os criminosos sabem que o limite de transferências rastreáveis é de cinco passagens. O MED é válido quando a pessoa percebe rapidamente”, diz Assolini.
Embora o consumidor tenha até 80 dias para solicitar o MED, o Banco Central recomenda registrar a contestação mesmo quando a recuperação não é garantida. O procedimento ajuda as instituições financeiras a identificar contas utilizadas nas fraudes.
Medidas práticas para não cair no golpe
Como a alteração do pagamento não deixa sinais aparentes, a principal defesa do consumidor está na conferência dos dados antes de autorizar a transferência.
- Confira o destinatário: verifique o nome e o CNPJ exibidos pelo aplicativo do banco antes de confirmar o Pix. Em lojas pequenas, a conta pode estar registrada em nome do proprietário.
- Use cartão virtual: para compras com cartão, prefira uma versão virtual temporária. Os dados podem expirar após a transação, reduzindo o risco de clonagem.
- Aja rapidamente: se perceber o desvio, procure imediatamente o banco, registre a fraude e solicite o MED.
- Mantenha antivírus ativo: o software pode ajudar a identificar atividades suspeitas relacionadas ao código malicioso.
Continua após a publicidade
Lojistas também precisam reforçar a segurança
Comerciantes afetados pelo vírus perceberam um aumento na desistência de compras. Alguns passaram a informar o CNPJ e o nome da empresa para que o cliente possa conferir o destinatário do Pix. Outros adotaram plataformas de pagamento terceirizadas.
Para reduzir o risco de novas infecções, a Kaspersky recomenda manter o Magento atualizado, utilizar senhas únicas e complexas no acesso à administração do site e fazer monitoramento recorrente com software de qualidade.
O código responsável pelo ataque pode aparecer em trechos ofuscados, dificultando a identificação do comportamento malicioso. A mesma ameaça ainda consegue roubar dados de cartão quando o cliente escolhe essa forma de pagamento.
Continua após a publicidade
Quem identificar um Pix fraudulento deve abrir a área do Pix no aplicativo do banco, selecionar “Contestar Pix” e informar que se trata de golpe ou fraude. As contas envolvidas podem ser bloqueadas por até 11 dias durante a apuração, e eventual devolução depende da existência de saldo e da análise das instituições financeiras.
