الانتقال إلى المحتوى

Magecart في Pix: الهجوم الذي يستبدل رمز QR بدل البطاقة

Laís Peixoto

بقلم Laís Peixoto

Growth Marketer, Proteside

نُشر في · 4 دقائق للقراءة

Magecart في Pix هو الشيفرة الخبيثة نفسها التي كانت تنسخ البطاقات، وقد صارت تستبدل رمز QR ورمز Pix Copia e Cola في صفحة الدفع. يخرج المال فورًا إلى حساب المحتال ولا يستلم المتجر شيئًا، ولا يمنع الاستبدال إلا تحقق يجري على شاشة العميل.

Magecart في Pix (نظام المدفوعات الفورية التابع للبنك المركزي البرازيلي) هو النسخة البرازيلية من هجوم قديم: الشيفرة الخبيثة التي كانت تنسخ أرقام البطاقات في صفحة الدفع صارت تستبدل رمز QR ورمز Pix Copia e Cola (رمز الدفع النصي الذي ينسخه العميل ويلصقه في تطبيق البنك). يدفع العميل المبلغ الصحيح، في المتجر الصحيح، فيذهب المال إلى حساب آخر. وفي سبتمبر 2026، عُثر على هذا النمط في 90 متجرًا إلكترونيًا برازيليًا.

حالة سبتمبر 2026

في 1 سبتمبر، نشر الباحث المستقل المعروف باسم eremit4 اكتشافه وسمّى الهجوم «Magecart البرازيلي الجديد». وأكدت Kaspersky الاكتشاف ونشرت الأرقام في 9 سبتمبر. هذه هي الحقائق المعلنة، كما جمعتها الشركة والصحافة:

  • 90 متجرًا صغيرًا ومتوسطًا مصابًا، كلها تستخدم منصة التجارة الإلكترونية مفتوحة المصدر نفسها، من دون تحديثات منتظمة.
  • هجوم على الموقع، لا على حاسوب العميل. كل المشترين الذين اختاروا Pix في هذه المتاجر تلقّوا الرمز المستبدل.
  • استبدال رمز QR ورمز Copia e Cola معًا. من كان يدفع من الهاتف بنسخ الرمز تضرر تمامًا مثل من كان يمسحه ضوئيًا.
  • لا أثر على الشاشة. بحسب Fabio Assolini من Kaspersky، لا يترك الاستبدال أي علامة مرئية للعميل.
  • البطاقة أيضًا. عندما كان العميل يختار بطاقة الائتمان، كانت الشيفرة نفسها تنسخ البيانات لاستخدامها لاحقًا.
  • العلامة التي ظهرت للتاجر كانت زيادة في حالات التخلي عن الشراء: طلبات Pix تبقى معلقة ولا تُدفع.

بعد ثلاثة أيام، نشر Procon-SP (جهاز حماية المستهلك في ولاية ساو باولو) إرشادات للمستهلكين حول الاحتيال الذي يعدّل رمز QR الخاص بـ Pix في المشتريات عبر الإنترنت.

ما الذي يختلف عن Magecart في البطاقات

الآلية واحدة: شيفرة مخبأة في صفحة الدفع، لا تنشط إلا عند الدفع. لكن النتيجة مختلفة.

  • التوقيت. في البطاقة، تُباع البيانات أو تُستخدم بعد أيام. في Pix، يخرج المال في اللحظة نفسها.
  • من يتحمل الخسارة أولًا. في البطاقة، يستلم المتجر المال وتظهر المشكلة لاحقًا كاحتيال ضد العميل. في Pix، لا يستلم المتجر شيئًا، ويظن العميل أنه دفع.
  • الاسترداد. في البطاقة، يوجد طريق الاعتراض لدى البنك المُصدر. في Pix، يطلب العميل MED (Mecanismo Especial de Devolução، آلية استرداد Pix في حالات الاحتيال)، ولا يعيد المال إلا إذا بقي رصيد في الحساب المستلم. وبحسب التقارير الصحفية، يوزّع المحتالون المال على عشرات الحسابات خلال ساعات قليلة.
  • ما يحتاج المهاجم إلى سرقته. في البطاقة، يحتاج إلى قراءة الحقول وإرسال البيانات إلى الخارج. في Pix، يكفي أن يستبدل نصًا وصورة على الشاشة. لا شيء يحتاج إلى مغادرة الصفحة، وهذا يصعّب الكشف على من يراقب حركة البيانات.

لماذا لا تلاحظ الدفاعات المعتادة

يحلل نظام مكافحة الاحتيال المعاملة، والمعاملة صحيحة: مبلغ صحيح، وحساب حقيقي، وعميل شرعي. بوابة الدفع أصدرت رمز QR الصحيح وسلّمته إلى المتجر. قد يحتوي خادم المتجر على الملف المصاب، لكنه قد يتلقى الشيفرة أيضًا من عنوان خارجي، لا تُحمَّل إلا في المتصفح.

والأداة التي تُحصي السكربتات وتنبّه عند ظهور سكربت جديد قد تبقى صامتة أيضًا، إذا كانت الشيفرة داخل ملف مصرّح به من قبل.

السؤال الذي يحسم الأمر مختلف: هل رمز QR الذي يراه العميل هو نفسه الذي أصدره المتجر؟

ما الذي فعلته بعض المتاجر

بحسب التقارير الصحفية، سلك التجار المتضررون ثلاثة طرق: إظهار رقم CNPJ (رقم تسجيل الشركات في البرازيل) واسم الشركة بجانب رمز QR، أو إزالة رمز QR من الصفحة وطلب الإيصال يدويًا، أو الانتقال إلى صفحة الدفع لدى وسيط دفع. الطرق الثلاثة تقلل الضرر. ولا يزيل أي منها الشيفرة من المتجر.

إظهار رقم CNPJ يساعد العميل المنتبه، لكن الشيفرة التي تستبدل رمز QR يمكنها أن تستبدل هذا النص أيضًا. وإزالة رمز QR تُسقط معدل إتمام الشراء عبر Pix، الذي وُجد أصلًا ليكون سريعًا. أما صفحة الوسيط فتُخرج طلب الدفع من متناول الشيفرة المزروعة في المتجر، على حساب تغيير مسار الشراء، وتبقى الشيفرة هناك بانتظار النموذج التالي.

كيف يحمي المتجر نفسه من Magecart في Pix

  1. حدّث المنصة والقالب والإضافات. القاسم المشترك بين المتاجر الـ90 كان تأخر الصيانة.
  2. فعّل المصادقة الثنائية في لوحة التحكم وراجع من لديه صلاحية الدخول.
  3. تابع نسبة دفعات Pix المعلقة يومًا بيوم. القفزة من دون سبب تجاري هي العلامة الأولى.
  4. قارن رمز QR المعروض برمز QR الصادر. يجب أن يجري التحقق في متصفح العميل، بعد تحميل الصفحة، لأن الاستبدال يحدث هناك.
  5. امنع قبل الدفع. التنبيه بعد الدفع يساعد في التحقيق، لكن البيع ومال العميل يكونان قد ضاعا.
  6. جهّز خدمة العملاء للتعامل مع العميل الذي دفع عبر Pix ولم يُسجَّل طلبه.

للصورة الكاملة، من البطاقة إلى boleto (القسيمة المصرفية البرازيلية)، اقرأ Magecart: ما هو وكيف تحمي متجرك الإلكتروني.

أين يأتي دور Proteside

ينفّذ Proteside التحقق في الخطوة 4 والمنع في الخطوة 5. عندما يُصدر المتجر أو المزوّد طلب الدفع، يُسجَّل رمز QR ورمز Copia e Cola الصادران. وعلى شاشة العميل، يقارن ما يُعرض ويُنسخ بهذا السجل، وإذا وُجد اختلاف يعرض تنبيهًا مكان رمز QR ولا يسلّم الرمز المستبدل. كل محاولة تتحول إلى تنبيه للمتجر، فيه الطلب والمبلغ والوجهة التي عُثر عليها. اطّلع على حماية Pix في صفحة الدفع.

العودة إلى المدونة

اقرأ أيضًا