فيروس يستبدل رمز QR الخاص بـ Pix: في جهازك أم في المتجر؟

الفيروس الذي يستبدل رمز QR الخاص بـ Pix (نظام المدفوعات الفورية التابع للبنك المركزي البرازيلي) قد يكون في مكانين: في جهاز المشتري أو في موقع المتجر. في الجهاز، يستبدل الرمز المنسوخ أو الصورة المعروضة، في أي متجر تزوره. وفي الموقع، يستبدل رمز QR لجميع عملاء ذلك المتجر، حتى لو كان حاسوب كل منهم نظيفًا. ومعرفة أي الحالتين حالتك تغيّر ما يجب فعله.

النوع 1: الفيروس في حاسوبك أو هاتفك

هي برامج تُثبَّت في الجهاز وتنتظر عملية دفع. والحالات التي وثّقها الباحثون تعمل بثلاث طرق:

• استبدال ما تنسخه. عندما يتعرف البرنامج على رمز Pix في الحافظة، يستبدله برمز المحتال. تلصقه في تطبيق البنك فتدفع لشخص آخر. وصفت Kaspersky هذا السلوك في 2023 في عائلة برامج تُسمى GoPix.
• التلاعب بالصفحة التي تراها. إصدارات أحدث تدخل إلى المتصفح وتغيّر محتوى الصفحات. في مارس 2026، نشرت Kaspersky تحليلًا لإصدار GoPix الحالي: يعمل في ذاكرة الحاسوب فقط، ويصل عبر إعلانات مزيفة في محركات البحث، ويراقب معاملات Pix ومعاملات boleto (القسيمة المصرفية البرازيلية).
• إضافات المتصفح. في 2023، وثّقت Trend Micro إضافات متصفح خبيثة تستهدف المستخدمين البرازيليين، قادرة على قراءة الصفحات المفتوحة وتعديلها، بما فيها صفحات البنوك.

كيف تتعرف عليه: تظهر المشكلة في أكثر من متجر، أو مع رموز منسوخة من أماكن مختلفة. وقد تحدث أيضًا عند دفع قسائم boleto أو الفواتير.

النوع 2: الشيفرة الخبيثة في موقع المتجر

هنا الفيروس ليس عندك. لقد زُرع في صفحة الدفع بالمتجر، عبر ثغرة غير مُصلحة، أو إضافة مخترقة، أو كلمة مرور مسرّبة للوحة التحكم. وعندما يختار أي عميل Pix، تستبدل الشيفرة رمز QR ورمز Pix Copia e Cola (رمز الدفع النصي الذي ينسخه العميل ويلصقه في تطبيق البنك) برمز المحتال.

في سبتمبر 2026، أكدت Kaspersky وجود 90 متجرًا إلكترونيًا برازيليًا في هذا الوضع. وشددت الشركة على أن المجرم يصيب الموقع، لا حاسوب الضحية، ولهذا يتضرر جميع عملاء المتجر. واكتسب الهجوم لقب «Magecart البرازيلي الجديد»، ونشرح المصطلح في Magecart في Pix.

كيف تتعرف عليه: تحدث المشكلة في ذلك المتجر فقط، ويبلّغ عملاء آخرون عن الأمر نفسه. لن يجد برنامج مكافحة الفيروسات في حاسوبك شيئًا، لأنه لا يوجد شيء في حاسوبك.

كيف تكتشف مكان المشكلة

ثلاثة أسئلة تساعد على التمييز بين الحالتين:

1. هل حدث ذلك في أكثر من متجر، أو في قسائم boleto وفواتير؟ إذا كان الجواب نعم، فاشتبه في جهازك.
2. هل يؤكد المتجر وجود عملاء آخرين لديهم المشكلة نفسها؟ إذا كان الجواب نعم، فالمشكلة في الموقع.
3. هل نسخت الرمز أم مسحت رمز QR بالهاتف؟ إذا مسحته بالهاتف من شاشة الحاسوب وكان المستفيد مختلفًا رغم ذلك، فالصورة كانت مستبدلة على الشاشة من قبل. وهذا يشير إلى الموقع أو إلى متصفح الحاسوب، لا إلى الهاتف.

ماذا تفعل إذا كان الفيروس في جهازك

1. اعترض على Pix في تطبيق البنك عبر خيار Contestar Pix (الاعتراض على Pix)، وحدّد أنه احتيال، في أسرع وقت.
2. افحص الجهاز ببرنامج مكافحة فيروسات محدَّث واحذف إضافات المتصفح التي لا تعرفها أو لا تستخدمها.
3. غيّر كلمات المرور للبنك والبريد الإلكتروني والمتاجر من جهاز آخر نظيف.
4. حدّث النظام والمتصفح.
5. إذا استمرت المشكلة، خذ الجهاز إلى فني تثق به أو أعد تثبيت النظام.

ماذا تفعل إذا كانت الشيفرة في موقع المتجر

1. اعترض على Pix في تطبيق البنك بالطريقة نفسها.
2. أبلغ المتجر وأرسل الإيصال. قد لا يعرف أنه تعرّض للهجوم. والبلاغ يحمي العملاء التاليين.
3. لا تدفع مرة أخرى في المتجر نفسه حتى يؤكد أنه أصلح المشكلة.
4. احتفظ بالأدلة وقدّم، إن أردت، بلاغًا لدى الشرطة.

لخطوات الاعتراض الكاملة، اقرأ دفع Pix خاطئ في الشراء عبر الإنترنت: خطأ أم احتيال.

الدفاع الذي ينفع في الحالتين

قبل تأكيد أي دفع Pix، اقرأ اسم المستفيد ورقم CNPJ (رقم تسجيل الشركات في البرازيل) في تطبيق البنك. قد يستبدل الفيروس الرمز، لكن تطبيق البنك يُظهر إلى أين يذهب المال فعلًا. إذا لم يكن للاسم علاقة بالمتجر، فتوقف. اقرأ ما الذي تتحقق منه قبل الدفع.

للتجار

لا يتحكم المتجر في حاسوب العميل، لكنه يتحكم في صفحته. وحتى عندما يكون الفيروس في جهاز العميل، فالمتجر هو الذي لا يستلم المال وهو الذي تصله الشكوى. يتحقق Proteside، على شاشة الدافع، من أن رمز QR ورمز Copia e Cola المعروضين والمنسوخين هما اللذان أصدرهما المتجر، حتى عندما يأتي التعديل من إضافة في المتصفح، ويمنع الاستبدال قبل التأكيد. اطّلع على حماية Pix في صفحة الدفع.