Extensões e malware que trocam o Pix no computador do cliente

Nem todo Pix desviado começa em uma loja invadida. Há programas maliciosos e extensões de navegador, instalados no computador do comprador, que trocam a chave ou o código Pix no instante em que ele copia, cola ou vê a cobrança. A loja não foi atacada, mas é ela que não recebe, que atende a reclamação e que leva a culpa. Entender como esses golpes funcionam ajuda a separar o que a loja controla do que não controla, e a reduzir o prejuízo nos dois casos.

Casos documentados por pesquisadores

O malware que vigia a área de transferência. Em outubro de 2023, a equipe de pesquisa da Kaspersky descreveu o GoPIX, um programa que monitorava a área de transferência de computadores com Windows. Quando a vítima copiava um código de cobrança Pix durante uma compra, o programa o substituía por outro, buscado em um servidor dos criminosos. O mesmo programa trocava endereços de carteiras de Bitcoin e Ethereum. Segundo a empresa, a campanha estava ativa desde dezembro de 2022, a maioria das infecções era no Brasil e a distribuição acontecia por anúncios patrocinados que apareciam a quem buscava “WhatsApp web”.

O detalhe que importa para o lojista: a vítima copia o código correto da página da loja e cola, sem perceber, um código diferente no aplicativo do banco.

A mesma família, mais sofisticada. Em março de 2026, a Kaspersky publicou uma nova análise da mesma família. O programa passou a rodar quase todo na memória, sem deixar arquivos óbvios, e a interceptar sessões do navegador com sites de bancos por meio de configurações de proxy e certificados falsos instalados de forma oculta. Na versão analisada, ele monitora transações Pix e linhas digitáveis de boleto e continua trocando endereços de carteiras de criptomoedas copiados.

Extensões de navegador que mexem no Pix. Em novembro de 2023, a Trend Micro descreveu uma extensão maliciosa para Chrome voltada a usuários brasileiros, carregada no navegador por meio de um atalho modificado. Ela coletava dados em páginas do Banco do Brasil e da Caixa, lia campos ligados ao Pix, como chaves e CPF, e, segundo os pesquisadores, podia iniciar e manipular transações Pix. Uma extensão roda dentro do navegador e enxerga as páginas que o usuário abre, inclusive a de pagamento de uma loja.

Por que a loja ainda é afetada

Do ponto de vista do cliente, ele pagou a loja. O pedido não foi aprovado e o dinheiro sumiu. A reação natural é reclamar com quem vendeu, e muitas vezes em público.

• A loja não recebe. No Pix não existe estorno por iniciativa da loja nem do cliente. A tentativa de recuperação passa pelo Mecanismo Especial de Devolução (MED), que o cliente aciona no banco dele, e o valor volta para o cliente, não para a loja.
• A loja precisa investigar. De fora, um computador infectado e uma página de pagamento adulterada produzem exatamente o mesmo sintoma: comprovante com outro recebedor. Até descobrir qual é o caso, a loja não sabe se outros clientes estão sendo afetados.
• A loja perde a venda e o cliente. Mesmo que o caso se resolva, a experiência ficou associada à marca.

O que a loja controla e o que não controla

Vale ser honesto sobre o alcance de cada medida.

• Extensões que alteram a página da loja atuam no mesmo lugar em que atuaria um script malicioso no checkout: o que o comprador vê. Esse tipo de troca pode ser detectado e bloqueado por uma verificação que compara, na tela do comprador, o QR, a chave e o código exibidos com os que a loja emitiu.
• Malware que troca a área de transferência no sistema operacional age depois que o conteúdo sai da página, já no computador do cliente. Nenhum código da loja enxerga essa etapa. Aqui, a defesa é dar ao cliente condições de perceber a troca antes de confirmar.

Checklist para reduzir o risco

1. Mostre, ao lado do QR, a razão social e o CNPJ exatamente como aparecem no aplicativo do banco, com um aviso para o cliente conferir o recebedor antes de confirmar.
2. Sugira ler o QR com o celular quando o cliente estiver no computador; assim o código não passa pela área de transferência.
3. Confirme o pagamento rápido e avise o cliente em tempo real; quanto antes ele perceber que o pedido não caiu, maiores as chances no MED.
4. Mantenha o mínimo de scripts na página de pagamento e acompanhe o que ela exibe em produção.
5. Tenha um roteiro de atendimento para “paguei e não caiu” que compare o recebedor do comprovante e oriente o cliente a contestar no app do banco.
6. Inclua na página de ajuda um alerta sobre extensões e programas baixados de anúncios, sem tom alarmista.

Veja também como a troca na página acontece e como é bloqueada em proteção do Pix no checkout.

Para separar o vírus no aparelho do cliente do código malicioso no site da loja, veja vírus que troca o QR Code do Pix: no seu aparelho ou na loja?.

O Proteside protege a parte que está na página da sua loja: confere, no navegador do comprador, se o QR, a chave e o código copiado pelo botão são os que você emitiu e bloqueia qualquer alteração, inclusive feita por extensões, antes do pagamento, com alerta e evidência. Teste por 14 dias grátis e veja como funciona.