Formulário de pagamento falso no checkout: reconhecer e bloquear

O formulário de pagamento falso é um golpe em que um código malicioso desenha, na página de pagamento de uma loja legítima, um formulário de cartão que imita o verdadeiro. O cliente digita os dados ali, vê uma mensagem de erro ou é levado ao formulário real e digita tudo de novo. A compra é aprovada, mas os dados da primeira digitação já foram para o criminoso. Para bloquear, é preciso garantir que o único formulário de cartão exibido seja o legítimo, e verificar isso na tela do comprador, não só no servidor.

Como o golpe funciona

1. O criminoso insere um código na página: por uma falha da plataforma, de um tema ou plugin, por um acesso administrativo roubado ou por um script de parceiro comprometido.
2. Quando o cliente chega ao pagamento ou clica em finalizar a compra, o código exibe um formulário falso, por cima do verdadeiro ou antes dele, com cadeado, cores e textos que parecem da loja.
3. O cliente digita número, validade e código de segurança, e uma cópia sai para um endereço do criminoso.
4. O código mostra um erro, ou simplesmente fecha a janela, e leva o cliente ao formulário real.
5. O cliente digita de novo, a compra é aprovada e ninguém liga uma coisa à outra.

O guia do PCI Security Standards Council sobre segurança da página de pagamento, de março de 2025, chama esse formato de ataque de dupla digitação. Ele tem uma vantagem para o criminoso: funciona mesmo quando o formulário verdadeiro é do provedor de pagamento e o código da página não consegue ler o que é digitado nele. O formulário falso não precisa tocar no verdadeiro; basta aparecer primeiro.

Dois casos de 2026

Em fevereiro de 2026, a empresa de pesquisa Sansec relatou o caso de uma rede de supermercados com presença internacional. O código injetado na loja exibia um formulário de cartão falso no idioma do cliente e, depois do envio, mostrava o formulário real do provedor de pagamento. Antes de agir, ele verificava se o visitante era um administrador logado da loja e, nesse caso, não fazia nada: quem testasse o próprio checkout nunca veria a fraude. A Sansec relatou ter avisado a empresa seis vezes sem resposta e observou que ferramentas de inteligência artificial permitem criar formulários falsos em qualquer idioma e estilo em poucos minutos.

Em abril de 2026, a mesma Sansec descreveu uma campanha em 99 lojas. Ao clicar no botão de finalizar a compra, o cliente via uma janela de tela cheia com o título “Secure Checkout” e um cadeado, que validava o número do cartão em tempo real e pedia o endereço de cobrança. Depois do envio, levava o cliente ao checkout verdadeiro e marcava o navegador para não pedir os dados da mesma pessoa duas vezes.

Como reconhecer os sinais

O PCI SSC observa que a dupla digitação costuma ser descoberta mais rápido do que a cópia silenciosa, porque o cliente estranha ou porque a loja percebe ao testar. O caso de fevereiro mostra que o segundo caminho pode falhar. Fique atento a:

• clientes que contam ter digitado o cartão duas vezes, ou que viram um erro e depois conseguiram pagar;
• comentários sobre uma janela de pagamento diferente, em outro idioma ou com campos a mais;
• avisos de fraude do banco ou da adquirente em cartões usados na sua loja;
• campos de cartão na página que não são os seus nem os do seu provedor;
• envios de dados da página para endereços que você não reconhece.

Ao testar, faça como um cliente comum: sem estar logado, em janela anônima, de outro aparelho e de outra rede.

Como bloquear: checklist

• Enxugue a página. Mantenha só os scripts indispensáveis nas páginas de pagamento e nas páginas que exibem o formulário do provedor.
• Feche as entradas. Atualize plataforma, tema e plugins, remova o que não usa e exija verificação em duas etapas nos acessos administrativos.
• Limite origens e destinos. Configure a página para só carregar código e só enviar dados para endereços autorizados.
• Monitore continuamente. O requisito 11.6.1 do PCI DSS pede verificação de alterações pelo menos semanal, mas o próprio PCI SSC recomenda monitoramento frequente ou em tempo real quando possível. Um formulário falso ativo por uma semana atinge todos os clientes da semana.
• Confira o formulário na tela do comprador. A proteção mais direta verifica, no navegador, que o único formulário de cartão é o legítimo e bloqueia qualquer camada sobreposta antes da digitação.
• Prepare o atendimento. “Precisei digitar duas vezes” é um alerta de segurança, não um detalhe de usabilidade; defina para quem esse relato deve ir.

O Proteside protege exatamente esse momento: confere, no navegador do comprador, os formulários de pagamento exibidos na página e barra o formulário sobreposto antes que o cliente entregue os dados. Conheça a proteção para pagamentos com cartão e teste grátis por 14 dias.