Golpe do Pix no checkout: como o QR é trocado e como evitar

O golpe do Pix no checkout acontece dentro de lojas virtuais legítimas. Um código malicioso instalado na página de pagamento troca o QR Code e o Pix Copia e Cola por outros, no valor exato da compra, que levam o dinheiro para a conta do golpista. Não há site falso nem link suspeito. O cliente paga, a loja não recebe, e os dois só descobrem dias depois.

Este guia reúne o que se sabe sobre o golpe e aponta para os textos em que cada parte é detalhada.

Como o golpe funciona

1. A loja gera uma cobrança Pix legítima, com o QR e o Copia e Cola corretos.
2. Um código que roda na página, vindo de uma invasão, de um plugin ou tema comprometido ou de um script de terceiro, substitui o QR exibido e o texto entregue pelo botão de copiar.
3. O cliente paga o valor certo, vê um nome plausível no app do banco e confirma.
4. O dinheiro cai em uma conta de passagem e é espalhado em poucas horas.
5. O pedido fica pendente. A reclamação chega quando o produto não é enviado.

O mesmo mecanismo existe há anos para roubar cartões e é conhecido como Magecart. Veja Magecart: o que é e como proteger o e-commerce.

O caso de setembro de 2026

Em 1º de setembro, o pesquisador independente conhecido como eremit4 revelou a campanha. A Kaspersky confirmou 90 lojas de pequeno e médio porte atingidas, todas na mesma plataforma de e-commerce de código aberto e com manutenção atrasada, e informou que o golpe estava ativo desde junho de 2025. O código trocava o QR e o Copia e Cola e, quando o cliente escolhia cartão de crédito, copiava os dados. Em 12 de setembro, o Procon-SP publicou uma orientação aos consumidores sobre o golpe. A análise completa está em Magecart no Pix.

Onde o QR pode ser trocado

• Na página da loja. Atinge todos os clientes que escolhem Pix. É o caso de setembro de 2026 e o tema deste guia.
• No aparelho do cliente. Vírus e extensões de navegador trocam o código copiado ou exibido, em qualquer loja. Veja vírus que troca o QR Code do Pix: no seu aparelho ou na loja?.
• Na mensagem. QR ou chave enviados fora do site por quem finge ser a loja.

O mesmo vale para o texto do Copia e Cola, que é a própria instrução de pagamento. Veja Pix Copia e Cola alterado.

Por que as defesas tradicionais não percebem

Firewall, antifraude e gateway protegem servidores e transações. O gateway gerou o QR certo. O antifraude vê uma transação válida, de um cliente real, no valor certo. A troca acontece depois, no navegador do comprador, junto com tudo o que a página carrega.

Mesmo as ferramentas criadas para o PCI DSS, que listam os scripts da página e avisam quando surge um novo, podem ficar em silêncio se o código malicioso estiver dentro de um arquivo já autorizado. Explicamos isso em por que o inventário de scripts não detecta o QR trocado.

Os sinais

Para o lojista:

• Aumento de pedidos com Pix pendente ou abandonado, sem queda nas visitas ao checkout.
• Clientes com comprovante concluído em nome de outra empresa ou pessoa.
• Arquivos alterados sem publicação, administradores desconhecidos no painel.

Para o cliente:

• Recebedor sem relação com a loja na tela de confirmação do banco.
• Pedido parado em "aguardando pagamento" depois do Pix concluído. Veja paguei o Pix e o pedido continua pendente.

O que o cliente deve fazer

• Antes de pagar: conferir nome e CNPJ do recebedor no app do banco. Veja QR Code Pix alterado: como saber antes de pagar.
• Se já pagou: usar a opção Contestar Pix no app do banco no mesmo dia, avisar a loja e guardar o comprovante. O prazo do MED é de 80 dias, mas a devolução depende de haver saldo. Veja Pix errado em compra online: engano ou golpe.

O que o lojista deve fazer

1. Atualize plataforma, tema e plugins e remova o que não usa.
2. Proteja o painel com dois fatores e revise quem tem acesso.
3. Reduza os scripts no checkout ao essencial, cada um com dono e motivo.
4. Monitore a página em produção, como o cliente a vê. Veja como monitorar alterações no checkout.
5. Confira o código exibido contra o emitido e bloqueie a divergência antes da confirmação.
6. Acompanhe a taxa de Pix pendente todos os dias.
7. Prepare o atendimento para o cliente que pagou e não recebeu. Veja o cliente pagou o Pix e o pedido não caiu.

Não é só Pix

O mesmo código que troca o QR pode trocar a linha digitável do boleto, o endereço de uma carteira de stablecoins ou o QR de outros pagamentos instantâneos, e pode copiar os dados do cartão de crédito e do cartão de débito. Proteger o checkout é proteger todos os meios exibidos nele.

Onde o Proteside entra

O Proteside é uma camada de cibersegurança que confere, na tela de quem paga, se os dados de pagamento são os que o vendedor emitiu, e bloqueia a troca antes da confirmação. Não é antifraude, firewall nem gateway: funciona ao lado deles, em qualquer plataforma e com qualquer provedor. Veja a proteção do Pix no checkout e como funciona.