Magecart no Pix: o ataque que troca o QR Code em vez do cartão

Magecart no Pix é a versão brasileira de um ataque antigo: o código malicioso que antes copiava números de cartão na página de pagamento passa a trocar o QR e o Pix Copia e Cola. O cliente paga o valor certo, na loja certa, e o dinheiro vai para outra conta. Em setembro de 2026, esse padrão foi encontrado em 90 lojas virtuais brasileiras.

O caso de setembro de 2026

Em 1º de setembro, o pesquisador independente conhecido como eremit4 publicou a descoberta e chamou o ataque de "o novo magecart brasileiro". A Kaspersky confirmou o achado e divulgou os números em 9 de setembro. Os fatos públicos, reunidos pela empresa e pela imprensa:

• 90 lojas de pequeno e médio porte infectadas, todas usando a mesma plataforma de e-commerce de código aberto, sem atualização em dia.
• Ataque ao site, não ao computador do cliente. Todos os compradores que escolhiam Pix nessas lojas recebiam o código trocado.
• QR e Copia e Cola trocados juntos. Quem pagava pelo celular, copiando o código, era atingido da mesma forma que quem escaneava.
• Nenhum sinal na tela. Segundo Fabio Assolini, da Kaspersky, a troca não deixa indício visual para o cliente.
• Cartão também. Quando o cliente escolhia cartão de crédito, o mesmo código copiava os dados para uso posterior.
• O sinal para o lojista foi um aumento de desistências: pedidos com Pix ficavam pendentes e não eram pagos.

Três dias depois, o Procon-SP publicou uma orientação aos consumidores sobre o golpe que altera o QR Code do Pix em compras online.

O que muda em relação ao Magecart no cartão

O mecanismo é o mesmo: código escondido na página de pagamento, ativado só no checkout. A consequência é outra.

• Tempo. No cartão, os dados são vendidos ou usados dias depois. No Pix, o dinheiro sai no ato.
• Quem paga a conta primeiro. No cartão, a loja recebe e o problema aparece mais tarde como fraude contra o cliente. No Pix, a loja não recebe, e o cliente acredita que pagou.
• Recuperação. No cartão existe o caminho da contestação junto ao emissor. No Pix, o cliente pede o Mecanismo Especial de Devolução, o MED, que só devolve se ainda houver saldo na conta que recebeu. Segundo as reportagens, os golpistas espalham o dinheiro por dezenas de contas em poucas horas.
• O que o atacante precisa roubar. No cartão, ele precisa ler os campos e enviar os dados para fora. No Pix, basta trocar um texto e uma imagem na tela. Nada precisa sair da página, o que dificulta a detecção por quem vigia o tráfego.

Por que as defesas comuns não percebem

Um antifraude analisa a transação, e a transação é válida: valor certo, conta real, cliente legítimo. O gateway gerou o QR correto e entregou à loja. O servidor da loja pode ter o arquivo infectado, mas também pode receber o código de um endereço externo, carregado só no navegador.

Uma ferramenta que lista scripts e avisa quando surge um novo também pode ficar em silêncio, se o código estiver dentro de um arquivo que já era autorizado. Explicamos esse ponto em por que o inventário de scripts não detecta o QR trocado.

A pergunta que resolve o caso é outra: o QR que o cliente está vendo é o mesmo que a loja emitiu?

O que algumas lojas fizeram

Segundo as reportagens, lojistas atingidos tomaram três caminhos: mostrar o CNPJ e o nome da empresa ao lado do QR, tirar o QR da página e pedir o comprovante manualmente, ou passar a usar a página de pagamento de um intermediário. Os três reduzem o dano. Nenhum remove o código da loja.

Mostrar o CNPJ ajuda o cliente atento, mas o mesmo código que troca o QR pode trocar esse texto. Tirar o QR derruba a conversão do Pix, que existe justamente para ser rápido. Usar a página de um intermediário tira a cobrança do alcance do código instalado na loja, ao custo de mudar a jornada de compra, e o código continua lá, à espera do próximo formulário.

Como a loja se protege do Magecart no Pix

1. Atualize a plataforma, o tema e os plugins. As 90 lojas tinham em comum a manutenção atrasada.
2. Ative dois fatores no painel e revise quem tem acesso.
3. Acompanhe a taxa de Pix pendente por dia. Um salto sem motivo comercial é o primeiro sinal.
4. Compare o QR exibido com o QR emitido. A conferência precisa acontecer no navegador do cliente, depois de a página carregar, porque é ali que a troca acontece.
5. Bloqueie antes do pagamento. Avisar depois ajuda a investigar, mas a venda e o dinheiro do cliente já foram.
6. Prepare o atendimento. Veja o passo a passo de quando o cliente pagou o Pix e o pedido não caiu.

Para o quadro completo, do cartão ao boleto, leia Magecart: o que é e como proteger o e-commerce.

Onde o Proteside entra

O Proteside faz a conferência do passo 4 e o bloqueio do passo 5. Quando a loja ou o provedor gera a cobrança, o QR e o Copia e Cola emitidos ficam registrados. Na tela do cliente, compara o que está sendo exibido e copiado com esse registro e, se houver diferença, mostra um aviso no lugar do QR e não entrega o código trocado. Cada tentativa vira um alerta para a loja, com pedido, valor e destino encontrado. Veja a proteção do Pix no checkout.