Procon-SP alerta para golpe que altera o QR Code do Pix em lojas

O Procon-SP divulgou, em 12 de setembro, orientações sobre um golpe que altera o QR Code do Pix (e também o código copia e cola) na página de pagamento de lojas virtuais. O recado ao consumidor é simples: antes de confirmar, conferir no aplicativo do banco o nome e o CNPJ de quem vai receber, e não só o valor. Para o lojista, o alerta tem outro peso: a troca acontece na página da própria loja, e é ela que o cliente vai culpar.

O que o Procon-SP orientou

O texto, publicado pela Agência SP, descreve uma fraude em que o código de pagamento legítimo é substituído por outro que leva o dinheiro para contas de criminosos. As recomendações ao consumidor se resumem a quatro pontos:

• Conferir o recebedor, não só o valor. O nome e o CNPJ exibidos pelo banco devem corresponder à loja ou à instituição de pagamento que processa a compra.
• Não concluir se não bater. Recebedor desconhecido, sem relação com a loja ou com o intermediário, é motivo para interromper o pagamento.
• Agir rápido se já pagou. Procurar o banco imediatamente, informar que foi golpe e pedir a contestação pelo Mecanismo Especial de Devolução, o MED 2.0.
• Avisar a loja e guardar tudo. Comprovantes e registros de contato com a loja e com o banco ajudam na análise.

O órgão também menciona que o Banco Central ampliou de 30 para 80 dias um prazo do MED. Pelo guia oficial do mecanismo, o que mudou em 1º de setembro foi o prazo para contestar uma devolução feita pelo MED, que passou a ser igual aos 80 dias que já valiam para pedir a devolução de um Pix.

Por que o alerta é sobre a página da loja

Poucos dias antes, em 9 de setembro, a Kaspersky havia descrito uma campanha que injetava código malicioso no checkout de lojas virtuais brasileiras para trocar o QR e o copia e cola. A empresa havia identificado, até então, 90 lojas de pequeno e médio porte atingidas, todas usando uma mesma plataforma de e-commerce sem manutenção em dia.

O detalhe importa: não há site falso nem link suspeito. O cliente está na loja certa, vê a marca certa e paga o valor certo. A loja não recebe, o pedido fica pendente e, dias depois, chega a reclamação. Na cabeça do cliente, quem falhou foi a loja. E, do ponto de vista técnico, foi mesmo a página dela que exibiu o código errado.

O que a loja pode fazer agora

1. Mostre o recebedor esperado. Exiba na página o nome e o CNPJ que o cliente verá no banco; se um intermediário recebe por você, diga qual.
2. Revise a página de pagamento. Reduza scripts ao essencial e atualize plataforma, tema e plugins.
3. Monitore o checkout em produção. O que importa é o código que o comprador vê e copia, não o que está no servidor.
4. Concilie pedidos e pagamentos. Alerta para Pix pendente além do prazo normal costuma ser o primeiro sinal.
5. Feche acessos administrativos com autenticação em dois fatores e senhas trocadas.
6. Registre cada caso, com data, valor e o recebedor que apareceu no comprovante do cliente.

Como responder ao cliente

Quem paga e não vê o pedido aprovado precisa de resposta rápida e concreta. Um roteiro que funciona:

• Peça o comprovante e compare o recebedor com os dados da loja; se for outro, trate como possível golpe, sem acusar o cliente.
• Oriente o contato imediato com o banco, com pedido de devolução pelo MED: quanto antes, maior a chance de haver saldo para bloquear.
• Ofereça um registro do atendimento que o cliente possa anexar à contestação.
• Corrija a causa antes de reabrir as vendas por Pix; caso contrário, outros clientes cairão no mesmo golpe.

Repare que a orientação do Procon-SP é dirigida ao consumidor, mas inclui avisar a loja: o cliente lesado vai procurar você, e a forma como a loja responde pesa na confiança dele. Para entender o mecanismo da troca, veja a página de proteção para Pix.

Para o passo a passo do consumidor, com o que conferir antes de pagar e o que fazer depois, veja QR Code Pix alterado: como saber antes de pagar e o que fazer.

O Proteside protege exatamente esse momento: confere, no navegador do comprador, se o QR e o copia e cola exibidos são os que a loja emitiu, bloqueia a troca antes do pagamento e avisa o lojista. Funciona com qualquer plataforma e qualquer provedor, e dá para testar por 14 dias grátis em lojas virtuais.