Vírus que troca o QR Code do Pix: no seu aparelho ou na loja?

O vírus que troca o QR Code do Pix pode estar em dois lugares: no aparelho de quem compra ou no site da loja. No aparelho, ele troca o código copiado ou a imagem exibida, em qualquer loja que você visite. No site, ele troca o QR para todos os clientes daquela loja, mesmo com o computador de cada um limpo. Saber qual dos dois é o seu caso muda o que fazer.

Tipo 1: o vírus no seu computador ou celular

São programas que se instalam no aparelho e ficam à espera de um pagamento. Os casos documentados por pesquisadores agem de três formas:

• Trocando o que você copia. Ao reconhecer um código Pix na área de transferência, o programa substitui pelo do golpista. Você cola no app do banco e paga outra pessoa. A Kaspersky descreveu esse comportamento em 2023 em uma família chamada GoPix.
• Mexendo na página que você vê. Versões mais novas se inserem no navegador e alteram o conteúdo das páginas. Em março de 2026, a Kaspersky publicou uma análise do GoPix atual: roda só na memória do computador, chega por anúncios falsos em buscadores e vigia transações de Pix e de boleto.
• Extensões de navegador. Em 2023, a Trend Micro documentou extensões maliciosas para navegador voltadas a usuários brasileiros, capazes de ler e alterar as páginas abertas, incluindo as de bancos.

Como reconhecer: o problema aparece em mais de uma loja, ou com códigos copiados de lugares diferentes. Pode acontecer também ao pagar boletos ou contas.

Tipo 2: o código malicioso no site da loja

Aqui o vírus não está em você. Ele foi colocado na página de pagamento da loja, por uma falha não corrigida, um plugin comprometido ou uma senha vazada do painel. Quando qualquer cliente escolhe Pix, o código troca o QR e o Pix Copia e Cola pelo do golpista.

Em setembro de 2026, a Kaspersky confirmou 90 lojas virtuais brasileiras nessa situação. A empresa ressaltou que o criminoso infecta o site, e não o computador da vítima, e que por isso todos os clientes da loja são atingidos. O ataque ganhou o apelido de "novo magecart brasileiro", e explicamos o termo em Magecart no Pix.

Como reconhecer: o problema acontece só naquela loja, e outros clientes relatam o mesmo. Um antivírus no seu computador não vai encontrar nada, porque não há nada no seu computador.

Como descobrir onde está o problema

Três perguntas ajudam a separar os casos:

1. Aconteceu em mais de uma loja ou em boletos e contas? Se sim, suspeite do seu aparelho.
2. A loja confirma outros clientes com o mesmo problema? Se sim, o problema está no site.
3. Você copiou o código ou escaneou o QR com o celular? Se escaneou com o celular a partir da tela do computador e mesmo assim o recebedor era outro, a imagem já estava trocada na tela. Isso aponta para o site ou para o navegador do computador, e não para o celular.

O que fazer se o vírus está no seu aparelho

1. Conteste o Pix no app do banco pela opção Contestar Pix, informando golpe ou fraude, o quanto antes.
2. Faça uma varredura com um antivírus atualizado e remova extensões de navegador que você não reconhece ou não usa.
3. Troque as senhas de banco, e-mail e lojas a partir de outro aparelho limpo.
4. Atualize o sistema e o navegador.
5. Se o problema continuar, leve o aparelho a um técnico de confiança ou reinstale o sistema.

O que fazer se o código está no site da loja

1. Conteste o Pix no app do banco da mesma forma.
2. Avise a loja com o comprovante. Ela pode não saber que foi atingida. O aviso protege os próximos clientes.
3. Não pague novamente na mesma loja até ela confirmar que corrigiu o problema.
4. Guarde as provas e, se quiser, registre boletim de ocorrência.

Para o roteiro completo de contestação, veja Pix errado em compra online: engano ou golpe.

A defesa que vale para os dois casos

Antes de confirmar qualquer Pix, leia o nome e o CNPJ do recebedor no app do banco. O vírus pode trocar o código, mas o app do banco mostra para onde o dinheiro vai de verdade. Se o nome não tem relação com a loja, pare. Veja o que conferir antes de pagar.

Para lojistas

A loja não controla o computador do cliente, mas controla a própria página. E mesmo quando o vírus está no aparelho do cliente, é a loja que deixa de receber e que recebe a reclamação. O Proteside confere, na tela de quem paga, se o QR e o Copia e Cola exibidos e copiados são os que a loja emitiu, inclusive quando a alteração vem de uma extensão no navegador, e bloqueia a troca antes da confirmação. Veja a proteção do Pix no checkout e o post sobre extensões e malware que trocam o Pix.