Magecart bei Pix: Angriff tauscht den QR-Code statt der Karte

Magecart bei Pix ist die brasilianische Version eines alten Angriffs: Der Schadcode, der früher Kartennummern auf der Zahlungsseite kopierte, tauscht jetzt den QR-Code von Pix (dem Sofortzahlungssystem der brasilianischen Zentralbank) und den Pix Copia e Cola (den Zahlungscode als Text, den der Kunde kopiert und in die Banking-App einfügt) aus. Der Kunde zahlt den richtigen Betrag im richtigen Shop, und das Geld geht auf ein anderes Konto. Im September 2026 wurde dieses Muster in 90 brasilianischen Onlineshops gefunden.

Der Fall vom September 2026

Am 1. September veröffentlichte der unabhängige Forscher, der unter dem Namen eremit4 bekannt ist, seine Entdeckung und nannte den Angriff „das neue brasilianische Magecart“. Kaspersky bestätigte den Fund und veröffentlichte die Zahlen am 9. September. Die öffentlich bekannten Fakten, zusammengetragen vom Unternehmen und von der Presse:

• 90 kleine und mittlere Shops infiziert, alle auf derselben Open-Source-E-Commerce-Plattform, ohne aktuelle Updates.
• Angriff auf die Website, nicht auf den Computer des Kunden. Alle Käufer, die in diesen Shops Pix wählten, bekamen den getauschten Code.
• QR-Code und Copia e Cola gemeinsam getauscht. Wer am Handy bezahlte und den Code kopierte, war genauso betroffen wie wer scannte.
• Kein Hinweis auf dem Bildschirm. Laut Fabio Assolini von Kaspersky hinterlässt der Tausch für den Kunden kein sichtbares Anzeichen.
• Auch Karten. Wählte der Kunde Kreditkarte, kopierte derselbe Code die Daten zur späteren Verwendung.
• Das Signal für den Händler waren mehr Kaufabbrüche: Bestellungen mit Pix blieben offen und wurden nicht bezahlt.

Drei Tage später veröffentlichte Procon-SP (die Verbraucherschutzbehörde des Bundesstaats São Paulo) Hinweise für Verbraucher zu dem Betrug, der beim Onlinekauf den QR-Code von Pix verändert.

Was sich gegenüber Magecart bei Karten ändert

Der Mechanismus ist derselbe: Code, versteckt auf der Zahlungsseite, nur im Checkout aktiv. Die Folge ist eine andere.

• Zeit. Bei Karten werden die Daten Tage später verkauft oder genutzt. Bei Pix ist das Geld sofort weg.
• Wer zuerst den Schaden trägt. Bei Karten erhält der Shop sein Geld, und das Problem zeigt sich später als Betrug zulasten des Kunden. Bei Pix erhält der Shop nichts, und der Kunde glaubt, bezahlt zu haben.
• Rückholung. Bei Karten gibt es den Weg der Reklamation beim Kartenaussteller. Bei Pix beantragt der Kunde den Mecanismo Especial de Devolução, den MED (das Rückerstattungsverfahren von Pix bei Betrug), der nur zurückzahlt, wenn auf dem Empfängerkonto noch Guthaben ist. Laut Medienberichten verteilen die Betrüger das Geld innerhalb weniger Stunden auf Dutzende Konten.
• Was der Angreifer stehlen muss. Bei Karten muss er die Felder auslesen und die Daten nach außen senden. Bei Pix reicht es, einen Text und ein Bild auf dem Bildschirm zu tauschen. Nichts muss die Seite verlassen, was die Erkennung für alle erschwert, die den Datenverkehr überwachen.

Warum gängige Schutzmaßnahmen nichts bemerken

Eine Betrugserkennung prüft die Transaktion, und die Transaktion ist gültig: richtiger Betrag, echtes Konto, legitimer Kunde. Das Gateway hat den korrekten QR-Code erzeugt und an den Shop geliefert. Auf dem Server des Shops kann die infizierte Datei liegen, der Code kann aber auch von einer externen Adresse kommen und nur im Browser geladen werden.

Ein Werkzeug, das Skripte auflistet und bei einem neuen Skript warnt, kann ebenfalls stumm bleiben, wenn der Code in einer bereits freigegebenen Datei steckt.

Die Frage, die den Fall klärt, ist eine andere: Ist der QR-Code, den der Kunde sieht, derselbe, den der Shop ausgestellt hat?

Was einige Shops getan haben

Laut Medienberichten gingen betroffene Händler drei Wege: den CNPJ (die Registernummer von Unternehmen in Brasilien) und den Firmennamen neben dem QR-Code anzeigen, den QR-Code von der Seite nehmen und den Zahlungsbeleg manuell anfordern oder die Zahlungsseite eines Zahlungsdienstleisters nutzen. Alle drei begrenzen den Schaden. Keiner entfernt den Code aus dem Shop.

Den CNPJ anzuzeigen hilft aufmerksamen Kunden, aber derselbe Code, der den QR-Code tauscht, kann auch diesen Text tauschen. Den QR-Code zu entfernen senkt die Abschlussrate bei Pix, das ja gerade schnell sein soll. Die Seite eines Zahlungsdienstleisters entzieht die Zahlungsanforderung dem Zugriff des Codes im Shop, um den Preis einer veränderten Kaufstrecke, und der Code bleibt dort und wartet auf das nächste Formular.

So schützt sich der Shop vor Magecart bei Pix

1. Aktualisieren Sie Plattform, Theme und Plugins. Die 90 Shops hatten die verschleppte Wartung gemeinsam.
2. Aktivieren Sie Zwei-Faktor-Authentifizierung im Admin-Bereich und prüfen Sie, wer Zugriff hat.
3. Verfolgen Sie täglich die Quote offener Pix-Zahlungen. Ein Sprung ohne geschäftlichen Grund ist das erste Signal.
4. Vergleichen Sie den angezeigten QR-Code mit dem ausgestellten. Die Prüfung muss im Browser des Kunden stattfinden, nachdem die Seite geladen ist, denn dort passiert der Tausch.
5. Blockieren Sie vor der Zahlung. Eine nachträgliche Warnung hilft bei der Untersuchung, aber der Verkauf und das Geld des Kunden sind dann schon weg.
6. Bereiten Sie den Kundenservice vor. Legen Sie fest, wie Sie Kunden helfen, die per Pix bezahlt haben, deren Bestellung aber nicht eingegangen ist.

Für das Gesamtbild, von der Karte bis zum Boleto (dem brasilianischen Bankzahlschein), lesen Sie Magecart: was es ist und wie Sie Ihren Onlineshop schützen.

Wo Proteside ins Spiel kommt

Proteside übernimmt die Prüfung aus Schritt 4 und die Sperre aus Schritt 5. Wenn der Shop oder der Anbieter die Zahlungsanforderung erzeugt, werden der ausgestellte QR-Code und der Copia e Cola registriert. Auf dem Bildschirm des Kunden wird das, was angezeigt und kopiert wird, mit diesem Eintrag verglichen. Bei einer Abweichung erscheint anstelle des QR-Codes eine Warnung, und der getauschte Code wird nicht herausgegeben. Jeder Versuch wird zu einer Meldung an den Shop, mit Bestellung, Betrag und gefundenem Ziel. Siehe den Pix-Schutz im Checkout.