Virus tauscht Pix-QR-Code: auf Ihrem Gerät oder im Shop?

Der Virus, der den QR-Code von Pix (dem Sofortzahlungssystem der brasilianischen Zentralbank) tauscht, kann an zwei Orten sitzen: auf dem Gerät des Käufers oder auf der Website des Shops. Auf dem Gerät tauscht er den kopierten Code oder das angezeigte Bild aus, in jedem Shop, den Sie besuchen. Auf der Website tauscht er den QR-Code für alle Kunden dieses Shops, selbst wenn deren Computer sauber sind. Welcher der beiden Fälle auf Sie zutrifft, entscheidet darüber, was zu tun ist.

Typ 1: der Virus auf Ihrem Computer oder Handy

Das sind Programme, die sich auf dem Gerät einnisten und auf eine Zahlung warten. Die von Forschern dokumentierten Fälle gehen auf drei Arten vor:

• Austausch des Kopierten. Erkennt das Programm einen Pix-Code in der Zwischenablage, ersetzt es ihn durch den des Betrügers. Sie fügen ihn in die Banking-App ein und bezahlen jemand anderen. Kaspersky beschrieb dieses Verhalten 2023 bei einer Familie namens GoPix.
• Veränderung der angezeigten Seite. Neuere Versionen nisten sich im Browser ein und verändern den Inhalt der Seiten. Im März 2026 veröffentlichte Kaspersky eine Analyse des aktuellen GoPix: Es läuft nur im Arbeitsspeicher des Computers, kommt über gefälschte Anzeigen in Suchmaschinen und überwacht Transaktionen mit Pix und Boleto (dem brasilianischen Bankzahlschein).
• Browsererweiterungen. 2023 dokumentierte Trend Micro bösartige Browsererweiterungen, die sich an brasilianische Nutzer richteten und geöffnete Seiten lesen und verändern konnten, auch die von Banken.

So erkennen Sie es: Das Problem tritt in mehr als einem Shop auf oder bei Codes, die von verschiedenen Stellen kopiert wurden. Es kann auch beim Bezahlen von Boletos oder Rechnungen passieren.

Typ 2: der Schadcode auf der Website des Shops

Hier steckt der Virus nicht bei Ihnen. Er wurde auf der Zahlungsseite des Shops platziert, über eine nicht behobene Lücke, ein kompromittiertes Plugin oder ein geleaktes Passwort für den Admin-Bereich. Wählt ein Kunde Pix, tauscht der Code den QR-Code und den Pix Copia e Cola (den Zahlungscode als Text, den der Kunde kopiert und in die Banking-App einfügt) gegen den des Betrügers.

Im September 2026 bestätigte Kaspersky 90 brasilianische Onlineshops in dieser Lage. Das Unternehmen betonte, dass der Täter die Website infiziert und nicht den Computer des Opfers und dass deshalb alle Kunden des Shops betroffen sind. Der Angriff bekam den Spitznamen „das neue brasilianische Magecart“, und wir erklären den Begriff in Magecart bei Pix.

So erkennen Sie es: Das Problem tritt nur in diesem Shop auf, und andere Kunden berichten dasselbe. Ein Virenscanner auf Ihrem Computer findet nichts, weil auf Ihrem Computer nichts ist.

So finden Sie heraus, wo das Problem liegt

Drei Fragen helfen, die Fälle zu trennen:

1. Ist es in mehr als einem Shop passiert oder bei Boletos und Rechnungen? Wenn ja, steht Ihr Gerät unter Verdacht.
2. Bestätigt der Shop andere Kunden mit demselben Problem? Wenn ja, liegt das Problem bei der Website.
3. Haben Sie den Code kopiert oder den QR-Code mit dem Handy gescannt? Haben Sie mit dem Handy vom Computerbildschirm gescannt und war der Empfänger trotzdem ein anderer, war das Bild auf dem Bildschirm schon getauscht. Das deutet auf die Website oder den Browser des Computers hin, nicht auf das Handy.

Was tun, wenn der Virus auf Ihrem Gerät ist

1. Fechten Sie den Pix in der Banking-App an, über die Option „Contestar Pix“ („Pix anfechten“), mit dem Grund Betrug, und zwar so schnell wie möglich.
2. Führen Sie einen Scan mit einem aktuellen Virenscanner durch und entfernen Sie Browsererweiterungen, die Sie nicht kennen oder nicht nutzen.
3. Ändern Sie die Passwörter für Bank, E-Mail und Shops von einem anderen, sauberen Gerät aus.
4. Aktualisieren Sie Betriebssystem und Browser.
5. Wenn das Problem bleibt, bringen Sie das Gerät zu einem Techniker Ihres Vertrauens oder installieren Sie das System neu.

Was tun, wenn der Code auf der Website des Shops ist

1. Fechten Sie den Pix in der Banking-App an, auf dieselbe Weise.
2. Informieren Sie den Shop mit dem Beleg. Er weiß möglicherweise nicht, dass er betroffen ist. Der Hinweis schützt die nächsten Kunden.
3. Zahlen Sie im selben Shop nicht erneut, bis er bestätigt, dass er das Problem behoben hat.
4. Bewahren Sie die Beweise auf und erstatten Sie, wenn Sie möchten, Anzeige bei der Polizei.

Die vollständige Anleitung zur Anfechtung finden Sie unter Falscher Pix beim Onlinekauf: Irrtum oder Betrug.

Der Schutz, der in beiden Fällen hilft

Lesen Sie vor jeder Pix-Bestätigung Name und CNPJ (die Registernummer von Unternehmen in Brasilien) des Empfängers in der Banking-App. Der Virus kann den Code tauschen, aber die Banking-App zeigt, wohin das Geld wirklich geht. Hat der Name keinen Bezug zum Shop, brechen Sie ab. Siehe was Sie vor dem Bezahlen prüfen sollten.

Für Händler

Der Shop kontrolliert nicht den Computer des Kunden, wohl aber seine eigene Seite. Und selbst wenn der Virus auf dem Gerät des Kunden sitzt, ist es der Shop, der kein Geld erhält und die Beschwerde bekommt. Proteside prüft auf dem Bildschirm des Zahlenden, ob der angezeigte und kopierte QR-Code und Copia e Cola die vom Shop ausgestellten sind, auch wenn die Veränderung von einer Browsererweiterung kommt, und blockiert den Tausch vor der Bestätigung. Siehe den Pix-Schutz im Checkout.