Estafa del Pix en el checkout: cómo cambian el QR y cómo evitarla

La estafa del Pix (el sistema de pagos instantáneos del Banco Central do Brasil) en el checkout ocurre dentro de tiendas online legítimas. Un código malicioso instalado en la página de pago cambia el código QR y el Pix Copia e Cola (el código de pago en texto que el cliente copia y pega en la app de su banco) por otros, por el monto exacto de la compra, que envían el dinero a la cuenta del estafador. No hay sitio falso ni enlace sospechoso. El cliente paga, la tienda no recibe, y los dos lo descubren días después.

Esta guía reúne lo que se sabe sobre la estafa y remite a los artículos que detallan cada parte.

Cómo funciona la estafa

1. La tienda genera un cobro Pix legítimo, con el QR y el Copia e Cola correctos.
2. Un código que corre en la página, que llegó por una intrusión, por un plugin o tema comprometido o por un script de terceros, reemplaza el QR que se muestra y el texto que entrega el botón de copiar.
3. El cliente paga el monto correcto, ve un nombre creíble en la app del banco y confirma.
4. El dinero cae en una cuenta puente y se reparte en pocas horas.
5. El pedido queda pendiente. El reclamo llega cuando el producto no se envía.

El mismo mecanismo existe desde hace años para robar tarjetas y se conoce como Magecart. Lee Magecart: qué es y cómo proteger tu tienda online.

El caso de septiembre de 2026

El 1 de septiembre, el investigador independiente conocido como eremit4 reveló la campaña. Kaspersky confirmó 90 tiendas pequeñas y medianas afectadas, todas en la misma plataforma de comercio electrónico de código abierto y con mantenimiento atrasado, e informó que la estafa estaba activa desde junio de 2025. El código cambiaba el QR y el Copia e Cola y, cuando el cliente elegía tarjeta de crédito, copiaba los datos. El 12 de septiembre, el Procon-SP (órgano de defensa del consumidor de São Paulo) publicó una guía para los consumidores sobre la estafa. El análisis completo está en Magecart en el Pix.

Dónde se puede cambiar el QR

• En la página de la tienda. Afecta a todos los clientes que eligen Pix. Es el caso de septiembre de 2026 y el tema de esta guía.
• En el dispositivo del cliente. Virus y extensiones del navegador cambian el código copiado o el que se muestra, en cualquier tienda. Lee virus que cambia el QR del Pix: ¿en tu dispositivo o en la tienda?.
• En el mensaje. QR o clave Pix enviados fuera del sitio por alguien que se hace pasar por la tienda.

Lo mismo vale para el texto del Copia e Cola, que es la propia instrucción de pago.

Por qué las defensas tradicionales no lo notan

El firewall, el antifraude y la pasarela de pago protegen servidores y transacciones. La pasarela generó el QR correcto. El antifraude ve una transacción válida, de un cliente real, por el monto correcto. El cambio ocurre después, en el navegador del comprador, junto con todo lo que carga la página.

Incluso las herramientas creadas para PCI DSS, que listan los scripts de la página y avisan cuando aparece uno nuevo, pueden quedarse en silencio si el código malicioso está dentro de un archivo ya autorizado. Lo explicamos en por qué el inventario de scripts no detecta el QR cambiado.

Las señales

Para el comerciante:

• Aumento de pedidos con Pix pendiente o abandonado, sin caída en las visitas al checkout.
• Clientes con un comprobante completado a nombre de otra empresa o persona.
• Archivos modificados sin ninguna publicación, administradores desconocidos en el panel.

Para el cliente:

• Un beneficiario sin relación con la tienda en la pantalla de confirmación del banco.
• Pedido detenido en "esperando pago" después de completar el Pix. Lee pagué el Pix y el pedido sigue pendiente.

Qué debe hacer el cliente

• Antes de pagar: revisar el nombre y el CNPJ (registro de empresa en Brasil) del beneficiario en la app del banco. Lee código QR Pix alterado: cómo saberlo antes de pagar.
• Si ya pagó: usar la opción Contestar Pix (Impugnar Pix) en la app del banco el mismo día, avisar a la tienda y guardar el comprobante. El plazo del MED (Mecanismo Especial de Devolução, el mecanismo de devolución del Pix en caso de fraude) es de 80 días, pero la devolución depende de que haya saldo. Lee Pix equivocado en una compra online: ¿error o estafa?.

Qué debe hacer el comerciante

1. Actualiza la plataforma, el tema y los plugins y elimina lo que no usas.
2. Protege el panel con doble factor y revisa quién tiene acceso.
3. Reduce los scripts del checkout a lo esencial, cada uno con un responsable y un motivo.
4. Monitorea la página en producción, tal como la ve el cliente. Lee cómo monitorear cambios en el checkout.
5. Compara el código que se muestra con el emitido y bloquea la diferencia antes de la confirmación.
6. Sigue la tasa de Pix pendientes todos los días.
7. Prepara la atención para el cliente que pagó y no recibió su pedido.

No es solo Pix

El mismo código que cambia el QR puede cambiar la línea digitable (el número del boleto) del boleto (boleto bancario brasileño), la dirección de una billetera de stablecoins o el QR de otros pagos instantáneos, y puede copiar los datos de la tarjeta de crédito y de la tarjeta de débito. Proteger el checkout es proteger todos los medios de pago que se muestran en él.

Dónde entra Proteside

Proteside es una capa de ciberseguridad que verifica, en la pantalla de quien paga, que los datos de pago sean los que emitió el vendedor, y bloquea el cambio antes de la confirmación. No es antifraude, firewall ni pasarela de pago: funciona junto a ellos, en cualquier plataforma y con cualquier proveedor. Conoce la protección del Pix en el checkout y cómo funciona.