Magecart en el Pix: el ataque que cambia el QR y no la tarjeta

Magecart en el Pix (el sistema de pagos instantáneos del Banco Central do Brasil) es la versión brasileña de un ataque antiguo: el código malicioso que antes copiaba números de tarjeta en la página de pago pasa a cambiar el código QR y el Pix Copia e Cola (el código de pago en texto que el cliente copia y pega en la app de su banco). El cliente paga el monto correcto, en la tienda correcta, y el dinero va a otra cuenta. En septiembre de 2026, este patrón apareció en 90 tiendas online brasileñas.

El caso de septiembre de 2026

El 1 de septiembre, el investigador independiente conocido como eremit4 publicó el hallazgo y llamó al ataque "el nuevo magecart brasileño". Kaspersky confirmó el hallazgo y divulgó las cifras el 9 de septiembre. Los hechos públicos, reunidos por la empresa y por la prensa:

• 90 tiendas pequeñas y medianas infectadas, todas con la misma plataforma de comercio electrónico de código abierto, sin las actualizaciones al día.
• Ataque al sitio, no a la computadora del cliente. Todos los compradores que elegían Pix en esas tiendas recibían el código cambiado.
• QR y Copia e Cola cambiados a la vez. Quien pagaba desde el celular, copiando el código, resultaba afectado igual que quien escaneaba.
• Ninguna señal en pantalla. Según Fabio Assolini, de Kaspersky, el cambio no deja ningún indicio visual para el cliente.
• También tarjetas. Cuando el cliente elegía tarjeta de crédito, el mismo código copiaba los datos para usarlos después.
• La señal para el comerciante fue un aumento de abandonos: los pedidos con Pix quedaban pendientes y no se pagaban.

Tres días después, el Procon-SP (órgano de defensa del consumidor de São Paulo) publicó una guía para los consumidores sobre la estafa que altera el código QR del Pix en compras online.

Qué cambia frente al Magecart con tarjeta

El mecanismo es el mismo: código escondido en la página de pago, que se activa solo en el checkout. La consecuencia es otra.

• Tiempo. Con tarjeta, los datos se venden o se usan días después. Con Pix, el dinero sale en el acto.
• Quién paga primero. Con tarjeta, la tienda recibe y el problema aparece más tarde como un fraude contra el cliente. Con Pix, la tienda no recibe, y el cliente cree que pagó.
• Recuperación. Con tarjeta existe el camino de la disputa ante el banco emisor. Con Pix, el cliente solicita el MED (Mecanismo Especial de Devolução, el mecanismo de devolución del Pix en caso de fraude), que solo devuelve si todavía hay saldo en la cuenta que recibió. Según la prensa, los estafadores reparten el dinero en decenas de cuentas en pocas horas.
• Qué necesita robar el atacante. Con tarjeta, necesita leer los campos y enviar los datos hacia afuera. Con Pix, basta con cambiar un texto y una imagen en la pantalla. Nada tiene que salir de la página, lo que dificulta la detección para quien vigila el tráfico.

Por qué las defensas comunes no lo notan

Un antifraude analiza la transacción, y la transacción es válida: monto correcto, cuenta real, cliente legítimo. La pasarela de pago generó el QR correcto y se lo entregó a la tienda. El servidor de la tienda puede tener el archivo infectado, pero también puede recibir el código desde una dirección externa, cargado solo en el navegador.

Una herramienta que lista los scripts y avisa cuando aparece uno nuevo también puede quedarse en silencio si el código está dentro de un archivo que ya estaba autorizado. Explicamos este punto en por qué el inventario de scripts no detecta el QR cambiado.

La pregunta que resuelve el caso es otra: ¿el QR que ve el cliente es el mismo que emitió la tienda?

Qué hicieron algunas tiendas

Según la prensa, los comerciantes afectados tomaron tres caminos: mostrar el CNPJ (registro de empresa en Brasil) y el nombre de la empresa junto al QR, quitar el QR de la página y pedir el comprobante manualmente, o pasar a usar la página de pago de un intermediario. Los tres reducen el daño. Ninguno elimina el código de la tienda.

Mostrar el CNPJ ayuda al cliente atento, pero el mismo código que cambia el QR puede cambiar ese texto. Quitar el QR hunde la conversión del Pix, que existe justamente para ser rápido. Usar la página de un intermediario saca el cobro del alcance del código instalado en la tienda, a costa de cambiar el recorrido de compra, y el código sigue ahí, esperando el próximo formulario.

Cómo se protege la tienda del Magecart en el Pix

1. Actualiza la plataforma, el tema y los plugins. Las 90 tiendas tenían en común el mantenimiento atrasado.
2. Activa el doble factor en el panel y revisa quién tiene acceso.
3. Sigue la tasa diaria de Pix pendientes. Un salto sin motivo comercial es la primera señal.
4. Compara el QR mostrado con el QR emitido. La verificación tiene que ocurrir en el navegador del cliente, después de que carga la página, porque es ahí donde ocurre el cambio.
5. Bloquea antes del pago. Avisar después ayuda a investigar, pero la venta y el dinero del cliente ya se perdieron.
6. Prepara la atención. Ten listo un procedimiento para cuando el cliente pagó el Pix y el pedido no se aprobó.

Para el panorama completo, de la tarjeta al boleto (boleto bancario brasileño), lee Magecart: qué es y cómo proteger tu tienda online.

Dónde entra Proteside

Proteside hace la verificación del paso 4 y el bloqueo del paso 5. Cuando la tienda o el proveedor genera el cobro, el QR y el Copia e Cola emitidos quedan registrados. En la pantalla del cliente, compara lo que se muestra y se copia con ese registro y, si hay una diferencia, muestra un aviso en lugar del QR y no entrega el código cambiado. Cada intento se convierte en una alerta para la tienda, con el pedido, el monto y el destino encontrado. Conoce la protección del Pix en el checkout.