Magecart: qué es y cómo proteger tu tienda, de la tarjeta al Pix

Magecart es el nombre que reciben los ataques que colocan código malicioso en la página de pago de una tienda online legítima para desviar lo que el cliente escribe o paga. Durante años el objetivo fue el número de la tarjeta. En septiembre de 2026, una campaña en Brasil mostró el mismo tipo de código cambiando el QR del Pix (el sistema de pagos instantáneos del Banco Central do Brasil). La tienda sigue en línea, con la marca correcta y el precio correcto, y el cliente no ve nada raro.

De dónde viene el nombre

El nombre une Mage, de Magento, y cart, carrito en inglés. Los investigadores empezaron a usarlo a mediados de la década pasada para los grupos que atacaban los carritos de compra de esa plataforma. Con el tiempo, el término pasó a designar la técnica en sí, en cualquier plataforma de comercio electrónico, en una tienda propia o en un servicio de terceros.

Lo que define un ataque Magecart no es la herramienta usada, sino el lugar: la página en la que el cliente indica cómo va a pagar.

Cómo funciona un ataque Magecart

1. Entrada. El código llega por una falla sin corregir en la plataforma, por un plugin o tema vulnerable, por una contraseña del panel filtrada o por un script de terceros comprometido. En junio de 2024, un único servicio de scripts usado por más de 100 mil sitios empezó a entregar código malicioso después de cambiar de dueño.
2. Camuflaje. El fragmento suele tener pocas líneas ofuscadas y queda dentro de un archivo legítimo, de una imagen o de un servicio que la tienda ya considera confiable. En abril de 2026, unos investigadores encontraron el código escondido en una imagen invisible en unas 100 tiendas. En junio, otra familia guardaba el código y los datos robados dentro de un servicio de pago conocido, para que el tráfico pareciera normal.
3. Acción solo en el checkout. El código se queda quieto en las demás páginas. Cuando el cliente llega al pago, lee los campos de la tarjeta de crédito o de la tarjeta de débito, o cambia el QR, el Pix Copia e Cola (el código de pago en texto que el cliente copia y pega en la app de su banco) o la línea digitable (el número del boleto) del boleto (boleto bancario brasileño).
4. Salida. Con tarjeta, los datos van a un servidor del atacante y se usan después. Con Pix, el propio cliente envía el dinero a la cuenta equivocada, en el momento.

Los casos que definieron el problema

• British Airways, 2018. Un script alterado en el sitio y en la aplicación copió datos de pago durante unas dos semanas. La autoridad británica de protección de datos contó 429.612 personas afectadas y aplicó una multa de 20 millones de libras en octubre de 2020.
• Europol, 2023. Una operación coordinada por Europol notificó a cientos de tiendas online de varios países que tenían código de robo de tarjetas activo en la página de pago, la mayoría sin saberlo.
• 2026. Las investigaciones del año muestran el código migrando a lugares que las defensas comunes no miran: dentro de imágenes y de servicios de pago legítimos, donde la tienda rara vez busca.
• Brasil, septiembre de 2026. El investigador independiente conocido como eremit4 identificó, y Kaspersky confirmó, 90 tiendas pequeñas y medianas con código que cambiaba el QR y el Pix Copia e Cola en el checkout. Cuando el cliente elegía tarjeta, el mismo código copiaba los datos. El investigador llamó al caso "el nuevo magecart brasileño". Detallamos ese caso en Magecart en el Pix.

Por qué la tienda tarda en darse cuenta

Con tarjeta, la venta se aprueba y el dinero entra. El perjuicio aparece semanas después, en el estado de cuenta del cliente, y solo cuando el banco emisor cruza varios casos llega a la conclusión de que todos compraron en la misma tienda.

Con Pix, la venta simplemente no entra. El panel muestra un pedido pendiente o abandonado, y el reclamo llega días después, cuando el producto no se envió. Los comerciantes afectados en 2026 notaron primero un aumento de abandonos, antes de entender lo que estaba pasando.

En todos los casos, el servidor puede parecer limpio. Si el código viene de afuera o se arma en el navegador, la copia de los archivos de la tienda no cambia. Lo que cambia es lo que ve el cliente.

Qué pide PCI DSS

Desde el 31 de marzo de 2025, los requisitos 6.4.3 y 11.6.1 de PCI DSS son obligatorios para quien acepta tarjetas en línea. El 6.4.3 pide un inventario de los scripts de la página de pago, con la justificación y la garantía de integridad de cada uno. El 11.6.1 pide un mecanismo que detecte cambios no autorizados en la página y en los encabezados de seguridad, con una verificación al menos semanal.

Los dos se escribieron por el Magecart en tarjetas. No hablan de Pix ni de boleto, aunque el código que cambia un QR corre en la misma página y por el mismo camino.

Cómo proteger tu tienda online contra Magecart

1. Cierra las puertas de entrada. Actualiza la plataforma, el tema y los plugins, y elimina lo que no usas. La mayoría de las campañas aprovecha fallas conocidas y ya corregidas.
2. Protege el panel. Autenticación de doble factor para todos los administradores, revisión de las cuentas con acceso y cambio de las contraseñas de las integraciones.
3. Reduce lo que corre en el checkout. Cada script en la página de pago necesita un responsable y un motivo. El chat, el mapa de calor y el píxel de anuncios rara vez necesitan estar ahí.
4. Prefiere campos de tarjeta alojados por el proveedor. Reducen el riesgo de copia directa, pero la página que los rodea todavía puede mostrar un formulario falso. Lee qué resuelven y qué no resuelven los campos alojados.
5. Limita a dónde puede enviar datos la página. Una política de seguridad de contenido bien configurada dificulta el envío a servidores desconocidos. No ayuda cuando el atacante usa un servicio que la tienda ya autorizó.
6. Monitorea la página como la ve el cliente. El archivo en el servidor puede estar bien y la pantalla estar mal. Lee cómo monitorear cambios en el checkout.
7. Verifica el código de pago que se muestra. En el Pix, en el boleto y en la billetera de stablecoins, compara lo que muestra la pantalla con lo que emitió la tienda, antes de que el cliente pague.
8. Ten un plan para el día del incidente. Quién desactiva el medio de pago afectado, quién habla con el proveedor, cómo avisar a los clientes y cómo guardar la evidencia.

Señales de que la tienda pudo haber sido afectada

• Aumento de Pix pendientes, sin una caída equivalente en las visitas al checkout.
• Clientes que dicen que pagaron y que el pedido no se aprobó, con un comprobante a nombre de otra empresa.
• Aviso del proveedor de pago o del adquirente sobre tarjetas usadas en fraudes después de compras en la tienda.
• Archivos modificados sin que nadie haya publicado nada, o un administrador que nadie reconoce.
• La página de pago enviando datos a dominios que el equipo no conoce.

Si aparecen dos de estas señales juntas, trátalo como un incidente hasta demostrar lo contrario.

Dónde entra Proteside

Proteside es una capa de ciberseguridad que verifica, en la pantalla de quien paga, que los datos de pago sean los que emitió el vendedor, y bloquea el cambio antes de la confirmación. Hace el inventario de scripts que pide PCI DSS y va más allá: compara el QR, el Copia e Cola, la línea digitable y el formulario de tarjeta con lo que generó la tienda, en cada pedido, y registra cada intento como evidencia. Conoce cómo funciona para la tarjeta de crédito y para el cumplimiento de PCI DSS.