Virus que cambia el QR del Pix: ¿tu dispositivo o la tienda?

El virus que cambia el código QR del Pix (el sistema de pagos instantáneos del Banco Central do Brasil) puede estar en dos lugares: en el dispositivo de quien compra o en el sitio de la tienda. En el dispositivo, cambia el código copiado o la imagen que se muestra, en cualquier tienda que visites. En el sitio, cambia el QR para todos los clientes de esa tienda, aunque la computadora de cada uno esté limpia. Saber cuál de los dos es tu caso cambia lo que hay que hacer.

Tipo 1: el virus en tu computadora o celular

Son programas que se instalan en el dispositivo y quedan a la espera de un pago. Los casos documentados por investigadores actúan de tres formas:

• Cambiando lo que copias. Al reconocer un código Pix en el portapapeles, el programa lo reemplaza por el del estafador. Lo pegas en la app del banco y le pagas a otra persona. Kaspersky describió este comportamiento en 2023 en una familia llamada GoPix.
• Modificando la página que ves. Las versiones más nuevas se insertan en el navegador y alteran el contenido de las páginas. En marzo de 2026, Kaspersky publicó un análisis del GoPix actual: corre solo en la memoria de la computadora, llega por anuncios falsos en buscadores y vigila las transacciones de Pix y de boleto (boleto bancario brasileño).
• Extensiones del navegador. En 2023, Trend Micro documentó extensiones maliciosas para navegador dirigidas a usuarios brasileños, capaces de leer y alterar las páginas abiertas, incluidas las de bancos.

Cómo reconocerlo: el problema aparece en más de una tienda, o con códigos copiados de lugares distintos. También puede pasar al pagar boletos o cuentas.

Tipo 2: el código malicioso en el sitio de la tienda

Aquí el virus no está en ti. Lo colocaron en la página de pago de la tienda, a través de una falla sin corregir, un plugin comprometido o una contraseña del panel filtrada. Cuando cualquier cliente elige Pix, el código cambia el QR y el Pix Copia e Cola (el código de pago en texto que el cliente copia y pega en la app de su banco) por los del estafador.

En septiembre de 2026, Kaspersky confirmó 90 tiendas online brasileñas en esta situación. La empresa destacó que el delincuente infecta el sitio, y no la computadora de la víctima, y que por eso todos los clientes de la tienda resultan afectados. El ataque recibió el apodo de "nuevo magecart brasileño", y explicamos el término en Magecart en el Pix.

Cómo reconocerlo: el problema ocurre solo en esa tienda, y otros clientes reportan lo mismo. Un antivirus en tu computadora no va a encontrar nada, porque no hay nada en tu computadora.

Cómo descubrir dónde está el problema

Tres preguntas ayudan a separar los casos:

1. ¿Pasó en más de una tienda o en boletos y cuentas? Si es así, sospecha de tu dispositivo.
2. ¿La tienda confirma otros clientes con el mismo problema? Si es así, el problema está en el sitio.
3. ¿Copiaste el código o escaneaste el QR con el celular? Si lo escaneaste con el celular desde la pantalla de la computadora y aun así el beneficiario era otro, la imagen ya estaba cambiada en la pantalla. Eso apunta al sitio o al navegador de la computadora, y no al celular.

Qué hacer si el virus está en tu dispositivo

1. Impugna el Pix en la app del banco con la opción Contestar Pix (Impugnar Pix), indicando estafa o fraude, lo antes posible.
2. Haz un análisis con un antivirus actualizado y elimina las extensiones del navegador que no reconoces o no usas.
3. Cambia las contraseñas del banco, del correo y de las tiendas desde otro dispositivo limpio.
4. Actualiza el sistema y el navegador.
5. Si el problema continúa, lleva el dispositivo a un técnico de confianza o reinstala el sistema.

Qué hacer si el código está en el sitio de la tienda

1. Impugna el Pix en la app del banco de la misma forma.
2. Avisa a la tienda con el comprobante. Puede que no sepa que fue afectada. El aviso protege a los próximos clientes.
3. No vuelvas a pagar en la misma tienda hasta que confirme que corrigió el problema.
4. Guarda las pruebas y, si quieres, presenta una denuncia policial.

Para la guía completa de impugnación, lee Pix equivocado en una compra online: ¿error o estafa?.

La defensa que sirve para los dos casos

Antes de confirmar cualquier Pix, lee el nombre y el CNPJ (registro de empresa en Brasil) del beneficiario en la app del banco. El virus puede cambiar el código, pero la app del banco muestra a dónde va el dinero de verdad. Si el nombre no tiene relación con la tienda, detente. Lee qué revisar antes de pagar.

Para comerciantes

La tienda no controla la computadora del cliente, pero sí controla su propia página. Y aun cuando el virus está en el dispositivo del cliente, es la tienda la que deja de cobrar y la que recibe el reclamo. Proteside verifica, en la pantalla de quien paga, que el QR y el Copia e Cola mostrados y copiados sean los que emitió la tienda, incluso cuando el cambio viene de una extensión del navegador, y bloquea el cambio antes de la confirmación. Conoce la protección del Pix en el checkout.