Magecart sa Pix: ang atakeng nagpapalit ng QR Code, hindi ng card

Ang Magecart sa Pix (ang instant payment system ng Banco Central do Brasil, ang central bank ng Brazil) ay ang Brazilian na bersyon ng isang lumang atake: ang malicious code na dating kumokopya ng card number sa payment page ay nagpapalit na ngayon ng QR at ng Pix Copia e Cola (ang payment code na text na kinokopya ng customer at idinidikit sa app ng bangko). Tamang halaga ang binabayaran ng customer, sa tamang tindahan, pero sa ibang account napupunta ang pera. Noong Setyembre 2026, natagpuan ang pattern na ito sa 90 online store sa Brazil.

Ang kaso noong Setyembre 2026

Noong 1 Setyembre, inilathala ng independent researcher na kilala bilang eremit4 ang natuklasan niya at tinawag ang atake na "ang bagong magecart ng Brazil". Kinumpirma ng Kaspersky ang natuklasan at inilabas ang mga numero noong 9 Setyembre. Ang mga pampublikong datos, na tinipon ng kumpanya at ng media:

• 90 maliliit at katamtamang laking tindahan ang na-infect, lahat gumagamit ng iisang open-source na e-commerce platform na hindi updated.
• Atake sa site, hindi sa computer ng customer. Lahat ng mamimiling pumili ng Pix sa mga tindahang ito ay nakatanggap ng pinalitang code.
• Sabay na pinalitan ang QR at ang Copia e Cola. Tinamaan ang nagbabayad sa cellphone sa pamamagitan ng pagkopya ng code, gaya rin ng nag-scan.
• Walang senyales sa screen. Ayon kay Fabio Assolini ng Kaspersky, walang iniiwang palatandaan sa screen ang pagpapalit para sa customer.
• Pati card. Kapag credit card ang pinili ng customer, kinokopya ng parehong code ang data para gamitin sa ibang araw.
• Ang senyales para sa merchant ay pagdami ng mga hindi itinuloy na order: nananatiling pending at hindi nababayaran ang mga order na Pix.

Makalipas ang tatlong araw, naglabas ang Procon-SP (ang ahensya para sa proteksyon ng consumer sa São Paulo) ng gabay para sa mga consumer tungkol sa scam na nagbabago ng QR Code ng Pix sa online shopping.

Ano ang naiiba kumpara sa Magecart sa card

Pareho ang mekanismo: code na nakatago sa payment page, na kumikilos lang sa checkout. Iba ang resulta.

• Oras. Sa card, ibinebenta o ginagamit ang data makalipas ang ilang araw. Sa Pix, agad lumalabas ang pera.
• Sino ang unang nagbabayad. Sa card, natatanggap ng tindahan ang bayad at lumalabas ang problema kalaunan bilang fraud laban sa customer. Sa Pix, walang natatanggap ang tindahan, at akala ng customer ay nakapagbayad na siya.
• Pagbawi. Sa card, may proseso ng dispute sa issuer. Sa Pix, humihingi ang customer ng MED (Mecanismo Especial de Devolução, ang refund mechanism ng Pix kapag may fraud), na nagbabalik lang ng pera kung may natitira pang balanse sa account na tumanggap. Ayon sa mga ulat, ikinakalat ng mga scammer ang pera sa dose-dosenang account sa loob ng ilang oras.
• Ano ang kailangang nakawin ng attacker. Sa card, kailangan niyang basahin ang mga field at ipadala palabas ang data. Sa Pix, sapat nang palitan ang isang text at isang larawan sa screen. Walang kailangang lumabas sa page, kaya mas mahirap itong ma-detect ng mga nagbabantay sa traffic.

Bakit hindi ito napapansin ng karaniwang depensa

Sinusuri ng antifraud ang transaksyon, at valid ang transaksyon: tamang halaga, totoong account, lehitimong customer. Tamang QR ang ginawa ng gateway at ibinigay sa tindahan. Maaaring may infected na file ang server ng tindahan, pero maaari ring manggaling ang code sa isang panlabas na address, na nilo-load lang sa browser.

Maaari ring manahimik ang isang tool na naglilista ng mga script at nag-aalerto kapag may bago, kung nasa loob ng isang aprubadong file ang code. Walang bagong script sa listahan, kaya walang alerto.

Iba ang tanong na lumulutas sa kaso: ang QR ba na nakikita ng customer ay ang parehong QR na inilabas ng tindahan?

Ano ang ginawa ng ilang tindahan

Ayon sa mga ulat, tatlong paraan ang ginawa ng mga merchant na tinamaan: ipinakita ang CNPJ (ang business registration number sa Brazil) at ang pangalan ng kumpanya sa tabi ng QR, inalis ang QR sa page at manu-manong hiningi ang resibo, o lumipat sa payment page ng isang intermediary. Binabawasan ng tatlo ang pinsala. Wala ni isa sa kanila ang nag-aalis ng code sa tindahan.

Nakakatulong ang pagpapakita ng CNPJ sa maingat na customer, pero kaya ring palitan ng parehong code na nagpapalit ng QR ang text na iyon. Ang pag-alis ng QR ay nagpapababa sa conversion ng Pix, na ginawa mismo para maging mabilis. Ang paggamit ng page ng intermediary ay naglalayo sa singil mula sa code na naka-install sa tindahan, kapalit ng pagbabago sa proseso ng pagbili, at nananatili roon ang code, naghihintay sa susunod na form.

Paano mapoprotektahan ng tindahan ang sarili laban sa Magecart sa Pix

1. I-update ang platform, theme at plugins. Ang pagkakatulad ng 90 tindahan ay ang naantalang maintenance.
2. I-on ang two-factor authentication sa panel at suriin kung sino ang may access.
3. Bantayan ang rate ng pending na Pix kada araw. Ang biglaang pagtaas nang walang dahilang pangkomersyo ang unang senyales.
4. Ihambing ang ipinapakitang QR sa inilabas na QR. Kailangang mangyari ang pagsusuri sa browser ng customer, pagkatapos mag-load ng page, dahil doon nangyayari ang pagpapalit.
5. Harangin bago ang bayad. Nakakatulong sa imbestigasyon ang pag-abiso pagkatapos, pero wala na ang benta at ang pera ng customer.
6. Ihanda ang customer service. Dapat may malinaw na hakbang para sa customer na nagbayad sa Pix pero hindi pumasok ang order.

Para sa buong larawan, mula card hanggang boleto (ang Brazilian na bank payment slip), basahin ang Magecart: ano ito at paano protektahan ang e-commerce.

Saan pumapasok ang Proteside

Ginagawa ng Proteside ang pagsusuri sa hakbang 4 at ang pagharang sa hakbang 5. Kapag gumawa ng singil ang tindahan o ang provider, naitatala ang inilabas na QR at Copia e Cola. Sa screen ng customer, inihahambing nito ang ipinapakita at kinokopya sa talaang iyon at, kapag may pagkakaiba, nagpapakita ito ng babala sa lugar ng QR at hindi ibinibigay ang pinalitang code. Bawat pagtatangka ay nagiging alerto para sa tindahan, kasama ang order, ang halaga at ang natagpuang destinasyon. Tingnan ang proteksyon ng Pix sa checkout.