Pix scam sa checkout: paano pinapalitan ang QR at paano iwasan

Ang Pix scam sa checkout ay nangyayari sa loob mismo ng mga lehitimong online store. (Ang Pix ay ang instant payment system ng Banco Central do Brasil, ang central bank ng Brazil.) May malicious code na naka-install sa payment page na nagpapalit sa QR Code at sa Pix Copia e Cola (ang payment code na text na kinokopya ng customer at idinidikit sa app ng bangko) ng ibang code, sa eksaktong halaga ng binili, na nagpapadala ng pera sa account ng scammer. Walang pekeng site at walang kahina-hinalang link. Nagbabayad ang customer, walang natatanggap ang tindahan, at pareho lang nilang nalalaman ito makalipas ang ilang araw.

Tinitipon ng gabay na ito ang alam na tungkol sa scam at itinuturo ang mga artikulong nagdedetalye sa bawat bahagi.

Paano gumagana ang scam

1. Gumagawa ang tindahan ng lehitimong Pix charge, kasama ang tamang QR at Copia e Cola.
2. Isang code na tumatakbo sa page, galing sa pag-hack, sa nakompromisong plugin o theme, o sa isang third-party script, ang pumapalit sa ipinapakitang QR at sa text na ibinibigay ng copy button.
3. Binabayaran ng customer ang tamang halaga, nakakakita ng kapani-paniwalang pangalan sa app ng bangko, at nagkukumpirma.
4. Pumapasok ang pera sa isang pass-through account at ikinakalat sa loob ng ilang oras.
5. Nananatiling pending ang order. Dumarating ang reklamo kapag hindi naipadala ang produkto.

Ilang taon nang ginagamit ang parehong mekanismo para magnakaw ng card data, at kilala ito bilang Magecart. Basahin ang Magecart: ano ito at paano protektahan ang e-commerce.

Ang kaso noong Setyembre 2026

Noong 1 Setyembre, ibinunyag ng independent researcher na kilala bilang eremit4 ang campaign. Kinumpirma ng Kaspersky na 90 maliliit at katamtamang laking tindahan ang tinamaan, lahat nasa iisang open-source na e-commerce platform at may naantalang maintenance, at sinabi nitong aktibo na ang scam mula pa noong Hunyo 2025. Pinapalitan ng code ang QR at ang Copia e Cola at, kapag credit card ang pinili ng customer, kinokopya nito ang card data. Noong 12 Setyembre, naglabas ang Procon-SP (ang ahensya para sa proteksyon ng consumer sa São Paulo) ng gabay para sa mga consumer tungkol sa scam. Nasa Magecart sa Pix ang buong pagsusuri.

Saan maaaring mapalitan ang QR

• Sa page ng tindahan. Tinatamaan nito ang lahat ng customer na pumipili ng Pix. Ito ang kaso noong Setyembre 2026 at ang paksa ng gabay na ito.
• Sa device ng customer. Pinapalitan ng virus at ng browser extension ang kinopya o ipinapakitang code, sa kahit anong tindahan. Basahin ang virus na nagpapalit ng Pix QR Code: sa device mo o sa tindahan?.
• Sa mensahe. QR o Pix key na ipinadala sa labas ng site ng taong nagpapanggap na tindahan.

Ganito rin sa text ng Copia e Cola, na siya mismong instruction ng pagbabayad.

Bakit hindi ito napapansin ng mga tradisyonal na depensa

Pinoprotektahan ng firewall, antifraud at payment gateway ang mga server at transaksyon. Tamang QR ang ginawa ng gateway. Nakikita ng antifraud ang isang valid na transaksyon, mula sa totoong customer, sa tamang halaga. Nangyayari ang pagpapalit pagkatapos nito, sa browser ng mamimili, kasabay ng lahat ng nilo-load ng page.

Kahit ang mga tool na ginawa para sa PCI DSS, na naglilista ng mga script sa page at nag-aalerto kapag may bago, ay maaaring manahimik kung nasa loob ng isang aprubadong file ang malicious code. Hindi nagbabago ang listahan, kaya walang alerto.

Ang mga senyales

Para sa merchant:

• Pagdami ng order na may pending o abandoned na Pix, nang walang pagbaba sa bisita sa checkout.
• Mga customer na may kumpletong resibo sa pangalan ng ibang kumpanya o tao.
• Mga file na nabago nang walang publikasyon, at mga hindi kilalang admin sa panel.

Para sa customer:

• Recipient na walang kaugnayan sa tindahan sa confirmation screen ng bangko.
• Order na nakatigil sa "naghihintay ng bayad" kahit kumpleto na ang Pix. Basahin ang nagbayad sa Pix pero pending pa ang order.

Ano ang dapat gawin ng customer

• Bago magbayad: tingnan ang pangalan at CNPJ (ang business registration number sa Brazil) ng recipient sa app ng bangko. Basahin ang binagong Pix QR Code: paano malalaman bago magbayad.
• Kung nakapagbayad na: gamitin ang opsyong Contestar Pix (I-dispute ang Pix) sa app ng bangko sa parehong araw, abisuhan ang tindahan at itabi ang resibo. 80 araw ang palugit ng MED (Mecanismo Especial de Devolução, ang refund mechanism ng Pix kapag may fraud), pero nakadepende ang refund kung may natitira pang balanse. Basahin ang maling Pix sa online shopping: pagkakamali o scam.

Ano ang dapat gawin ng merchant

1. I-update ang platform, theme at plugins at alisin ang hindi ginagamit.
2. Protektahan ang panel gamit ang two-factor authentication at suriin kung sino ang may access.
3. Bawasan sa mahalaga lang ang mga script sa checkout, at dapat may may-ari at dahilan ang bawat isa.
4. I-monitor ang live na page, gaya ng nakikita ito ng customer. Basahin ang paano i-monitor ang pagbabago sa checkout.
5. Ihambing ang ipinapakitang code sa inilabas na code at harangin ang hindi pagtutugma bago ang kumpirmasyon.
6. Bantayan ang rate ng pending na Pix araw-araw.
7. Ihanda ang customer service para sa customer na nagbayad sa Pix pero hindi pumasok ang order.

Hindi lang Pix

Ang parehong code na nagpapalit ng QR ay kaya ring palitan ang linha digitável (ang numero ng boleto) ng boleto (ang Brazilian na bank payment slip), ang address ng isang stablecoin wallet o ang QR ng ibang instant payment, at kaya nitong kopyahin ang data ng credit card at ng debit card. Ang pagprotekta sa checkout ay pagprotekta sa lahat ng payment method na ipinapakita rito.

Saan pumapasok ang Proteside

Ang Proteside ay isang cybersecurity layer na sinusuri, sa screen ng nagbabayad, kung ang payment data ay ang mismong inilabas ng nagbebenta, at hinaharangan ang pagpapalit bago ang kumpirmasyon. Hindi ito antifraud, firewall o gateway: gumagana ito katabi nila, sa kahit anong platform at sa kahit anong provider. Tingnan ang proteksyon ng Pix sa checkout at paano ito gumagana.