Arnaque au Pix au paiement : le QR remplacé et comment l'éviter

L'arnaque au Pix (le système de paiement instantané de la Banque centrale du Brésil) sur la page de paiement se produit dans des boutiques en ligne légitimes. Un code malveillant installé sur la page de paiement remplace le QR code et le Pix Copia e Cola (le code de paiement en texte que le client copie puis colle dans l'application de sa banque) par d'autres, du montant exact de l'achat, qui envoient l'argent sur le compte de l'escroc. Pas de faux site, pas de lien suspect. Le client paie, la boutique ne reçoit rien, et tous deux ne s'en aperçoivent que des jours plus tard.

Ce guide rassemble ce que l'on sait de l'arnaque et renvoie vers les articles qui détaillent chaque point.

Comment fonctionne l'arnaque

1. La boutique génère une demande de paiement Pix légitime, avec le bon QR et le bon Copia e Cola.
2. Un code qui s'exécute sur la page, issu d'une intrusion, d'un plugin ou d'un thème compromis ou d'un script tiers, remplace le QR affiché et le texte fourni par le bouton de copie.
3. Le client paie le bon montant, voit un nom plausible dans l'application de sa banque et confirme.
4. L'argent arrive sur un compte de transit et il est dispersé en quelques heures.
5. La commande reste en attente. La réclamation arrive quand le produit n'est pas expédié.

Le même mécanisme sert depuis des années à voler des cartes bancaires et porte le nom de Magecart. Voir Magecart : définition et protection de l'e-commerce.

Le cas de septembre 2026

Le 1er septembre, le chercheur indépendant connu sous le nom d'eremit4 a révélé la campagne. Kaspersky a confirmé 90 boutiques de petite et moyenne taille touchées, toutes sur la même plateforme e-commerce open source et avec une maintenance en retard, et a indiqué que l'arnaque était active depuis juin 2025. Le code remplaçait le QR et le Copia e Cola et, quand le client choisissait la carte de crédit, copiait ses données. Le 12 septembre, le Procon-SP (l'organisme de défense des consommateurs de l'État de São Paulo) a publié une recommandation aux consommateurs sur l'arnaque. L'analyse complète se trouve dans Magecart sur le Pix.

Où le QR peut être remplacé

• Sur la page de la boutique. Cela touche tous les clients qui choisissent le Pix. C'est le cas de septembre 2026 et le sujet de ce guide.
• Sur l'appareil du client. Des virus et des extensions de navigateur remplacent le code copié ou affiché, dans n'importe quelle boutique. Voir virus qui remplace le QR code Pix : sur votre appareil ou dans la boutique ?.
• Dans un message. Un QR ou une clé Pix envoyés en dehors du site par quelqu'un qui se fait passer pour la boutique.

C'est vrai aussi pour le texte du Copia e Cola, qui est l'instruction de paiement elle-même.

Pourquoi les défenses traditionnelles ne voient rien

Pare-feu, antifraude et passerelle de paiement protègent les serveurs et les transactions. La passerelle a généré le bon QR. L'antifraude voit une transaction valide, d'un vrai client, du bon montant. Le remplacement a lieu ensuite, dans le navigateur de l'acheteur, avec tout ce que la page charge.

Même les outils conçus pour le PCI DSS, qui listent les scripts de la page et alertent quand un nouveau apparaît, peuvent rester muets si le code malveillant se trouve dans un fichier déjà autorisé.

Les signes

Pour le commerçant :

• Une hausse des commandes avec un Pix en attente ou abandonné, sans baisse des visites sur la page de paiement.
• Des clients avec un justificatif de paiement validé au nom d'une autre entreprise ou d'une autre personne.
• Des fichiers modifiés sans mise en ligne, des administrateurs inconnus dans le back-office.

Pour le client :

• Un bénéficiaire sans lien avec la boutique sur l'écran de confirmation de la banque.
• Une commande bloquée sur « en attente de paiement » après un Pix effectué. Voir Pix payé mais commande toujours en attente.

Ce que le client doit faire

• Avant de payer : vérifier le nom et le CNPJ (le numéro d'immatriculation des entreprises au Brésil) du bénéficiaire dans l'application de la banque. Voir QR code Pix modifié : comment le repérer avant de payer.
• S'il a déjà payé : utiliser l'option « Contestar Pix » (Contester le Pix) dans l'application de la banque le jour même, prévenir la boutique et garder le justificatif. Le délai du MED (Mecanismo Especial de Devolução, le mécanisme de remboursement du Pix en cas de fraude) est de 80 jours, mais le remboursement dépend du solde restant. Voir Pix erroné sur un achat en ligne : erreur ou arnaque.

Ce que le commerçant doit faire

1. Mettez à jour la plateforme, le thème et les plugins et supprimez ce qui ne sert pas.
2. Protégez le back-office avec la double authentification et revoyez qui y a accès.
3. Réduisez les scripts de la page de paiement à l'essentiel, chacun avec un responsable et une raison d'être.
4. Surveillez la page en production, telle que le client la voit. Voir comment surveiller les modifications de la page de paiement.
5. Comparez le code affiché avec le code émis et bloquez toute divergence avant la confirmation.
6. Suivez le taux de Pix en attente tous les jours.
7. Préparez le service client pour le client qui a payé et n'a rien reçu.

Pas seulement le Pix

Le même code qui remplace le QR peut remplacer la linha digitável (le numéro du boleto) du boleto (le bordereau de paiement bancaire brésilien), l'adresse d'un portefeuille de stablecoins ou le QR d'autres paiements instantanés, et il peut copier les données de la carte de crédit et de la carte de débit. Protéger la page de paiement, c'est protéger tous les moyens de paiement qui y sont affichés.

Le rôle de Proteside

Proteside est une couche de cybersécurité qui vérifie, sur l'écran de celui qui paie, que les données de paiement sont bien celles émises par le vendeur, et bloque le remplacement avant la confirmation. Ce n'est ni un antifraude, ni un pare-feu, ni une passerelle de paiement : il fonctionne à côté d'eux, sur n'importe quelle plateforme et avec n'importe quel prestataire. Voir la protection du Pix sur la page de paiement et comment ça marche.