Magecart sur le Pix : l'attaque qui remplace le QR, pas la carte

Le Magecart sur le Pix (le système de paiement instantané de la Banque centrale du Brésil) est la version brésilienne d'une attaque ancienne : le code malveillant qui copiait autrefois les numéros de carte sur la page de paiement se met à remplacer le QR et le Pix Copia e Cola (le code de paiement en texte que le client copie puis colle dans l'application de sa banque). Le client paie le bon montant, dans la bonne boutique, et l'argent part sur un autre compte. En septembre 2026, ce schéma a été découvert dans 90 boutiques en ligne brésiliennes.

Le cas de septembre 2026

Le 1er septembre, le chercheur indépendant connu sous le nom d'eremit4 a publié sa découverte et a baptisé l'attaque « le nouveau magecart brésilien ». Kaspersky a confirmé la découverte et publié les chiffres le 9 septembre. Les faits publics, rassemblés par l'entreprise et par la presse :

• 90 boutiques de petite et moyenne taille infectées, toutes sur la même plateforme e-commerce open source, sans mises à jour régulières.
• Une attaque contre le site, pas contre l'ordinateur du client. Tous les acheteurs qui choisissaient le Pix dans ces boutiques recevaient le code remplacé.
• QR et Copia e Cola remplacés ensemble. Ceux qui payaient sur leur téléphone en copiant le code étaient touchés de la même façon que ceux qui scannaient.
• Aucun signe à l'écran. Selon Fabio Assolini, de Kaspersky, le remplacement ne laisse aucun indice visuel au client.
• La carte aussi. Quand le client choisissait la carte de crédit, le même code copiait les données pour les utiliser plus tard.
• Le signal pour le commerçant a été une hausse des abandons : les commandes avec Pix restaient en attente et n'étaient pas payées.

Trois jours plus tard, le Procon-SP (l'organisme de défense des consommateurs de l'État de São Paulo) a publié une recommandation aux consommateurs sur l'arnaque qui modifie le QR code du Pix lors des achats en ligne.

Ce qui change par rapport au Magecart sur la carte

Le mécanisme est le même : un code caché sur la page de paiement, activé uniquement au moment du paiement. La conséquence est différente.

• Le délai. Avec la carte, les données sont revendues ou utilisées des jours plus tard. Avec le Pix, l'argent part sur-le-champ.
• Qui paie la note en premier. Avec la carte, la boutique encaisse et le problème apparaît plus tard sous forme de fraude contre le client. Avec le Pix, la boutique n'encaisse rien, et le client croit avoir payé.
• La récupération. Avec la carte, il existe la contestation auprès de l'émetteur. Avec le Pix, le client demande le Mecanismo Especial de Devolução, le MED (Mecanismo Especial de Devolução, le mécanisme de remboursement du Pix en cas de fraude), qui ne rembourse que s'il reste un solde sur le compte qui a reçu l'argent. Selon la presse, les escrocs dispersent l'argent sur des dizaines de comptes en quelques heures.
• Ce que l'attaquant doit voler. Avec la carte, il doit lire les champs et envoyer les données à l'extérieur. Avec le Pix, il lui suffit de remplacer un texte et une image à l'écran. Rien n'a besoin de quitter la page, ce qui complique la détection pour ceux qui surveillent le trafic.

Pourquoi les défenses courantes ne voient rien

Un antifraude analyse la transaction, et la transaction est valide : bon montant, vrai compte, client légitime. La passerelle de paiement a généré le bon QR et l'a remis à la boutique. Le serveur de la boutique peut contenir le fichier infecté, mais il peut aussi recevoir le code depuis une adresse externe, chargé uniquement dans le navigateur.

Un outil qui liste les scripts et alerte quand un nouveau apparaît peut lui aussi rester muet, si le code se trouve dans un fichier déjà autorisé.

La question qui tranche est ailleurs : le QR que voit le client est-il le même que celui émis par la boutique ?

Ce qu'ont fait certaines boutiques

Selon la presse, les commerçants touchés ont choisi trois voies : afficher le CNPJ (le numéro d'immatriculation des entreprises au Brésil) et le nom de l'entreprise à côté du QR, retirer le QR de la page et demander le justificatif manuellement, ou passer par la page de paiement d'un intermédiaire. Les trois réduisent les dégâts. Aucune ne supprime le code de la boutique.

Afficher le CNPJ aide le client attentif, mais le même code qui remplace le QR peut remplacer ce texte. Retirer le QR fait chuter la conversion du Pix, qui existe justement pour être rapide. Passer par la page d'un intermédiaire met la demande de paiement hors de portée du code installé dans la boutique, au prix d'un parcours d'achat modifié, et le code reste en place, à attendre le prochain formulaire.

Comment la boutique se protège du Magecart sur le Pix

1. Mettez à jour la plateforme, le thème et les plugins. Les 90 boutiques avaient en commun une maintenance en retard.
2. Activez la double authentification sur le back-office et revoyez qui y a accès.
3. Suivez le taux de Pix en attente jour par jour. Un bond sans raison commerciale est le premier signal.
4. Comparez le QR affiché avec le QR émis. La vérification doit se faire dans le navigateur du client, une fois la page chargée, car c'est là que le remplacement a lieu.
5. Bloquez avant le paiement. Alerter après coup aide à enquêter, mais la vente et l'argent du client sont déjà partis.
6. Préparez le service client. Prévoyez la marche à suivre quand le client a payé par Pix et que la commande n'a pas été validée.

Pour le tableau complet, de la carte au boleto (le bordereau de paiement bancaire brésilien), lisez Magecart : définition et protection de l'e-commerce.

Le rôle de Proteside

Proteside assure la vérification de l'étape 4 et le blocage de l'étape 5. Quand la boutique ou le prestataire génère la demande de paiement, le QR et le Copia e Cola émis sont enregistrés. Sur l'écran du client, il compare ce qui est affiché et copié avec cet enregistrement et, en cas de différence, affiche un avertissement à la place du QR et ne fournit pas le code remplacé. Chaque tentative devient une alerte pour la boutique, avec la commande, le montant et la destination trouvée. Voir la protection du Pix sur la page de paiement.