QR code Pix modifié : le repérer avant de payer et que faire

Un QR code Pix (le système de paiement instantané de la Banque centrale du Brésil) modifié ressemble au vrai et réclame le même montant. Ce qui change, c'est le bénéficiaire. C'est pourquoi la seule façon de s'en apercevoir avant de payer est de regarder le bénéficiaire dans l'application de la banque : le nom et le CNPJ (le numéro d'immatriculation des entreprises au Brésil) affichés sur l'écran de confirmation doivent être ceux de la boutique ou de l'entreprise qui traite ses paiements.

Comment le QR code du Pix est modifié

La modification peut se produire à trois endroits :

• Sur la page de la boutique. Un code malveillant installé sur le site remplace le QR et le Pix Copia e Cola (le code de paiement en texte que le client copie puis colle dans l'application de sa banque) au moment du paiement. En septembre 2026, Kaspersky a confirmé 90 boutiques en ligne brésiliennes dans cette situation. Le client était sur le bon site et n'a rien remarqué.
• Sur votre ordinateur ou votre téléphone. Un logiciel malveillant ou une extension de navigateur remplace le code copié ou l'image affichée. Nous expliquons ce cas dans virus qui remplace le QR code Pix.
• Dans un message. Un QR envoyé par WhatsApp, par e-mail ou sur un réseau social, en dehors du site, par quelqu'un qui se fait passer pour la boutique.

Dans les trois cas, le montant est généralement le bon. L'arnaque fonctionne justement parce que rien dans le montant n'attire l'attention.

Ce qu'il faut vérifier avant de confirmer le Pix

1. Le nom du bénéficiaire. Ce doit être la raison sociale de la boutique, son nom commercial ou celui d'un intermédiaire de paiement connu. Un nom de particulier ou une entreprise sans rapport avec l'achat est une raison de s'arrêter.
2. Le CNPJ. Beaucoup de boutiques affichent leur CNPJ en bas de page du site. Comparez-le avec celui qui apparaît dans l'application de la banque.
3. L'établissement de destination. L'application indique généralement la banque ou l'établissement qui va recevoir l'argent. Si la boutique annonce qu'elle encaisse via un prestataire, c'est lui qui doit apparaître.
4. Le montant et la description. Un QR de la boutique comporte généralement le numéro de commande ou le nom de la boutique dans la description.

Le Procon-SP (l'organisme de défense des consommateurs de l'État de São Paulo) a fait la même recommandation en septembre 2026 : vérifier le montant ne suffit pas, il faut vérifier le nom et le CNPJ du destinataire et ne pas finaliser le paiement s'ils sont différents ou inconnus.

Une nuance honnête : dans les petites boutiques, le Pix peut être légitimement au nom du propriétaire. Si le nom ne correspond pas, interrogez la boutique par un canal que vous avez trouvé vous-même, comme le téléphone ou le chat du site, avant de payer.

Les signes que quelque chose ne va pas

• Le nom du bénéficiaire n'a aucun rapport avec la boutique.
• La commande reste « en attente de paiement » longtemps après que la banque a affiché le Pix comme effectué.
• La boutique dit ne rien avoir reçu, et le justificatif indique un autre CNPJ.
• Le QR est arrivé par message, et non sur la page de paiement du site.

J'ai payé un QR modifié : que faire maintenant

1. Ouvrez l'application de votre banque et utilisez l'option « Contestar Pix » (Contester le Pix). Ce bouton en libre-service existe depuis octobre 2025. Choisissez la transaction et le motif arnaque ou fraude.
2. Faites-le le jour même si possible. Le délai pour demander le remboursement via le Mecanismo Especial de Devolução, le MED (Mecanismo Especial de Devolução, le mécanisme de remboursement du Pix en cas de fraude), est de 80 jours, mais l'argent ne revient que s'il reste un solde sur les comptes qui l'ont reçu. Les escrocs dispersent généralement le montant en quelques heures.
3. Prévenez la boutique. Envoyez le justificatif et expliquez que le bénéficiaire n'est pas le bon. Cela aide la boutique à découvrir et à corriger la faille, et protège les autres clients.
4. Conservez tout. Justificatif, captures d'écran de la page de paiement, échanges avec la boutique et numéro de dossier de la banque.
5. Déposez plainte auprès de la police. C'est facultatif pour la contestation, mais cela renforce la demande et aide la police à relier les affaires.

Si vous n'êtes pas sûr qu'il s'agisse d'une arnaque, voir Pix erroné sur un achat en ligne : erreur ou arnaque. La différence détermine si le MED s'applique à votre cas.

Pourquoi ce n'est pas la faute du client

Quand la modification a lieu sur le site de la boutique, le client a tout fait correctement : il est allé à la bonne adresse, a choisi le produit et a payé le montant demandé. Vérifier le bénéficiaire est une bonne défense, mais elle ne devrait pas être la seule. C'est la page de la boutique qui affiche le QR, et c'est là qu'il doit être protégé.

Pour les commerçants

Si des clients commencent à envoyer des justificatifs au nom d'une autre entreprise, traitez la situation comme un incident. Consultez le guide complet de l'arnaque au Pix sur la page de paiement.

Proteside protège ce point : il vérifie, sur l'écran de celui qui paie, que le QR et le Copia e Cola sont bien ceux émis par la boutique, et bloque le remplacement avant la confirmation. Voir la protection du Pix sur la page de paiement.