Virus qui remplace le QR code Pix : appareil ou boutique ?

Le virus qui remplace le QR code du Pix (le système de paiement instantané de la Banque centrale du Brésil) peut se trouver à deux endroits : sur l'appareil de l'acheteur ou sur le site de la boutique. Sur l'appareil, il remplace le code copié ou l'image affichée, dans toutes les boutiques que vous visitez. Sur le site, il remplace le QR pour tous les clients de cette boutique, même si l'ordinateur de chacun est sain. Savoir lequel des deux vous concerne change ce qu'il faut faire.

Type 1 : le virus sur votre ordinateur ou votre téléphone

Ce sont des programmes qui s'installent sur l'appareil et attendent un paiement. Les cas documentés par des chercheurs agissent de trois façons :

• En remplaçant ce que vous copiez. Quand il reconnaît un code Pix dans le presse-papiers, le programme le remplace par celui de l'escroc. Vous le collez dans l'application de la banque et vous payez quelqu'un d'autre. Kaspersky a décrit ce comportement en 2023 dans une famille appelée GoPix.
• En modifiant la page que vous voyez. Les versions plus récentes s'insèrent dans le navigateur et modifient le contenu des pages. En mars 2026, Kaspersky a publié une analyse du GoPix actuel : il s'exécute uniquement dans la mémoire de l'ordinateur, arrive par de fausses annonces sur les moteurs de recherche et surveille les transactions Pix et les paiements par boleto (le bordereau de paiement bancaire brésilien).
• Les extensions de navigateur. En 2023, Trend Micro a documenté des extensions de navigateur malveillantes visant les utilisateurs brésiliens, capables de lire et de modifier les pages ouvertes, y compris celles des banques.

Comment le reconnaître : le problème apparaît dans plus d'une boutique, ou avec des codes copiés à des endroits différents. Il peut aussi se produire en payant des boletos ou des factures.

Type 2 : le code malveillant sur le site de la boutique

Ici, le virus n'est pas chez vous. Il a été placé sur la page de paiement de la boutique, via une faille non corrigée, un plugin compromis ou un mot de passe d'administration divulgué. Quand n'importe quel client choisit le Pix, le code remplace le QR et le Pix Copia e Cola (le code de paiement en texte que le client copie puis colle dans l'application de sa banque) par ceux de l'escroc.

En septembre 2026, Kaspersky a confirmé 90 boutiques en ligne brésiliennes dans cette situation. L'entreprise a souligné que le criminel infecte le site, et non l'ordinateur de la victime, et que c'est pourquoi tous les clients de la boutique sont touchés. L'attaque a été surnommée « nouveau magecart brésilien », et nous expliquons le terme dans Magecart sur le Pix.

Comment le reconnaître : le problème ne se produit que dans cette boutique, et d'autres clients signalent la même chose. Un antivirus sur votre ordinateur ne trouvera rien, parce qu'il n'y a rien sur votre ordinateur.

Comment savoir où se trouve le problème

Trois questions aident à distinguer les cas :

1. Est-ce arrivé dans plus d'une boutique, ou avec des boletos et des factures ? Si oui, soupçonnez votre appareil.
2. La boutique confirme-t-elle que d'autres clients ont eu le même problème ? Si oui, le problème vient du site.
3. Avez-vous copié le code ou scanné le QR avec votre téléphone ? Si vous avez scanné avec votre téléphone le QR affiché sur l'écran de l'ordinateur et que le bénéficiaire était quand même différent, l'image était déjà remplacée à l'écran. Cela désigne le site ou le navigateur de l'ordinateur, et non le téléphone.

Que faire si le virus est sur votre appareil

1. Contestez le Pix dans l'application de la banque via l'option « Contestar Pix » (Contester le Pix), en indiquant arnaque ou fraude, le plus tôt possible.
2. Lancez une analyse avec un antivirus à jour et supprimez les extensions de navigateur que vous ne reconnaissez pas ou que vous n'utilisez pas.
3. Changez vos mots de passe de banque, de messagerie et de boutiques depuis un autre appareil sain.
4. Mettez à jour le système et le navigateur.
5. Si le problème persiste, confiez l'appareil à un technicien de confiance ou réinstallez le système.

Que faire si le code est sur le site de la boutique

1. Contestez le Pix dans l'application de la banque de la même façon.
2. Prévenez la boutique avec le justificatif. Elle ne sait peut-être pas qu'elle a été touchée. Votre signalement protège les prochains clients.
3. Ne payez plus dans cette boutique tant qu'elle n'a pas confirmé avoir corrigé le problème.
4. Conservez les preuves et, si vous le souhaitez, déposez plainte auprès de la police.

Pour la marche à suivre complète de contestation, voir Pix erroné sur un achat en ligne : erreur ou arnaque.

La défense qui vaut dans les deux cas

Avant de confirmer un Pix, lisez le nom et le CNPJ (le numéro d'immatriculation des entreprises au Brésil) du bénéficiaire dans l'application de la banque. Le virus peut remplacer le code, mais l'application de la banque montre où l'argent va réellement. Si le nom n'a aucun rapport avec la boutique, arrêtez-vous. Voir ce qu'il faut vérifier avant de payer.

Pour les commerçants

La boutique ne contrôle pas l'ordinateur du client, mais elle contrôle sa propre page. Et même quand le virus est sur l'appareil du client, c'est la boutique qui ne reçoit pas l'argent et qui reçoit la réclamation. Proteside vérifie, sur l'écran de celui qui paie, que le QR et le Copia e Cola affichés et copiés sont bien ceux émis par la boutique, y compris quand la modification vient d'une extension du navigateur, et bloque le remplacement avant la confirmation. Voir la protection du Pix sur la page de paiement.