चेकआउट पर Pix ठगी: QR कैसे बदला जाता है और कैसे बचें

चेकआउट पर Pix (ब्राज़ील के केंद्रीय बैंक Banco Central do Brasil की तत्काल भुगतान प्रणाली) की ठगी असली ऑनलाइन स्टोर के अंदर होती है। भुगतान पेज पर डाला गया दुर्भावनापूर्ण कोड QR कोड और Pix Copia e Cola (भुगतान का टेक्स्ट कोड, जिसे ग्राहक कॉपी करके अपने बैंक ऐप में पेस्ट करता है) को दूसरे कोड से बदल देता है। नया कोड खरीद की ठीक उसी रकम का होता है और पैसा ठग के खाते में भेज देता है। न कोई नकली साइट होती है, न कोई संदिग्ध लिंक। ग्राहक भुगतान करता है, स्टोर को पैसा नहीं मिलता, और दोनों को कई दिन बाद पता चलता है।

यह गाइड इस ठगी के बारे में जो कुछ पता है उसे एक जगह रखती है और बताती है कि हर हिस्से का विस्तार किस लेख में है।

ठगी कैसे काम करती है

1. स्टोर सही QR और सही Copia e Cola के साथ एक असली Pix भुगतान अनुरोध बनाता है।
2. पेज पर चलने वाला एक कोड, जो किसी सेंधमारी से, किसी हैक हुए प्लगइन या थीम से या किसी थर्ड-पार्टी स्क्रिप्ट से आया है, दिखाए गए QR को और कॉपी बटन से मिलने वाले टेक्स्ट को बदल देता है।
3. ग्राहक सही रकम चुकाता है, बैंक ऐप में एक भरोसेमंद लगने वाला नाम देखता है और पुष्टि कर देता है।
4. पैसा एक बिचौलिए खाते में जाता है और कुछ ही घंटों में कई जगह बिखेर दिया जाता है।
5. ऑर्डर पेंडिंग रहता है। शिकायत तब आती है जब सामान नहीं भेजा जाता।

यही तरीका सालों से कार्ड चुराने के लिए इस्तेमाल होता रहा है और Magecart के नाम से जाना जाता है। देखें Magecart क्या है और ई-कॉमर्स को कैसे बचाएँ।

सितंबर 2026 का मामला

1 सितंबर को eremit4 नाम से जाने जाने वाले एक स्वतंत्र शोधकर्ता ने इस अभियान का खुलासा किया। Kaspersky ने 90 छोटे और मझोले स्टोर के प्रभावित होने की पुष्टि की। सभी एक ही ओपन-सोर्स ई-कॉमर्स प्लेटफ़ॉर्म पर थे और उनका रखरखाव पिछड़ा हुआ था। Kaspersky ने यह भी बताया कि ठगी जून 2025 से चल रही थी। कोड QR और Copia e Cola बदल देता था, और जब ग्राहक क्रेडिट कार्ड चुनता था, तो उसका डेटा कॉपी कर लेता था। 12 सितंबर को Procon-SP (साओ पाउलो का उपभोक्ता संरक्षण संस्थान) ने इस ठगी पर उपभोक्ताओं के लिए सलाह जारी की। पूरा विश्लेषण Pix पर Magecart में है।

QR कहाँ बदला जा सकता है

• स्टोर के पेज पर। Pix चुनने वाले हर ग्राहक पर असर पड़ता है। सितंबर 2026 का मामला यही था, और यह गाइड इसी के बारे में है।
• ग्राहक के डिवाइस में। वायरस और ब्राउज़र एक्सटेंशन किसी भी स्टोर में कॉपी किया गया या दिखाया गया कोड बदल देते हैं। देखें Pix का QR कोड बदलने वाला वायरस: आपके डिवाइस में या स्टोर में?।
• मैसेज में। स्टोर होने का दिखावा करने वाला कोई व्यक्ति साइट के बाहर QR या Pix कुंजी भेजता है।

यही बात Copia e Cola के टेक्स्ट पर भी लागू होती है, क्योंकि वह खुद भुगतान का निर्देश है।

पारंपरिक सुरक्षा इसे क्यों नहीं पकड़ती

फ़ायरवॉल, एंटी-फ्रॉड और पेमेंट गेटवे सर्वर और लेन-देन की रक्षा करते हैं। गेटवे ने सही QR बनाया था। एंटी-फ्रॉड को एक असली ग्राहक का, सही रकम का, वैध लेन-देन दिखता है। बदलाव इसके बाद होता है, खरीदार के ब्राउज़र में, उन सब चीज़ों के साथ जो पेज लोड करता है।

PCI DSS के लिए बने टूल भी, जो पेज की स्क्रिप्ट की सूची रखते हैं और नई स्क्रिप्ट आने पर चेतावनी देते हैं, चुप रह सकते हैं, अगर दुर्भावनापूर्ण कोड किसी पहले से मंज़ूर फ़ाइल के अंदर हो।

संकेत

स्टोर मालिक के लिए:

• चेकआउट पर आने वालों में कमी के बिना, Pix वाले पेंडिंग या छोड़े गए ऑर्डर में बढ़ोतरी।
• ऐसे ग्राहक जिनकी रसीद पूरी हो चुकी है, लेकिन किसी दूसरी कंपनी या व्यक्ति के नाम पर।
• बिना किसी पब्लिश के बदली हुई फ़ाइलें, पैनल में अनजान एडमिन।

ग्राहक के लिए:

• बैंक की पुष्टि स्क्रीन पर ऐसा प्राप्तकर्ता जिसका स्टोर से कोई संबंध नहीं।
• Pix पूरा होने के बाद भी ऑर्डर “भुगतान की प्रतीक्षा” में अटका हुआ। देखें Pix चुका दिया और ऑर्डर अब भी पेंडिंग है।

ग्राहक क्या करे

• भुगतान से पहले: बैंक ऐप में प्राप्तकर्ता का नाम और CNPJ (ब्राज़ील में कंपनियों का पंजीकरण नंबर) जाँचें। देखें बदला हुआ Pix QR कोड: भुगतान से पहले कैसे पहचानें।
• अगर भुगतान कर चुके हैं: उसी दिन बैंक ऐप में Contestar Pix (“Pix पर आपत्ति दर्ज करें”) विकल्प इस्तेमाल करें, स्टोर को बताएँ और रसीद संभालकर रखें। MED (Mecanismo Especial de Devolução, धोखाधड़ी होने पर Pix का पैसा लौटाने की विशेष व्यवस्था) की समय-सीमा 80 दिन है, लेकिन पैसा तभी लौटता है जब खाते में बैलेंस बचा हो। देखें ऑनलाइन खरीद में गलत Pix: गलती या ठगी।

स्टोर मालिक क्या करे

1. प्लेटफ़ॉर्म, थीम और प्लगइन अपडेट करें और जो इस्तेमाल नहीं होता उसे हटा दें।
2. पैनल को टू-फ़ैक्टर ऑथेंटिकेशन से सुरक्षित करें और देखें कि किसके पास एक्सेस है।
3. चेकआउट की स्क्रिप्ट को ज़रूरी स्क्रिप्ट तक सीमित करें, हर एक का एक ज़िम्मेदार और एक कारण हो।
4. लाइव पेज की निगरानी करें, वैसे जैसे ग्राहक उसे देखता है। देखें चेकआउट में बदलावों की निगरानी कैसे करें।
5. दिखाए गए कोड को जारी किए गए कोड से मिलाएँ और पुष्टि से पहले अंतर को रोकें।
6. पेंडिंग Pix की दर रोज़ देखें।
7. सपोर्ट टीम को तैयार रखें उस ग्राहक के लिए जिसने भुगतान किया पर सामान नहीं मिला।

सिर्फ़ Pix नहीं

QR बदलने वाला वही कोड बोलेटो (boleto, ब्राज़ील की बैंक भुगतान पर्ची) का भुगतान नंबर (linha digitável), किसी स्टेबलकॉइन वॉलेट का पता या दूसरे तत्काल भुगतानों का QR भी बदल सकता है, और क्रेडिट कार्ड और डेबिट कार्ड का डेटा भी कॉपी कर सकता है। चेकआउट की सुरक्षा का मतलब है उस पर दिखने वाले हर भुगतान तरीके की सुरक्षा।

Proteside कहाँ काम आता है

Proteside एक साइबर सुरक्षा परत है जो भुगतान करने वाले की स्क्रीन पर जाँचती है कि भुगतान का डेटा वही है जो विक्रेता ने जारी किया था, और पुष्टि से पहले बदलाव रोक देती है। यह एंटी-फ्रॉड, फ़ायरवॉल या गेटवे नहीं है: यह उनके साथ, किसी भी प्लेटफ़ॉर्म पर और किसी भी प्रदाता के साथ काम करती है। देखें चेकआउट पर Pix की सुरक्षा और यह कैसे काम करता है।