Magecart pada Pix: serangan yang menukar kod QR, bukan kad

Magecart pada Pix (sistem pembayaran segera Banco Central do Brasil, bank pusat Brazil) ialah versi Brazil bagi serangan lama: kod berniat jahat yang dahulu menyalin nombor kad pada halaman pembayaran kini menukar kod QR dan Pix Copia e Cola (kod pembayaran dalam bentuk teks yang pelanggan salin dan tampal dalam aplikasi bank). Pelanggan membayar jumlah yang betul, di kedai yang betul, dan wang pergi ke akaun lain. Pada September 2026, corak ini ditemui di 90 kedai dalam talian Brazil.

Kes September 2026

Pada 1 September, penyelidik bebas yang dikenali sebagai eremit4 menerbitkan penemuan itu dan menggelar serangan tersebut "Magecart baharu Brazil". Kaspersky mengesahkan penemuan itu dan mendedahkan angkanya pada 9 September. Fakta awam, yang dihimpunkan oleh syarikat itu dan media:

• 90 kedai bersaiz kecil dan sederhana dijangkiti, semuanya menggunakan platform e-dagang sumber terbuka yang sama, tanpa kemas kini terkini.
• Serangan pada laman web, bukan pada komputer pelanggan. Semua pembeli yang memilih Pix di kedai-kedai itu menerima kod yang telah ditukar.
• Kod QR dan Copia e Cola ditukar serentak. Pembeli yang membayar melalui telefon dengan menyalin kod terjejas sama seperti mereka yang mengimbas.
• Tiada tanda pada skrin. Menurut Fabio Assolini dari Kaspersky, pertukaran itu tidak meninggalkan sebarang petunjuk visual kepada pelanggan.
• Kad juga terjejas. Apabila pelanggan memilih kad kredit, kod yang sama menyalin data untuk digunakan kemudian.
• Tanda bagi peniaga ialah peningkatan pembelian yang tidak diteruskan: pesanan dengan Pix kekal tertunda dan tidak dibayar.

Tiga hari kemudian, Procon-SP (agensi perlindungan pengguna São Paulo) menerbitkan panduan kepada pengguna tentang penipuan yang mengubah kod QR Pix dalam pembelian dalam talian.

Apa bezanya dengan Magecart pada kad

Mekanismenya sama: kod tersembunyi pada halaman pembayaran, aktif hanya di checkout. Akibatnya berbeza.

• Masa. Pada kad, data dijual atau digunakan beberapa hari kemudian. Pada Pix, wang keluar serta-merta.
• Siapa yang menanggung kerugian dahulu. Pada kad, kedai menerima wang dan masalah muncul kemudian sebagai penipuan terhadap pelanggan. Pada Pix, kedai tidak menerima wang, dan pelanggan percaya dia sudah membayar.
• Pemulihan. Pada kad, ada jalan pertikaian melalui bank pengeluar. Pada Pix, pelanggan memohon MED (Mecanismo Especial de Devolução, mekanisme pemulangan dana Pix sekiranya berlaku penipuan), yang hanya memulangkan wang jika masih ada baki dalam akaun penerima. Menurut laporan media, penipu memecahkan wang ke berpuluh-puluh akaun dalam beberapa jam.
• Apa yang perlu dicuri penyerang. Pada kad, dia perlu membaca medan dan menghantar data keluar. Pada Pix, cukup dengan menukar satu teks dan satu imej pada skrin. Tiada apa yang perlu keluar dari halaman, jadi lebih sukar dikesan oleh pihak yang memantau trafik.

Mengapa pertahanan biasa tidak menyedarinya

Sistem antipenipuan menganalisis transaksi, dan transaksi itu sah: jumlah betul, akaun sebenar, pelanggan tulen. Gateway menjana kod QR yang betul dan menyerahkannya kepada kedai. Pelayan kedai mungkin menyimpan fail yang dijangkiti, tetapi mungkin juga menerima kod dari alamat luar, yang dimuatkan hanya dalam pelayar.

Alat yang menyenaraikan skrip dan memberi amaran apabila skrip baharu muncul juga boleh kekal senyap, jika kod berada di dalam fail yang sudah dibenarkan.

Soalan yang menyelesaikan kes ini lain: adakah kod QR yang dilihat pelanggan sama dengan kod QR yang dikeluarkan kedai?

Apa yang dilakukan sesetengah kedai

Menurut laporan media, peniaga yang terjejas mengambil tiga langkah: memaparkan CNPJ (nombor pendaftaran syarikat di Brazil) dan nama syarikat di sebelah kod QR, membuang kod QR dari halaman dan meminta bukti pembayaran secara manual, atau beralih kepada halaman pembayaran pihak perantara. Ketiga-tiganya mengurangkan kerosakan. Tiada satu pun yang membuang kod itu dari kedai.

Memaparkan CNPJ membantu pelanggan yang teliti, tetapi kod yang sama yang menukar kod QR boleh menukar teks itu. Membuang kod QR menjatuhkan kadar penukaran Pix, yang wujud justeru untuk menjadi pantas. Menggunakan halaman pihak perantara meletakkan tagihan di luar jangkauan kod yang dipasang di kedai, dengan kos mengubah perjalanan pembelian, dan kod itu kekal di situ, menunggu borang seterusnya.

Cara kedai melindungi diri daripada Magecart pada Pix

1. Kemas kini platform, tema dan plugin. Persamaan 90 kedai itu ialah penyelenggaraan yang tertangguh.
2. Aktifkan pengesahan dua faktor pada panel dan semak siapa yang ada akses.
3. Pantau kadar Pix tertunda setiap hari. Lonjakan tanpa sebab komersial ialah tanda pertama.
4. Bandingkan kod QR yang dipaparkan dengan kod QR yang dikeluarkan. Semakan mesti berlaku dalam pelayar pelanggan, selepas halaman dimuatkan, kerana di situlah pertukaran berlaku.
5. Sekat sebelum pembayaran. Amaran selepas kejadian membantu siasatan, tetapi jualan dan wang pelanggan sudah hilang.
6. Sediakan khidmat pelanggan untuk pelanggan yang sudah membayar Pix tetapi pesanannya tidak masuk.

Untuk gambaran penuh, dari kad hingga boleto (boleto bancário, slip pembayaran bank Brazil), baca Magecart: apa itu dan cara melindungi e-dagang.

Di mana Proteside berperanan

Proteside melakukan semakan pada langkah 4 dan sekatan pada langkah 5. Apabila kedai atau penyedia menjana tagihan, kod QR dan Copia e Cola yang dikeluarkan direkodkan. Pada skrin pelanggan, ia membandingkan apa yang dipaparkan dan disalin dengan rekod itu dan, jika ada perbezaan, memaparkan amaran di tempat kod QR dan tidak menyerahkan kod yang telah ditukar. Setiap percubaan menjadi amaran kepada kedai, dengan pesanan, jumlah dan destinasi yang ditemui. Lihat perlindungan Pix di checkout.