Penipuan Pix di checkout: cara kod QR ditukar dan cara mengelak

Penipuan Pix (sistem pembayaran segera Banco Central do Brasil, bank pusat Brazil) di checkout berlaku di dalam kedai dalam talian yang sah. Kod berniat jahat yang dipasang pada halaman pembayaran menukar kod QR dan Pix Copia e Cola (kod pembayaran dalam bentuk teks yang pelanggan salin dan tampal dalam aplikasi bank) kepada kod lain, dengan jumlah tepat pembelian, yang menghantar wang ke akaun penipu. Tiada laman palsu dan tiada pautan mencurigakan. Pelanggan membayar, kedai tidak menerima wang, dan kedua-duanya hanya sedar beberapa hari kemudian.

Panduan ini menghimpunkan apa yang diketahui tentang penipuan ini dan menunjukkan artikel yang menghuraikan setiap bahagiannya.

Cara penipuan ini berlaku

1. Kedai menjana tagihan Pix yang sah, dengan kod QR dan Copia e Cola yang betul.
2. Kod yang berjalan pada halaman, hasil pencerobohan, plugin atau tema yang terjejas, atau skrip pihak ketiga, menggantikan kod QR yang dipaparkan dan teks yang diberikan oleh butang salin.
3. Pelanggan membayar jumlah yang betul, melihat nama yang munasabah dalam aplikasi bank dan mengesahkan.
4. Wang masuk ke akaun perantara dan dipecahkan ke banyak akaun dalam beberapa jam.
5. Pesanan kekal tertunda. Aduan hanya tiba apabila produk tidak dihantar.

Mekanisme yang sama sudah lama digunakan untuk mencuri data kad dan dikenali sebagai Magecart. Lihat Magecart: apa itu dan cara melindungi e-dagang.

Kes September 2026

Pada 1 September, penyelidik bebas yang dikenali sebagai eremit4 mendedahkan kempen ini. Kaspersky mengesahkan 90 kedai bersaiz kecil dan sederhana terjejas, semuanya menggunakan platform e-dagang sumber terbuka yang sama dengan penyelenggaraan yang tertangguh, dan melaporkan bahawa penipuan ini aktif sejak Jun 2025. Kod itu menukar kod QR dan Copia e Cola dan, apabila pelanggan memilih kad kredit, menyalin data kad. Pada 12 September, Procon-SP (agensi perlindungan pengguna São Paulo) menerbitkan panduan kepada pengguna tentang penipuan ini. Analisis penuh ada dalam Magecart pada Pix.

Di mana kod QR boleh ditukar

• Pada halaman kedai. Menjejaskan semua pelanggan yang memilih Pix. Inilah kes September 2026 dan topik panduan ini.
• Pada peranti pelanggan. Virus dan sambungan pelayar menukar kod yang disalin atau dipaparkan, di mana-mana kedai. Lihat virus yang menukar kod QR Pix: dalam peranti anda atau di kedai?.
• Dalam mesej. Kod QR atau kunci Pix yang dihantar di luar laman web oleh orang yang menyamar sebagai kedai.

Perkara yang sama berlaku pada teks Copia e Cola, yang merupakan arahan pembayaran itu sendiri.

Mengapa pertahanan tradisional tidak menyedarinya

Firewall, sistem antipenipuan dan gateway pembayaran melindungi pelayan dan transaksi. Gateway menjana kod QR yang betul. Sistem antipenipuan melihat transaksi yang sah, daripada pelanggan sebenar, dengan jumlah yang betul. Pertukaran berlaku selepas itu, dalam pelayar pembeli, bersama semua yang dimuatkan oleh halaman.

Malah alat yang dibina untuk PCI DSS, yang menyenaraikan skrip pada halaman dan memberi amaran apabila skrip baharu muncul, boleh kekal senyap jika kod berniat jahat berada di dalam fail yang sudah dibenarkan.

Tanda-tandanya

Untuk peniaga:

• Peningkatan pesanan dengan Pix tertunda atau ditinggalkan, tanpa penurunan lawatan ke checkout.
• Pelanggan dengan bukti pembayaran yang berjaya atas nama syarikat atau orang lain.
• Fail berubah tanpa sebarang penerbitan, pentadbir yang tidak dikenali dalam panel.

Untuk pelanggan:

• Penerima yang tiada kaitan dengan kedai pada skrin pengesahan bank.
• Pesanan tersekat pada "menunggu pembayaran" selepas Pix selesai. Lihat sudah bayar Pix tetapi pesanan masih tertunda.

Apa yang perlu dibuat pelanggan

• Sebelum membayar: semak nama dan CNPJ (nombor pendaftaran syarikat di Brazil) penerima dalam aplikasi bank. Lihat kod QR Pix diubah: cara mengesan sebelum membayar.
• Jika sudah membayar: gunakan pilihan Contestar Pix (Pertikai Pix) dalam aplikasi bank pada hari yang sama, maklumkan kepada kedai dan simpan bukti pembayaran. Tempoh MED (Mecanismo Especial de Devolução, mekanisme pemulangan dana Pix sekiranya berlaku penipuan) ialah 80 hari, tetapi pemulangan bergantung pada baki yang masih ada. Lihat Pix salah semasa membeli dalam talian: silap atau penipuan.

Apa yang perlu dibuat peniaga

1. Kemas kini platform, tema dan plugin, dan buang yang tidak digunakan.
2. Lindungi panel dengan pengesahan dua faktor dan semak siapa yang ada akses.
3. Kurangkan skrip di checkout kepada yang penting sahaja, setiap satu dengan pemilik dan sebab.
4. Pantau halaman dalam produksi, seperti yang dilihat pelanggan. Lihat cara memantau perubahan pada checkout.
5. Bandingkan kod yang dipaparkan dengan kod yang dikeluarkan dan sekat sebarang perbezaan sebelum pengesahan.
6. Pantau kadar Pix tertunda setiap hari.
7. Sediakan khidmat pelanggan untuk pelanggan yang sudah membayar tetapi tidak menerima pesanan.

Bukan Pix sahaja

Kod yang sama yang menukar kod QR boleh menukar linha digitável (nombor boleto) pada boleto (boleto bancário, slip pembayaran bank Brazil), alamat dompet stablecoin atau kod QR bayaran segera lain, dan boleh menyalin data kad kredit dan kad debit. Melindungi checkout bermakna melindungi semua kaedah pembayaran yang dipaparkan di situ.

Di mana Proteside berperanan

Proteside ialah lapisan keselamatan siber yang menyemak, pada skrin pembayar, sama ada data pembayaran ialah data yang dikeluarkan oleh penjual, dan menyekat pertukaran sebelum pengesahan. Ia bukan sistem antipenipuan, firewall atau gateway: ia berfungsi bersama semua itu, pada mana-mana platform dan dengan mana-mana penyedia. Lihat perlindungan Pix di checkout dan cara ia berfungsi.