Magecart บน Pix: การโจมตีที่สลับ QR Code แทนการขโมยบัตร

Magecart บน Pix (ระบบชำระเงินทันทีของ Banco Central do Brasil หรือธนาคารกลางบราซิล) คือการโจมตีแบบเก่าในเวอร์ชันบราซิล โค้ดอันตรายที่เคยคัดลอกหมายเลขบัตรบนหน้าชำระเงิน หันมาสลับ QR และ Pix Copia e Cola (รหัสชำระเงินแบบข้อความที่ลูกค้าคัดลอกไปวางในแอปธนาคาร) แทน ลูกค้าจ่ายยอดเงินที่ถูกต้อง ในร้านที่ถูกต้อง แต่เงินไปเข้าอีกบัญชีหนึ่ง ในเดือนกันยายน 2026 พบรูปแบบนี้ในร้านค้าออนไลน์ของบราซิล 90 แห่ง

กรณีเดือนกันยายน 2026

วันที่ 1 กันยายน นักวิจัยอิสระที่รู้จักในชื่อ eremit4 เผยแพร่การค้นพบ และเรียกการโจมตีนี้ว่า "magecart บราซิลรุ่นใหม่" Kaspersky ยืนยันการค้นพบและเปิดเผยตัวเลขเมื่อวันที่ 9 กันยายน ข้อเท็จจริงที่เปิดเผยต่อสาธารณะ ซึ่งบริษัทและสื่อรวบรวมไว้ มีดังนี้:

• ร้านค้าขนาดเล็กและขนาดกลาง 90 ร้าน ติดโค้ดอันตราย ทั้งหมดใช้แพลตฟอร์มอีคอมเมิร์ซโอเพนซอร์สตัวเดียวกันที่ไม่ได้อัปเดตตามรอบ
• โจมตีเว็บไซต์ ไม่ใช่คอมพิวเตอร์ของลูกค้า ผู้ซื้อทุกคนที่เลือก Pix ในร้านเหล่านี้ได้รับรหัสที่ถูกสลับ
• QR และ Copia e Cola ถูกสลับพร้อมกัน คนที่จ่ายผ่านมือถือด้วยการคัดลอกรหัสก็โดนเหมือนคนที่สแกน
• ไม่มีสัญญาณบนหน้าจอ Fabio Assolini จาก Kaspersky ระบุว่าการสลับไม่ทิ้งร่องรอยที่ลูกค้ามองเห็นได้
• บัตรก็โดนด้วย เมื่อลูกค้าเลือกบัตรเครดิต โค้ดเดียวกันจะคัดลอกข้อมูลไว้ใช้ภายหลัง
• สัญญาณที่ร้านค้าเห็น คือการยกเลิกที่เพิ่มขึ้น คำสั่งซื้อที่เลือก Pix ค้างอยู่และไม่ได้รับการชำระ

สามวันต่อมา Procon-SP (หน่วยงานคุ้มครองผู้บริโภคของรัฐเซาเปาลู) เผยแพร่คำแนะนำแก่ผู้บริโภคเกี่ยวกับกลโกงที่แก้ไข QR Code ของ Pix ในการซื้อออนไลน์

อะไรต่างจาก Magecart ที่โจมตีบัตร

กลไกเหมือนเดิม คือโค้ดที่ซ่อนอยู่ในหน้าชำระเงินและทำงานเฉพาะตอนชำระเงิน แต่ผลที่ตามมาต่างกัน

• เวลา สำหรับบัตร ข้อมูลถูกขายหรือนำไปใช้หลายวันต่อมา สำหรับ Pix เงินออกไปทันที
• ใครรับเคราะห์ก่อน สำหรับบัตร ร้านได้รับเงิน และปัญหาปรากฏทีหลังในรูปการฉ้อโกงต่อลูกค้า สำหรับ Pix ร้านไม่ได้รับเงิน ขณะที่ลูกค้าเชื่อว่าจ่ายแล้ว
• การกู้คืน สำหรับบัตร มีช่องทางโต้แย้งรายการกับผู้ออกบัตร สำหรับ Pix ลูกค้าต้องยื่นขอผ่าน MED (Mecanismo Especial de Devolução กลไกคืนเงินของ Pix กรณีถูกฉ้อโกง) ซึ่งคืนเงินได้ก็ต่อเมื่อบัญชีที่รับเงินยังมีเงินเหลือ ตามรายงานข่าว มิจฉาชีพกระจายเงินไปยังบัญชีหลายสิบบัญชีภายในไม่กี่ชั่วโมง
• สิ่งที่ผู้โจมตีต้องขโมย สำหรับบัตร ต้องอ่านช่องกรอกข้อมูลแล้วส่งข้อมูลออกไป สำหรับ Pix แค่สลับข้อความและรูปภาพบนหน้าจอก็พอ ไม่มีอะไรต้องออกจากหน้าเว็บ จึงตรวจจับได้ยากสำหรับผู้ที่เฝ้าดูการรับส่งข้อมูล

ทำไมระบบป้องกันทั่วไปจึงมองไม่เห็น

ระบบป้องกันการฉ้อโกงวิเคราะห์ธุรกรรม และธุรกรรมนั้นถูกต้อง ยอดเงินถูก บัญชีมีอยู่จริง ลูกค้าเป็นของจริง เกตเวย์สร้าง QR ที่ถูกต้องและส่งให้ร้านแล้ว เซิร์ฟเวอร์ของร้านอาจมีไฟล์ที่ติดโค้ดอันตราย แต่ก็อาจได้รับโค้ดจากที่อยู่ภายนอกที่โหลดเฉพาะในเบราว์เซอร์

เครื่องมือที่ทำรายการสคริปต์และแจ้งเตือนเมื่อมีสคริปต์ใหม่ก็อาจเงียบได้เช่นกัน หากโค้ดอยู่ในไฟล์ที่ได้รับอนุญาตอยู่แล้ว

คำถามที่ไขกรณีนี้ได้คืออีกข้อหนึ่ง: QR ที่ลูกค้ากำลังเห็นอยู่ ตรงกับ QR ที่ร้านออกให้หรือไม่?

สิ่งที่ร้านค้าบางแห่งทำ

ตามรายงานข่าว ร้านค้าที่ถูกโจมตีเลือกทางใดทางหนึ่งในสามทาง: แสดง CNPJ (เลขทะเบียนบริษัทในบราซิล) และชื่อบริษัทไว้ข้าง QR, เอา QR ออกจากหน้าเว็บแล้วขอหลักฐานการโอนด้วยตนเอง หรือหันไปใช้หน้าชำระเงินของตัวกลาง ทั้งสามทางช่วยลดความเสียหาย แต่ไม่มีทางไหนกำจัดโค้ดออกจากร้านได้

การแสดง CNPJ ช่วยลูกค้าที่ช่างสังเกต แต่โค้ดเดียวกันที่สลับ QR ก็สลับข้อความนี้ได้ การเอา QR ออกทำให้ยอดขายผ่าน Pix ลดลง ทั้งที่ Pix มีไว้เพื่อความรวดเร็ว การใช้หน้าของตัวกลางทำให้รายการเรียกเก็บเงินพ้นมือโค้ดที่ฝังอยู่ในร้าน โดยแลกกับการเปลี่ยนขั้นตอนการซื้อ และโค้ดก็ยังอยู่ที่เดิม รอแบบฟอร์มถัดไป

ร้านค้าป้องกัน Magecart บน Pix ได้อย่างไร

1. อัปเดตแพลตฟอร์ม ธีม และปลั๊กอิน ร้านทั้ง 90 แห่งมีจุดร่วมคือการดูแลระบบที่ล่าช้า
2. เปิดการยืนยันตัวตนสองขั้นตอนในแผงควบคุม และทบทวนว่าใครมีสิทธิ์เข้าถึง
3. ติดตามอัตรา Pix ที่ค้างอยู่รายวัน การพุ่งขึ้นโดยไม่มีเหตุผลทางการค้าคือสัญญาณแรก
4. เทียบ QR ที่แสดงกับ QR ที่ออกให้ การตรวจต้องเกิดในเบราว์เซอร์ของลูกค้า หลังหน้าเว็บโหลดเสร็จ เพราะการสลับเกิดขึ้นที่นั่น
5. บล็อกก่อนการชำระเงิน การแจ้งเตือนทีหลังช่วยในการสืบสวน แต่ยอดขายและเงินของลูกค้าหายไปแล้ว
6. เตรียมทีมบริการลูกค้า วางขั้นตอนรับมือไว้สำหรับกรณีที่ลูกค้าจ่าย Pix แล้วแต่คำสั่งซื้อไม่เข้าระบบ

สำหรับภาพรวมทั้งหมด ตั้งแต่บัตรจนถึง boleto (ใบแจ้งชำระเงินผ่านธนาคารของบราซิล) อ่าน Magecart คืออะไร และวิธีปกป้องร้านค้าออนไลน์

Proteside ช่วยได้ตรงไหน

Proteside ทำการตรวจในข้อ 4 และการบล็อกในข้อ 5 เมื่อร้านหรือผู้ให้บริการสร้างรายการเรียกเก็บเงิน QR และ Copia e Cola ที่ออกให้จะถูกบันทึกไว้ บนหน้าจอของลูกค้า ระบบจะเทียบสิ่งที่กำลังแสดงและถูกคัดลอกกับบันทึกนี้ ถ้าไม่ตรงกัน จะแสดงคำเตือนแทน QR และไม่ส่งรหัสที่ถูกสลับให้ลูกค้า ทุกความพยายามจะกลายเป็นการแจ้งเตือนถึงร้าน พร้อมคำสั่งซื้อ ยอดเงิน และปลายทางที่ตรวจพบ ดูการป้องกัน Pix ที่หน้าชำระเงิน