Pix QR Code 被竄改：付款前如何分辨，出事後怎樣做

被竄改的 Pix（巴西中央銀行的即時支付系統）QR Code 看起來和真的一樣，收取的金額也相同。改變的是收款人。所以，付款前唯一能察覺的方法，是在銀行 App 查看收款人：確認畫面上顯示的名稱和 CNPJ（巴西公司登記號碼），必須屬於網店，或替網店處理付款的公司。

Pix QR Code 如何被竄改

竄改可能發生在三個地方：

• 在網店頁面：網站上被植入的惡意程式碼，在付款時調包 QR Code 和 Pix Copia e Cola（顧客複製後貼到銀行 App 付款的文字付款碼）。2026 年 9 月，Kaspersky 證實有 90 間巴西網店出現這種情況。顧客身處正確的網站，沒有看到任何不同。
• 在你的電腦或手機：惡意程式或瀏覽器擴充功能會調包複製的付款碼或顯示的圖片。我們在 調包 Pix QR Code 的病毒 一文說明這種情況。
• 在訊息中：冒充網店的人在網站以外，經 WhatsApp、電郵或社交媒體發送的 QR Code。

三種情況下，金額通常都是正確的。騙局能夠得逞，正是因為金額沒有任何引人注意之處。

確認 Pix 付款前要核對甚麼

1. 收款人名稱：應該是網店的公司註冊名稱、商號，或知名支付中介的名稱。如果是個人名字，或與這次購物無關的公司，就應該停下來。
2. CNPJ：很多網店會在網站頁尾顯示 CNPJ。把它與銀行 App 上顯示的比對。
3. 收款機構：App 通常會顯示收款的銀行或機構。如果網店說明經某個服務供應商收款，那裏應該顯示這個供應商。
4. 金額和描述：網店的 QR Code 通常會在描述中附上訂單號碼或網店名稱。

Procon-SP（聖保羅州消費者保護機構）在 2026 年 9 月提出同樣建議：只核對金額並不足夠，必須核對收款人的名稱和 CNPJ，如有不同或不認識，就不要完成付款。

有一點要公道：小型網店的 Pix 收款人，可能合理地是店主本人的名字。如果名字對不上，付款前請經你自己找到的渠道（例如網站上的電話或即時聊天）向網店查詢。

出問題的跡象

• 收款人名稱與網店無關。
• 銀行已顯示 Pix 完成很久，訂單仍然是「等待付款」。
• 網店說沒有收到款，收據上顯示的是另一個 CNPJ。
• QR Code 是經訊息收到的，而不是在網站的付款頁面上。

付了被竄改的 QR Code：現在怎樣做

1. 打開你的銀行 App，使用「Contestar Pix」（申訴 Pix）選項：這個自助按鈕自 2025 年 10 月起提供。選擇該筆交易，原因選詐騙或欺詐。
2. 盡可能當天處理：經 MED（Mecanismo Especial de Devolução，特別退款機制，是 Pix 遇上詐騙時的退款機制）申請退款的期限為 80 天，但只有收款帳戶仍有餘額時才能取回款項。騙徒通常在幾小時內把錢分散轉走。
3. 通知網店：發送收據並說明收款人是另一方。這有助網店發現並修補漏洞，也能保護其他顧客。
4. 保留所有資料：收據、付款頁面截圖、與網店的對話，以及銀行的個案編號。
5. 報警備案：申訴不一定需要，但能加強你的申請，並協助警方把個案串連起來。

如果你不確定是否遇上詐騙，請看 網購 Pix 付錯款：是失誤還是詐騙。兩者的分別決定 MED 是否適用於你的情況。

為何責任不在顧客

當竄改發生在網店網站上，顧客已經做對了一切：進入正確的網址、選擇產品、支付要求的金額。核對收款人是很好的防線，但不應是唯一的防線。顯示 QR Code 的是網店的頁面，需要保護的也正是那裏。

給商戶

如果顧客開始發來收款人是另一間公司的收據，請當作安全事故處理，並參考 Pix 結帳詐騙 的完整指南。

Proteside 保護的正是這一點：在付款人的螢幕上核對 QR Code 和 Copia e Cola 是否為網店發出的那一組，並在確認付款前攔截調包。請看 結帳頁的 Pix 保護。