跳至主要內容

Pix 版 Magecart：調包 QR Code 而非盜取信用卡的攻擊

Laís Peixoto

作者 Laís Peixoto

Growth Marketer, Proteside

發佈於 · 2 分鐘閱讀

Pix 版 Magecart 就是以往盜取信用卡資料的同一種惡意程式碼，現在改為在付款頁面調包 QR Code 和 Pix Copia e Cola。錢即時轉到騙徒帳戶，網店收不到款，只有在顧客螢幕上核對才能阻止調包。

Pix 版 Magecart 是一種舊攻擊的巴西版本：以往在付款頁面複製信用卡號碼的惡意程式碼，改為調包 Pix（巴西中央銀行的即時支付系統）的 QR Code 和 Pix Copia e Cola（顧客複製後貼到銀行 App 付款的文字付款碼）。顧客在正確的網店付了正確的金額，錢卻轉到另一個帳戶。2026 年 9 月，研究人員在 90 間巴西網店發現了這種模式。

2026 年 9 月的案例

9 月 1 日，一位名為 eremit4 的獨立研究人員公布發現，並把這次攻擊稱為「巴西的新 Magecart」。Kaspersky 證實了這項發現，並於 9 月 9 日公布數字。以下是該公司和傳媒整理的公開事實：

  • 90 間中小型網店受感染，全部使用同一個開源電子商貿平台，而且沒有及時更新。
  • 攻擊的是網站，不是顧客的電腦：在這些網店選擇 Pix 的所有買家，收到的都是被調包的付款碼。
  • QR Code 和 Copia e Cola 同時被調包：用手機複製付款碼付款的人，與掃描 QR Code 的人同樣中招。
  • 螢幕上毫無跡象：據 Kaspersky 的 Fabio Assolini 表示，調包不會給顧客留下任何視覺線索。
  • 信用卡也受影響：顧客選擇信用卡時，同一段程式碼會複製卡資料，留待日後使用。
  • 商戶察覺到的跡象是放棄訂單增加：Pix 訂單停留在待付款，一直沒有付款。

三天後，Procon-SP（聖保羅州消費者保護機構）就網購時竄改 Pix QR Code 的騙局向消費者發出指引。

與信用卡 Magecart 有何不同

手法相同：程式碼藏在付款頁面，只在結帳時啟動。後果卻不一樣。

  • 時間：信用卡資料會在幾天後被出售或使用。Pix 的錢則在付款當下就轉走。
  • 誰先承擔損失：信用卡方面，網店收到款項，問題日後才以顧客被盜刷的形式出現。Pix 方面，網店收不到錢，顧客卻以為自己已經付款。
  • 追回款項：信用卡可以向發卡機構提出爭議。Pix 則要由顧客申請 MED（Mecanismo Especial de Devolução，特別退款機制，是 Pix 遇上詐騙時的退款機制），而且只有收款帳戶仍有餘額時才能退款。據報道，騙徒會在幾小時內把錢分散到數十個帳戶。
  • 攻擊者需要偷甚麼：信用卡方面，攻擊者要讀取欄位，再把資料傳出去。Pix 方面，只需在螢幕上換掉一段文字和一張圖片。不需要有任何資料離開頁面，因此監察流量的人更難察覺。

一般防護為何察覺不到

防詐騙系統分析的是交易，而這筆交易是有效的：金額正確、帳戶真實、顧客正當。支付閘道產生了正確的 QR Code 並交給網店。網店伺服器上可能有受感染的檔案，但程式碼也可能來自外部地址，只在瀏覽器中載入。

列出腳本並在出現新腳本時提示的工具，如果程式碼藏在早已獲准的檔案內，同樣可能毫無反應。這正是腳本清單察覺不到 QR Code 被調包的原因。

真正能解決問題的是另一個問題：顧客看到的 QR Code，是不是網店發出的那一個？

部分網店的做法

據報道，受影響的商戶採取了三種做法：在 QR Code 旁顯示 CNPJ（巴西公司登記號碼）和公司名稱；把 QR Code 從頁面撤下，改為人手索取付款收據；或改用中介支付機構的付款頁面。三種做法都能減少損失，但沒有一種能把程式碼從網店移除。

顯示 CNPJ 對細心的顧客有幫助，但調包 QR Code 的同一段程式碼也能改掉這段文字。撤下 QR Code 會拖低 Pix 的轉換率，而 Pix 存在的意義正是快捷。使用中介機構的付款頁面，能讓收款流程脫離網店內程式碼的控制範圍，代價是改變購物流程，而程式碼仍然留在網店，等待下一個表格。

網店如何防範 Pix 版 Magecart

  1. 更新平台、佈景主題和插件：那 90 間網店的共通點是維護滯後。
  2. 為管理後台啟用雙重認證，並檢查誰有權限。
  3. 每天追蹤 Pix 待付款比率：沒有商業原因的突然上升，就是第一個跡象。
  4. 比對顯示的 QR Code 與發出的 QR Code：核對必須在頁面載入後、在顧客的瀏覽器中進行，因為調包就在那裏發生。
  5. 在付款前攔截：事後發出警報有助調查，但生意和顧客的錢已經沒有了。
  6. 準備好客服流程：預先定好如何處理已付款但訂單未入帳的顧客。

如需由信用卡到 boleto（巴西銀行付款單）的完整說明，請閱讀 Magecart 是甚麼，網店如何防範。

Proteside 的角色

Proteside 負責第 4 步的核對和第 5 步的攔截。網店或服務供應商產生收款時，發出的 QR Code 和 Copia e Cola 會被記錄下來。在顧客的螢幕上，它會把正在顯示和被複製的內容與這份紀錄比對，如有差異，就在 QR Code 的位置顯示警告，不會交出被調包的付款碼。每次調包嘗試都會成為給網店的警報，附上訂單、金額和發現的收款目的地。請看 結帳頁的 Pix 保護。

返回網誌

延伸閱讀