跳至主要內容

Pix 結帳詐騙：QR Code 怎樣被調包，如何防範

Laís Peixoto

作者 Laís Peixoto

Growth Marketer, Proteside

發佈於 · 更新於 · 2 分鐘閱讀

在 Pix 結帳詐騙中，正規網店付款頁面上的惡意程式碼把 QR Code 和 Pix Copia e Cola 換成金額相同的另一組，顧客付了款，網店卻收不到錢。有效的防護是在付款人的螢幕上核對顯示的付款碼是否就是網店發出的那一個，並在確認付款前攔截調包。

Pix（巴西中央銀行的即時支付系統）結帳詐騙發生在正規網店之內。付款頁面上被植入的惡意程式碼，把 QR Code 和 Pix Copia e Cola（顧客複製後貼到銀行 App 付款的文字付款碼）換成另一組金額完全相同、但會把錢轉到騙徒帳戶的付款碼。沒有假網站，也沒有可疑連結。顧客付了款，網店收不到錢，雙方要過幾天才發現。

本指南整理目前對這種騙局的了解，並列出詳細說明每個部分的文章。

騙局如何運作

  1. 網店產生一筆正常的 Pix 收款，QR Code 和 Copia e Cola 都正確。
  2. 在頁面上執行的程式碼（來自入侵、被入侵的插件或佈景主題，或第三方腳本）替換了顯示的 QR Code，以及複製按鈕交出的文字。
  3. 顧客付了正確金額，在銀行 App 看到一個看似合理的名字，然後確認。
  4. 錢轉入一個過渡帳戶，幾小時內就被分散轉走。
  5. 訂單一直停留在待付款。直到貨品沒有寄出，投訴才來。

同一種手法多年來一直用來盜取信用卡資料，稱為 Magecart。請看 Magecart 是甚麼，網店如何防範。

2026 年 9 月的案例

9 月 1 日，一位名為 eremit4 的獨立研究人員揭露了這次攻擊活動。Kaspersky 證實有 90 間中小型網店受影響，全部使用同一個開源電子商貿平台，而且維護滯後，並指出騙局自 2025 年 6 月起已在運作。這段程式碼會調包 QR Code 和 Copia e Cola；顧客選擇信用卡付款時，則會複製卡資料。9 月 12 日，Procon-SP（聖保羅州消費者保護機構）就這種騙局向消費者發出指引。完整分析見 Pix 版 Magecart。

QR Code 可能在哪裏被調包

  • 在網店頁面：影響所有選擇 Pix 的顧客。2026 年 9 月的案例屬於這一類，也是本指南的主題。
  • 在顧客的裝置：病毒和瀏覽器擴充功能會在任何網店調包複製或顯示的付款碼。請看 調包 Pix QR Code 的病毒：在你的裝置還是在網店？
  • 在訊息中：冒充網店的人在網站以外發送的 QR Code 或 Pix 密鑰。

Copia e Cola 的文字也一樣，它本身就是付款指示，同樣可以被竄改。

傳統防護為何察覺不到

防火牆、防詐騙系統和支付閘道保護的是伺服器和交易。支付閘道產生的 QR Code 是正確的。防詐騙系統看到的是一筆有效交易：真實顧客，正確金額。調包發生在之後，在買家的瀏覽器內，與頁面載入的其他內容一起發生。

即使是為 PCI DSS 而設的工具，會列出頁面上的腳本並在出現新腳本時發出提示，如果惡意程式碼藏在一個早已獲准的檔案內，也可能毫無反應。這正是腳本清單察覺不到 QR Code 被調包的原因。

跡象

商戶方面：

  • Pix 待付款或放棄的訂單增加，但進入結帳頁的人數沒有下降。
  • 顧客出示已完成的付款收據，收款人卻是另一間公司或另一個人。
  • 檔案在沒有發布的情況下被修改，管理後台出現不明的管理員。

顧客方面：

顧客應該怎樣做

  • 付款前：在銀行 App 核對收款人的名稱和 CNPJ（巴西公司登記號碼）。請看 Pix QR Code 被竄改：付款前如何分辨。
  • 已經付款：當天在銀行 App 使用「Contestar Pix」（申訴 Pix）選項，通知網店，並保留收據。MED（Mecanismo Especial de Devolução，特別退款機制，是 Pix 遇上詐騙時的退款機制）的申請期限為 80 天，但能否退款取決於帳戶內是否仍有餘額。請看 網購 Pix 付錯款：是失誤還是詐騙。

商戶應該怎樣做

  1. 更新平台、佈景主題和插件，並移除不用的部分。
  2. 保護管理後台：啟用雙重認證，並檢查誰有權限。
  3. 把結帳頁的腳本減到必要的最少，每個都要有負責人和用途。
  4. 監察正式上線的頁面，以顧客看到的樣子為準。請看 如何監察結帳頁的變更。
  5. 核對顯示的付款碼與發出的付款碼，在確認付款前攔截不一致的情況。
  6. 每天追蹤 Pix 待付款比率。
  7. 準備好客服流程，處理已付款卻收不到貨的顧客。

不只是 Pix

調包 QR Code 的同一段程式碼，也可以調包 boleto（巴西銀行付款單）的 linha digitável（boleto 上的付款號碼）、穩定幣錢包地址，或其他即時支付的 QR Code，還能複製信用卡和扣賬卡的資料。保護結帳頁，就是保護頁面上顯示的所有付款方式。

Proteside 的角色

Proteside 是一層網絡安全防護，在付款人的螢幕上核對付款資料是否與賣家發出的一致，並在確認付款前攔截調包。它不是防詐騙系統、防火牆或支付閘道，而是與它們並行運作，適用於任何平台和任何服務供應商。請看 結帳頁的 Pix 保護 和 運作原理。

返回網誌

延伸閱讀