替换 Pix 二维码的病毒：在你的设备上，还是在商店里？

替换 Pix（巴西中央银行推出的即时支付系统）二维码的病毒可能藏在两个地方：购物者的设备上，或商店的网站上。在设备上，它会在你访问的任何商店替换复制的付款码或显示的图片。在网站上，它会替换这家商店所有顾客看到的二维码，即使每个人的电脑都很干净。弄清楚是哪种情况，决定了你该怎么做。

类型 1：你电脑或手机上的病毒

这类程序安装在设备上，等待付款的时机。研究人员记录的案例有三种手法：

• 替换你复制的内容。 一旦在剪贴板中识别出 Pix 付款码，程序就把它换成骗子的。你粘贴到银行应用里，付给了另一个人。Kaspersky 在 2023 年描述了一个名为 GoPix 的家族的这种行为。
• 改动你看到的页面。 较新的版本会嵌入浏览器，改动页面内容。2026 年 3 月，Kaspersky 发布了对当前 GoPix 的分析：它只在电脑内存中运行，通过搜索引擎上的虚假广告传播，并监视 Pix 和 boleto（巴西银行付款单）交易。
• 浏览器扩展。 2023 年，Trend Micro 记录了针对巴西用户的恶意浏览器扩展，它们能读取和改动打开的页面，包括银行页面。

如何识别：问题出现在不止一家商店，或出现在从不同地方复制的付款码上。支付 boleto 或账单时也可能发生。

类型 2：商店网站上的恶意代码

这种情况下，病毒不在你这里。它被植入了商店的付款页面，途径可能是未修补的漏洞、被篡改的插件或泄露的后台密码。任何顾客选择 Pix 时，这段代码都会把二维码和 Pix Copia e Cola（顾客复制后粘贴到银行应用里的文本付款码）换成骗子的。

2026 年 9 月，Kaspersky 确认有 90 家巴西网店处于这种情况。该公司强调，犯罪分子感染的是网站，而不是受害者的电脑，因此商店的所有顾客都会受到影响。这次攻击被称为“巴西版的新 magecart”，我们在Pix 版 Magecart中解释了这个说法。

如何识别：问题只发生在这一家商店，其他顾客也反映了同样的情况。你电脑上的杀毒软件什么也找不到，因为你的电脑上什么都没有。

如何找出问题出在哪里

三个问题可以帮你区分：

1. 是否发生在不止一家商店，或在支付 boleto 和账单时？ 如果是，怀疑你的设备。
2. 商店是否确认其他顾客也遇到同样的问题？ 如果是，问题出在网站上。
3. 你是复制了付款码，还是用手机扫了二维码？ 如果你用手机扫描电脑屏幕上的二维码，收款方仍然是别人，说明屏幕上的图片已经被换掉了。这指向网站或电脑上的浏览器，而不是手机。

如果病毒在你的设备上

1. 在银行应用里申诉这笔 Pix，使用“Contestar Pix”（申诉 Pix）功能，说明是诈骗或欺诈，越快越好。
2. 用最新版杀毒软件扫描，删除你不认识或不使用的浏览器扩展。
3. 用另一台干净的设备更改密码，包括银行、电子邮件和购物网站的密码。
4. 更新系统和浏览器。
5. 如果问题依旧， 把设备交给可信的技术人员，或重装系统。

如果代码在商店网站上

1. 同样在银行应用里申诉这笔 Pix。
2. 带着付款凭证通知商店。 商店可能还不知道自己中招了。你的通知能保护之后的顾客。
3. 在商店确认已修复问题之前，不要再在这家商店付款。
4. 保存证据，如有需要，可以向警方报案。

完整的申诉流程，参见网购 Pix 付错：是失误还是诈骗。

两种情况都适用的防线

确认任何 Pix 之前，在银行应用里看清收款方的名称和 CNPJ（巴西企业注册号）。病毒可以替换付款码，但银行应用会显示钱真正流向哪里。如果名称与商店毫无关系，就停下来。参见付款前要核对什么。

给商家

商店控制不了顾客的电脑，但能控制自己的页面。而且即使病毒在顾客的设备上，收不到钱、接到投诉的也是商店。Proteside 在付款人的屏幕上核对显示和被复制的二维码及 Copia e Cola 是否为商店签发的那一份，包括改动来自浏览器扩展的情况，并在确认前拦截替换。参见结账页面的 Pix 保护。