Pix 结账诈骗：二维码如何被替换，又该如何防范

Pix 结账诈骗发生在正规网店内部。一段被植入付款页面的恶意代码，会把 Pix（巴西中央银行推出的即时支付系统）的二维码和 Pix Copia e Cola（顾客复制后粘贴到银行应用里的文本付款码）换成别的码，金额与订单完全一致，钱却流进骗子的账户。没有假网站，也没有可疑链接。顾客付了款，商店没收到，双方往往几天后才发现。

本指南汇总了这类诈骗的已知情况，并指向详细介绍每个环节的文章。

诈骗如何运作

1. 商店生成一笔正常的 Pix 收款，二维码和 Copia e Cola 都正确。
2. 页面上运行的一段代码（来自入侵、被篡改的插件或主题，或第三方脚本）替换显示的二维码，以及复制按钮给出的文本。
3. 顾客支付正确的金额，在银行应用里看到一个看似合理的名字，然后确认。
4. 钱进入一个过渡账户，几小时内就被分散转走。
5. 订单一直显示待付款。等到商品没有发货，投诉才找上门。

同样的手法多年来一直被用来窃取银行卡信息，被称为 Magecart。参见Magecart 是什么，网店如何防范。

2026 年 9 月的案例

9 月 1 日，网名 eremit4 的独立研究人员披露了这次攻击活动。Kaspersky 确认有 90 家中小型网店受害，全部使用同一个开源电商平台，而且维护滞后；该公司还表示，这一诈骗自 2025 年 6 月起就已存在。这段代码会替换二维码和 Copia e Cola；顾客选择信用卡付款时，则复制卡片资料。9 月 12 日，Procon-SP（圣保罗州消费者保护机构）就这一诈骗向消费者发布了提醒。完整分析见Pix 版 Magecart。

二维码可能在哪里被替换

• 在商店页面上。 所有选择 Pix 的顾客都会中招。2026 年 9 月的案例就是这种，也是本指南的主题。
• 在顾客的设备上。 病毒和浏览器扩展会替换复制或显示的付款码，在任何商店都可能发生。参见替换 Pix 二维码的病毒：在你的设备上，还是在商店里？
• 在消息里。 冒充商店的人在网站之外发送二维码或 Pix 密钥（chave Pix，收款方的标识）。

Copia e Cola 的文本同样如此，因为它本身就是付款指令。

传统防护为什么察觉不到

防火墙、反欺诈系统和支付网关保护的是服务器和交易。网关生成的二维码是对的。反欺诈系统看到的是一笔有效交易：真实的顾客，正确的金额。替换发生在之后，在买家的浏览器里，与页面加载的所有其他内容一起运行。

即使是为 PCI DSS 打造的工具，会列出页面上的脚本并在出现新脚本时报警，如果恶意代码藏在一个已获授权的文件里，也可能毫无反应。

迹象

商家方面：

• Pix 待付款或放弃的订单增多，结账页面的访问量却没有下降。
• 顾客出示的付款凭证显示已完成，收款方却是别的公司或个人。
• 没有发布任何内容，文件却被修改；后台出现陌生的管理员。

顾客方面：

• 银行确认页面上的收款方与商店毫无关系。
• Pix 已经完成，订单却停在“等待付款”。参见Pix 已付款，订单仍显示待处理。

顾客该怎么做

• 付款前： 在银行应用里核对收款方名称和 CNPJ（巴西企业注册号）。参见Pix 二维码被篡改：付款前如何识别。
• 已经付款： 当天在银行应用里使用“Contestar Pix”（申诉 Pix）功能，通知商店，并保存付款凭证。MED（Mecanismo Especial de Devolução，特别退款机制，Pix 遇到欺诈时的退款机制）的申请期限是 80 天，但能否退回取决于账户里是否还有余额。参见网购 Pix 付错：是失误还是诈骗。

商家该怎么做

1. 更新平台、主题和插件，删除不用的部分。
2. 保护后台，启用双重验证，检查谁有访问权限。
3. 精简结账页面上的脚本，只留必要的，每个都要有负责人和理由。
4. 监控线上页面，以顾客看到的样子为准。参见如何监控结账页面的改动。
5. 把显示的付款码与签发的付款码进行比对，在顾客确认前拦截不一致的情况。
6. 每天跟踪 Pix 待付款率。
7. 让客服做好准备，应对已经付款却没收到商品的顾客。

不只是 Pix

替换二维码的同一段代码，也能替换 boleto（巴西银行付款单）的 linha digitável（boleto 上的付款编号）、稳定币钱包地址或其他即时支付的二维码，还能复制信用卡和借记卡的资料。保护结账页面，就是保护页面上展示的所有支付方式。

Proteside 的作用

Proteside 是一层网络安全防护，在付款人的屏幕上核对支付数据是否就是卖家签发的那一份，并在确认前拦截替换。它不是反欺诈系统，也不是防火墙或支付网关：它与这些系统并行运作，适用于任何平台和任何服务商。参见结账页面的 Pix 保护和运作方式。