Um vírus está alterando QR Codes do Pix e códigos Pix Copia e Cola em páginas de pagamento de lojas virtuais brasileiras. A fraude ocorre no próprio site infectado, no momento em que o consumidor conclui a compra, e direciona o dinheiro para contas controladas por golpistas.
O malware foi descoberto em 1º de setembro pelo pesquisador independente conhecido como eremit4. A Kaspersky verificou a ocorrência e identificou 90 sites de ecommerce de pequeno e médio porte infectados no Brasil. As páginas usam Magento, uma plataforma gratuita.
O pesquisador classificou o esquema como uma evolução das fraudes conhecidas como magecart, que tradicionalmente roubam dados de cartões. “Os criminosos evoluíram de leitura de cartão para sequestro de Pix em tempo real”, afirmou eremit4 em uma publicação no X (ex-Twitter).
A alteração do QR Code não apresenta indícios visuais para o cliente. O código Pix Copia e Cola também é substituído, o que permite a fraude contra quem acessa a loja pelo celular. Como a invasão ocorre no site, e não no computador da vítima, todos os clientes podem ser afetados.
Riscos para Pix e cartão
Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, orienta o consumidor a conferir o destinatário antes de autorizar o pagamento. Em lojas menores, o recebedor pode aparecer com o nome do proprietário, e não com o nome fantasia do estabelecimento. Por isso, é necessário verificar o nome e o CNPJ informados antes da confirmação.
Alguns comerciantes perceberam os prejuízos pelo aumento das desistências de compra. Parte deles passou a informar o CNPJ e o nome da empresa para conferência do cliente; outros começaram a encaminhar os pagamentos para plataformas terceirizadas.
O mesmo vírus também pode copiar dados do cartão de crédito quando essa forma de pagamento é escolhida. Nesse caso, o lojista recebe o valor da compra, enquanto os dados podem ser usados posteriormente para clonagem. A recomendação é utilizar cartões virtuais, cujos dados são válidos para uma única transação.
Pedido de devolução
Em caso de fraude, o Banco Central recomenda solicitar o Mecanismo Especial de Devolução, o MED, pelo aplicativo da instituição financeira. O mecanismo pode rastrear a transação por até cinco transferências. Embora o correntista tenha prazo de 80 dias para fazer o pedido, a demora favorece a distribuição do dinheiro entre contas laranja.
Os estelionatários podem espalhar os valores por dezenas de contas em poucas horas. De acordo com Assolini, criminosos costumam manter mais de 50 contas de “testas de ferro” em operações desse tipo. O diretor afirma que o MED é mais eficaz quando a vítima percebe rapidamente o desvio. Mesmo assim, o Banco Central recomenda registrar a solicitação para ajudar as instituições a identificar as contas usadas na fraude.
Para contestar o Pix, o usuário deve abrir a área da operação no aplicativo do banco e selecionar “Contestar Pix”. Depois, precisa escolher a transação, informar o motivo e, quando possível, anexar documentos, como boletim de ocorrência e capturas de tela. A apresentação desses comprovantes não é obrigatória.
Desentendimento comercial, arrependimento, transferência feita por engano e perdas com apostas, loterias ou jogos de azar não justificam a contestação. Após o registro, o banco fornece um protocolo com data e hora, informa o prazo de resposta e avalia a abertura da recuperação de valores no DICT, base de dados do Banco Central.
Contas relacionadas à possível fraude podem ser bloqueadas por até 11 dias. Se houver saldo e o pedido for considerado procedente, o estorno ocorre em até 11 dias contados da decisão dos bancos. O usuário pode cancelar a contestação, mas não poderá apresentar novamente operações já analisadas, rejeitadas, encerradas com devolução parcial, com devolução rejeitada ou canceladas.
Medidas de prevenção
A Kaspersky recomenda que os lojistas mantenham o Magento atualizado, usem senhas únicas e complexas na administração do site e façam monitoramento recorrente com software capaz de detectar comportamentos anômalos. A identificação do código malicioso é difícil porque ele pode estar em linhas ofuscadas.
Para os compradores, o uso de antivírus pode ajudar a prevenir a fraude. Antes de pagar, é preciso conferir o destinatário do Pix e desconfiar de pagamentos direcionados a pessoas físicas desconhecidas. No cartão de crédito, a alternativa indicada é gerar um cartão virtual temporário no aplicativo do banco.
