Golpe do Pix troca chave no checkout de lojas virtuais

Comprar em uma loja online, escolher pagar com Pix e, sem perceber, transferir o dinheiro direto para a conta de um criminoso. É exatamente esse o cenário de um novo golpe do Pix identificado em lojas virtuais brasileiras: aproximadamente 90 e-commerces tiveram seus sistemas comprometidos por um código malicioso que altera os dados do pagamento na hora do checkout.

O detalhe mais perigoso é que a fraude acontece sem que o consumidor faça nada de errado. A pessoa entra em uma loja legítima, escolhe o produto, vai para a tela de pagamento e recebe uma chave Pix ou um QR Code que parece normal — mas que, na verdade, já foi trocado por dados do golpista. O dinheiro sai da conta do cliente e nunca chega ao lojista.

E, quando o comprador vai reclamar, descobre que o pedido nem existe no sistema da loja.

Neste guia, você vai entender em detalhes como esse golpe funciona, por que ele é diferente das fraudes tradicionais de phishing, como identificar sinais suspeitos antes de pagar, o que fazer se já caiu na armadilha e quais cuidados adotar para comprar online com segurança daqui em diante.

Como funciona o novo golpe do Pix em lojas virtuais

Diferente dos golpes clássicos, em que o criminoso envia um link falso por WhatsApp ou e-mail, esse novo esquema ataca a própria loja virtual. Os cibercriminosos exploram falhas de segurança em plataformas de e-commerce e conseguem inserir um código malicioso dentro do site verdadeiro. Ou seja, quem acessa a página não percebe absolutamente nada de errado: o endereço é o correto, o layout é o mesmo, os produtos são reais e o carrinho funciona normalmente.

A armadilha só é acionada no momento mais sensível da compra: a tela de pagamento. Quando o consumidor escolhe pagar via Pix, o script invisível instalado no site substitui a chave Pix ou o QR Code do lojista pelos dados de uma conta controlada pelo golpista. O comprador confirma a transferência achando que está pagando a loja, mas o dinheiro cai diretamente na conta do criminoso.

O resultado é duplo: o cliente perde o valor pago e a loja não recebe nada, então o pedido não é processado. Isso cria um efeito em cascata, porque muitas vezes o consumidor demora dias para descobrir que foi vítima — só percebe quando o produto não chega e o atendimento da loja informa que nenhum pagamento foi registrado.

Segundo o levantamento que identificou a fraude, cerca de 90 lojas virtuais brasileiras já haviam sido contaminadas por esse tipo de código malicioso. Isso mostra a escala do problema: não se trata de um golpe pontual, mas de uma operação organizada que atinge vários comércios ao mesmo tempo.

Por que esse golpe do Pix é tão perigoso

A maior parte das campanhas de conscientização sobre golpes financeiros ensina o consumidor a desconfiar de links estranhos, mensagens de origem desconhecida, ofertas boas demais para ser verdade e sites com endereços suspeitos. Só que, nesse caso, nenhum desses sinais tradicionais aparece. A pessoa está em uma loja verdadeira, com URL correta, cadeado de segurança no navegador e produto real.

Essa é a razão pela qual a fraude é considerada especialmente perigosa. O consumidor não tem como saber, apenas olhando a tela, que o QR Code exibido foi manipulado.

Como o Pix é uma transferência imediata e, em regra, irreversível, quando o valor cai na conta do golpista ele já é rapidamente movimentado para outras contas, dificultando o rastreamento.

Outro ponto que agrava a situação é o comportamento do comprador na hora de pagar. Muita gente hoje já paga por Pix de forma quase automática: abre o app do banco, escaneia o QR Code, confirma o valor e pronto. Poucas pessoas ainda leem, com atenção, o nome que aparece na tela de confirmação do banco. E é justamente nessa etapa que o golpe pode ser evitado — porque o nome que surge nunca é o da loja, mas sim de uma pessoa física ou empresa desconhecida.

Há ainda um agravante para o pequeno lojista. Quando o cliente descobre o golpe, ele naturalmente cobra a loja onde comprou. Mesmo sem culpa direta pela transferência (que foi feita para outra conta), o e-commerce sofre danos de reputação, precisa lidar com reclamações em massa e, muitas vezes, arca com prejuízos para preservar a imagem da marca.

Sinais de alerta antes de pagar um Pix em compra online

Apesar de o golpe ser bem elaborado, existem sinais concretos que qualquer consumidor pode observar antes de confirmar o pagamento. Prestar atenção a esses detalhes leva menos de dez segundos e pode evitar a perda de centenas ou milhares de reais.

1. Verifique o nome do favorecido. Ao ler o QR Code ou colar a chave Pix, o aplicativo do seu banco mostra o nome de quem vai receber o valor. Se o nome não corresponde à loja onde você está comprando — ou se aparece o nome de uma pessoa física qualquer em vez de uma empresa — cancele a operação imediatamente.

2. Confira o CPF ou CNPJ do recebedor. Lojas oficiais recebem em conta de pessoa jurídica (CNPJ), e o número costuma bater com o CNPJ divulgado no rodapé do site, na página "Sobre" ou nos termos de uso. Pagamento que vai cair em um CPF aleatório em uma compra de e-commerce é sinal quase certo de fraude.

3. Desconfie de valores que não fecham. Alguns códigos maliciosos alteram também o valor da transação. Se o total da compra era de R$ 189,90 e, no QR Code, o valor aparece como R$ 190,00 ou outro número diferente, algo está errado.

4. Prefira gerar o Pix na hora, com valor manual, em compras menores. Sempre que possível, use o Pix copia e cola apenas depois de conferir o nome do destinatário. Em lojas pequenas, uma alternativa é entrar em contato pelo canal oficial (telefone ou WhatsApp divulgado no site) e confirmar a chave antes de transferir.

5. Fique atento a lojas com pouca presença digital. Muitos e-commerces atacados são pequenos ou médios, com equipes reduzidas de TI. Isso não significa que toda loja pequena seja perigosa, mas reforça a importância de checar cada tela com atenção.

O que fazer se você caiu no golpe do Pix

Se você já fez uma transferência e depois descobriu que foi vítima do golpe, é fundamental agir rápido. As primeiras horas após o Pix são as mais importantes para tentar recuperar o dinheiro.

Passo 1: Entre em contato com o seu banco imediatamente. Ligue para a central de atendimento ou use o próprio aplicativo. Informe que você foi vítima de fraude e solicite a abertura do Mecanismo Especial de Devolução (MED), previsto pelo Banco Central. Esse procedimento permite que a instituição financeira do pagador peça o bloqueio dos valores na conta do recebedor, dentro do prazo estabelecido pela regulamentação do Pix.

Passo 2: Registre um boletim de ocorrência. Você pode fazer isso presencialmente em uma delegacia ou, na maioria dos estados, pela delegacia eletrônica. Guarde comprovantes: capturas de tela da loja, do produto, do QR Code exibido, do comprovante de transferência e das conversas com o vendedor.

Passo 3: Comunique a loja onde a compra foi feita. Como o e-commerce foi vítima do mesmo ataque, é importante avisar o lojista para que ele tome providências técnicas, investigue a invasão e alerte outros clientes.

Passo 4: Notifique órgãos de defesa do consumidor. Registre reclamação nos canais oficiais do consumidor, como o Procon do seu estado e a plataforma consumidor.gov.br, mantida pela Secretaria Nacional do Consumidor. Isso ajuda a documentar o caso e pressiona por soluções.

Passo 5: Denuncie a chave Pix ao seu banco. O Banco Central mantém regras específicas para tratamento de chaves Pix envolvidas em fraudes. Ao denunciar, você contribui para que a chave criminosa seja marcada e futuras vítimas sejam alertadas antes de transferir.

Recuperação do valor: o que esperar

É importante entender que a recuperação não é garantida. Se o dinheiro já foi movimentado da conta do golpista, o processo se torna mais difícil. Por isso, a rapidez em acionar o banco faz muita diferença.

Como se proteger de golpes ao comprar em lojas virtuais

Além dos cuidados específicos com o Pix, existem hábitos gerais que reduzem drasticamente o risco de cair em fraudes ao comprar online. Adotar essas práticas de forma rotineira transforma a compra digital em algo muito mais seguro.

Pesquise a reputação da loja antes de comprar. Consulte sites como Reclame Aqui, procure avaliações em redes sociais e faça uma busca simples com o nome da empresa somada à palavra "golpe" ou "reclamação". Se aparecerem muitos alertas recentes, evite.

Prefira métodos de pagamento com proteção ao consumidor. O cartão de crédito, por exemplo, permite contestar a compra junto à administradora em caso de fraude ou não entrega do produto. O Pix é rápido e prático, mas oferece menos margem de reversão. Em compras de valor mais alto ou em lojas menos conhecidas, o cartão pode ser a escolha mais segura.

Mantenha seu celular e computador atualizados. Muitas vezes, o golpe começa em uma extensão maliciosa do navegador ou em um aplicativo pirata instalado no aparelho. Sistemas operacionais atualizados, antivírus ativos e navegadores oficiais reduzem esse risco.

Ative a autenticação em duas etapas em todos os aplicativos financeiros. Isso não impede que você caia em um golpe do Pix diretamente, mas evita que criminosos consigam entrar na sua conta bancária caso descubram sua senha por outras vias.

Use limites reduzidos para Pix. Nos aplicativos dos bancos, é possível configurar um limite máximo por transação e por período (dia e noite). Ajuste esses valores para o mínimo que você realmente utiliza. Assim, mesmo em caso de fraude, o prejuízo fica contido.

Confira a URL da loja com calma. Digite o endereço diretamente no navegador em vez de clicar em links recebidos por redes sociais, e-mails promocionais ou mensagens. Golpistas costumam criar sites com nomes muito parecidos com os originais, trocando uma letra ou usando domínios diferentes.

Desconfie de descontos absurdos. Ofertas com preços muito abaixo do mercado, principalmente em produtos eletrônicos ou de marcas famosas, são iscas clássicas. Se algo parece bom demais para ser verdade, geralmente é.

O papel dos lojistas e das plataformas de e-commerce

Ainda que o consumidor precise se proteger, a responsabilidade principal por manter o site seguro é do lojista e da plataforma que hospeda a loja. Ataques como o descrito acontecem porque falhas de segurança permitem a injeção de scripts maliciosos nas páginas de checkout.

Para lojistas, algumas boas práticas ajudam a evitar esse tipo de invasão: manter a plataforma de e-commerce sempre atualizada, revisar constantemente extensões e plugins instalados, monitorar o tráfego do site em busca de comportamentos anômalos, contratar auditorias de segurança e restringir os acessos administrativos a pessoas realmente autorizadas.

Outro ponto essencial é a integração do Pix. Sempre que possível, o e-commerce deve utilizar gateways de pagamento reconhecidos, que gerem o QR Code diretamente no ambiente do banco ou da instituição de pagamento, sem depender de campos manipuláveis dentro do próprio site. Isso reduz drasticamente a chance de o valor ser desviado por um script.

Do lado das plataformas, é fundamental oferecer ambientes atualizados, com correções rápidas de vulnerabilidades, alertas proativos aos clientes e ferramentas nativas de monitoramento. Nenhum e-commerce está totalmente imune a ataques, mas a diferença entre um site seguro e um site vulnerável quase sempre está no cuidado técnico do dia a dia.

Resumo prático: o que o consumidor deve fazer a partir de agora

O surgimento desse novo golpe do Pix em lojas virtuais mostra que os criminosos estão migrando das táticas mais óbvias (links falsos, e-mails de phishing) para ataques mais sofisticados, dentro de ambientes que o consumidor considera confiáveis. E a boa notícia é que, com uma mudança simples de hábito, é possível se proteger.

A regra de ouro é uma só: sempre confira o nome e o CPF/CNPJ do recebedor antes de confirmar qualquer Pix. Essa checagem, que leva poucos segundos, é a barreira mais eficaz contra esse tipo de fraude — mesmo quando o golpe é bem elaborado, o nome do favorecido sempre vai denunciar que o dinheiro não está indo para a loja onde você está comprando.

Além disso, mantenha o hábito de: pesquisar a reputação da loja antes de comprar, preferir cartão de crédito em compras de valor mais alto, ajustar limites de Pix no aplicativo do banco, atualizar sempre os dispositivos e desconfiar de ofertas boas demais. Se ainda assim cair no golpe, aja rápido: acione o banco imediatamente, registre o boletim de ocorrência, use os canais oficiais do consumidor e denuncie a chave Pix usada pelos criminosos.

As compras online continuam sendo uma das formas mais práticas e vantajosas de consumo — mas exigem, hoje, um nível a mais de atenção. Ler a tela do banco antes de dar o "confirmar" é, sem exagero, a diferença entre uma compra tranquila e um prejuízo evitável.

Referências

• Kaspersky — Alerta sobre infecção de e-commerces brasileiros com substituição de chave Pix no checkout
• Banco Central do Brasil — Regulamento do Pix e Mecanismo Especial de Devolução (MED)