Golpe do QR Code adulterado troca Pix na hora do pagamento

Pesquisadores de segurança digital identificaram uma nova ameaça voltada a quem paga compras online usando o Pix. Pesquisadores de segurança digital identificaram um tipo de vírus capaz de alterar, em tempo real, o QR Code e o código Pix Copia e Cola exibidos na tela de finalização de compra em lojas online. Na prática, o consumidor acredita estar pagando para a empresa em que fez o pedido, mas o dinheiro cai direto na conta do criminoso — e a fraude só é percebida quando o produto não chega ou quando a loja informa que o pagamento nunca foi recebido.

O golpe chama atenção porque não depende de um site falso, de um link estranho recebido por WhatsApp ou de um pedido de senha. Ele age silenciosamente no computador ou no celular que já está contaminado, no momento exato em que a página legítima da loja gera o Pix. Isso torna a fraude praticamente invisível para quem não tem o hábito de conferir cada detalhe do pagamento antes de confirmar.

A seguir, você vai entender como esse esquema funciona, por que ele tem enganado até consumidores experientes, quais sinais devem acender a luz amarela e o que fazer para não perder dinheiro — inclusive se você já tiver caído no golpe.

Como funciona o novo golpe do QR Code Pix adulterado

O ataque começa muito antes do momento da compra. O dispositivo da vítima — normalmente um computador com Windows, mas também há registros em navegadores de celular — é infectado por um malware que se disfarça de extensão de navegador, atualização de programa, cupom de desconto ou instalador de jogo baixado em sites não oficiais. Uma vez instalado, o vírus fica dormente, monitorando as páginas acessadas.

Quando o usuário chega a uma tela de pagamento e o sistema da loja gera um Pix (seja o QR Code, seja o código Pix Copia e Cola), o malware entra em ação. Ele identifica que aquela sequência de caracteres é um pagamento instantâneo, apaga os dados originais da tela e coloca no lugar um novo QR Code e um novo código, agora vinculados a uma conta controlada pelos criminosos. Todo o restante da página continua igual: o nome da loja, o valor da compra, o número do pedido. Só o destinatário do dinheiro foi trocado.

Como o Pix é liquidado em segundos, quando o consumidor abre o aplicativo do banco, escaneia o QR Code e confirma, o valor sai da conta imediatamente. E, diferentemente de um boleto pago para o destinatário errado, o Pix não pode ser cancelado unilateralmente pelo pagador. A partir daí, começa uma corrida contra o tempo para tentar recuperar o dinheiro, o que raramente acontece de forma integral.

Um agravante importante: o vírus foi desenhado para não deixar rastros visíveis. Ele não abre janelas suspeitas, não trava o navegador, não muda o endereço do site. Por isso, mesmo consumidores atentos, que costumam checar o cadeado de segurança e o endereço da página, podem ser enganados. A adulteração acontece dentro de um site legítimo.

Por que o Pix Copia e Cola também está sendo alvo

Muita gente ainda acredita que o Pix Copia e Cola é mais seguro do que o QR Code, porque envolve copiar um texto e colar dentro do aplicativo do banco. Esse novo golpe mostra que essa percepção é falsa. O malware manipula os dois formatos exatamente da mesma maneira: quando a loja gera o código para ser copiado, o vírus intercepta e substitui a string antes que o consumidor a copie para o aplicativo bancário.

Algumas versões do ataque vão além e monitoram a própria área de transferência do sistema (o famoso Ctrl+C / Ctrl+V). Se o usuário copia um código Pix válido em qualquer lugar, o malware troca automaticamente o conteúdo copiado por outro código, do golpista, antes que a colagem seja feita no banco. Ou seja, mesmo que o QR Code exibido no site fosse verdadeiro, o que chega ao aplicativo bancário já viria adulterado.

Esse detalhe muda uma orientação clássica de segurança. Não basta mais confiar que "copiei do site certo, então está tudo bem". O código precisa ser conferido depois de colado, dentro do próprio app do banco, na tela em que aparecem os dados do recebedor. É ali, na hora da confirmação, que o consumidor tem a última — e mais confiável — chance de perceber a fraude.

Sinais de que sua compra online pode estar sob ataque

O ponto mais delicado dessa fraude é justamente a ausência de sinais óbvios. Ainda assim, existem pistas que quase sempre aparecem quando o pagamento foi adulterado. Preste atenção nos seguintes pontos antes de confirmar qualquer Pix em uma loja online:

• Nome do recebedor diferente do esperado. Antes de digitar a senha, o aplicativo do banco mostra o nome (ou a razão social) de quem vai receber o dinheiro. Se você está comprando em uma loja conhecida e aparece o nome de uma pessoa física, de uma empresa desconhecida, de um MEI aleatório ou de uma razão social que nada tem a ver com a marca, pare imediatamente. Essa é a assinatura mais evidente do golpe.
• CNPJ que não bate com a empresa. Muitos aplicativos exibem também o CNPJ mascarado do recebedor. Vale abrir outra aba, buscar o CNPJ oficial da loja no site dela (geralmente no rodapé ou na página de contato) e comparar.
• Valor idêntico, mas destinatário estranho. Os criminosos costumam manter o valor original da compra para não gerar suspeita. Se o valor confere mas o nome não, o problema está no destinatário, não no preço.
• QR Code que muda ao ser recarregado. Se você recarregar a página de pagamento e o código Pix vier completamente diferente em poucos segundos, sem que a loja tenha atualizado nada, pode ser sinal de manipulação no dispositivo.
• Comportamento estranho do navegador. Extensões que você não instalou, abas que abrem sozinhas, redirecionamentos e propagandas em excesso são indícios de que a máquina está comprometida — e, portanto, mais vulnerável a esse tipo de ataque.

A regra de ouro é simples: o nome que aparece na tela de confirmação do banco é a verdade sobre para onde o dinheiro vai. Se ele não corresponde à loja, o Pix não deve ser confirmado, por mais que tudo o mais pareça normal.

Como se proteger na hora de pagar com Pix em lojas online

A boa notícia é que, mesmo diante de uma ameaça sofisticada, algumas atitudes simples reduzem drasticamente o risco de cair nesse golpe. Adote essas práticas sempre que for pagar uma compra online com Pix:

1. Confira o nome do recebedor antes de digitar a senha. Essa é, isoladamente, a medida mais eficaz. O aplicativo do banco sempre exibe o nome ou a razão social de quem vai receber. Leia essa informação com calma. Não passe direto por ela como se fosse uma formalidade.

2. Prefira pagar pelo celular, e não pelo mesmo computador em que fez a compra. Se você fez o pedido no notebook, gere o QR Code na tela e escaneie com o celular. Como o vírus mais comum age dentro do navegador do computador infectado, a troca acontece na tela — mas, ao escanear a imagem com o celular, você lê o que realmente está sendo exibido. Ainda assim, confira o nome do recebedor no app.

3. Desconfie do Pix Copia e Cola em máquinas antigas ou pouco cuidadas. Se o computador é compartilhado, tem muitos programas instalados de fontes desconhecidas, extensões estranhas no navegador ou não recebe atualização há tempos, considere não usar esse dispositivo para compras. Pague direto pelo celular.

4. Mantenha o sistema e o antivírus atualizados. Windows, macOS, Android e navegadores lançam correções de segurança com frequência. Adiar essas atualizações abre portas para exatamente esse tipo de ameaça. Um antivírus confiável, mesmo em versão gratuita, também ajuda a bloquear o malware antes que ele se instale.

5. Evite baixar programas fora das lojas oficiais. Extensões de navegador que prometem cupons automáticos, aceleradores de download, geradores de nota fiscal e "crackers" de programas pagos são as portas de entrada mais comuns. Se você não conhece a origem, não instale.

6. Use o limite noturno e o limite por transação do Pix. O Banco Central permite que o cliente configure, dentro do aplicativo do banco, limites menores para transferências, especialmente à noite. Reduzir o teto por transação limita o prejuízo caso algo dê errado.

7. Ative notificações imediatas. Ter alerta em tempo real de cada Pix recebido e enviado permite reagir em minutos — o que, como veremos a seguir, faz diferença nas chances de recuperar o dinheiro.

O que fazer se você caiu no golpe do QR Code adulterado

Se o Pix já foi confirmado e você percebeu que o dinheiro foi parar em uma conta desconhecida, é preciso agir rápido. A cada minuto, a chance de bloquear o valor diminui, porque os criminosos costumam fragmentar a quantia em várias transferências para dificultar o rastreio.

1. Acione o banco imediatamente. Ligue para a central de atendimento ou use o próprio aplicativo para registrar a contestação. Peça expressamente o acionamento do Mecanismo Especial de Devolução (MED) do Pix, criado pelo Banco Central justamente para casos de fraude e falha operacional. O MED permite que o banco do pagador solicite ao banco do recebedor o bloqueio e a devolução do valor, quando ele ainda estiver disponível na conta de destino.

2. Registre boletim de ocorrência. Pode ser feito online, pela delegacia eletrônica do seu estado. O documento é importante para o processo administrativo com o banco e para eventuais medidas judiciais.

3. Guarde todas as evidências. Prints da tela de pagamento da loja, comprovante do Pix, e-mails de confirmação do pedido, número do protocolo do banco, print da conversa com o suporte da loja. Quanto mais organizado o material, mais rápido o processo.

4. Comunique a loja onde a compra foi feita. A empresa também é vítima nesse tipo de fraude, porque o pedido dela deixou de ser pago. Muitas lojas têm canais próprios para tratar esses casos e podem, inclusive, cancelar o pedido para evitar cobranças futuras.

5. Faça uma varredura no dispositivo. Se o vírus continuar instalado, o golpe pode se repetir na próxima compra. Rode um antivírus atualizado, remova extensões desconhecidas do navegador e, se possível, formate o sistema em casos mais graves.

É importante ter expectativas realistas: o MED não garante devolução. Se o criminoso já tiver esvaziado a conta, o dinheiro dificilmente volta pela via bancária, e a discussão migra para a esfera judicial. Por isso, a prevenção continua sendo o melhor caminho.

O papel dos bancos e do Banco Central na proteção contra fraudes no Pix

O Pix é um sistema de pagamentos criado e operado pelo Banco Central do Brasil. Isso significa que a autoridade monetária define as regras que todas as instituições participantes precisam seguir — inclusive as regras de segurança. Nos últimos anos, o BC vem apertando essas exigências, com medidas como limites automáticos para transações fora do padrão, marcação de contas suspeitas, exigência de dispositivos cadastrados e o próprio Mecanismo Especial de Devolução.

Ainda assim, nenhuma medida elimina o risco quando a fraude ocorre no dispositivo do consumidor, e não na infraestrutura do Pix. Nesse tipo específico de golpe, o Pix em si não foi hackeado: o sistema funcionou exatamente como deveria e transferiu o valor para a chave informada. O problema é que a chave informada foi trocada dentro do navegador da vítima, antes de chegar ao banco.

Justamente por isso, a responsabilidade prática pela prevenção acaba dividida em três frentes:

• O Banco Central, definindo regras cada vez mais rigorosas para as instituições e mantendo mecanismos como o MED;
• Os bancos e instituições de pagamento, monitorando comportamentos suspeitos, oferecendo limites configuráveis e agindo com rapidez em pedidos de bloqueio;
• O próprio consumidor, mantendo o dispositivo limpo, conferindo o nome do recebedor antes de confirmar cada Pix e desconfiando de qualquer alteração fora do padrão.

Esse tripé é o que sustenta a segurança do sistema no dia a dia. Quando qualquer uma das pontas falha, o golpe encontra espaço.

Resumo prático: o que fazer a partir de agora

Se você costuma pagar compras online com Pix, incorpore estas três atitudes desde hoje:

1. Sempre confira o nome do recebedor na tela de confirmação do banco antes de digitar a senha. Essa checagem, feita em três segundos, neutraliza a maior parte dos golpes de QR Code adulterado, inclusive esse.
2. Prefira gerar o Pix no computador e escanear com o celular — ou, melhor ainda, fazer todo o processo pelo celular, evitando o navegador de dispositivos mais vulneráveis.
3. Mantenha sistema, navegador e antivírus atualizados, e não instale extensões ou programas de origem duvidosa, mesmo que prometam desconto ou vantagem.

Se já foi vítima, peça imediatamente ao banco o acionamento do MED, registre boletim de ocorrência e comunique a loja. Quanto mais rápida a reação, maior a chance de recuperar pelo menos parte do valor.

O Pix continua sendo um dos meios de pagamento mais seguros e ágeis já criados no Brasil. Mas, como qualquer tecnologia amplamente adotada, virou alvo prioritário do crime organizado digital. A boa notícia é que, no fim, quem decide se o pagamento vai ou não sair da sua conta é você — na tela em que aparece o nome do recebedor. É lá que o golpe é ganho ou perdido.

Referências

• Banco Central do Brasil — Mecanismo Especial de Devolução (MED) do Pix
• Banco Central do Brasil — Regras de limites e segurança para transações Pix