Uma ótica vende um par de óculos pelo site num domingo à noite. O cliente lê o QR Code, paga o Pix e fecha o navegador satisfeito. O dinheiro cai na conta de um criminoso, e a loja nem registra a venda: no painel dela, o pedido aparece como abandonado. Não é hipótese. Foi assim que a Kaspersky descreveu, nesta semana, um golpe que já atingiu 90 lojas virtuais de pequeno e médio porte no Brasil.
O código que a Kaspersky achou em 90 lojas virtuais brasileiras
O mecanismo é mais simples do que assusta. Os criminosos plantam um código malicioso dentro do próprio site da loja. Quando o cliente chega na hora de pagar e o sistema gera o Pix, esse código troca, no mesmo instante, o QR Code verdadeiro e o texto do “copia e cola” por dados de uma conta que eles controlam. Nada pisca, nada dá erro. O comprador paga achando que quitou o pedido, e o valor vai embora.
Segundo a InfoMoney, a Kaspersky mapeou 90 lojas de pequeno e médio porte já contaminadas, em ramos que vão de ótica e autopeças a moda e plataformas de vaquinha online. O código foi identificado primeiro por um pesquisador independente que atende pelo apelido eremit4, e a operação está no ar desde junho de 2025. Há um detalhe que une as vítimas: todas rodam a mesma plataforma de e-commerce, o Magento.
Fraude de checkout não é nova: o que mudou foi o alvo brasileiro
Injetar código na página de pagamento para desviar dinheiro é tática velha no exterior. Faz anos que campanhas parecidas capturam número de cartão em lojas mal cuidadas mundo afora, prática que o mercado de segurança apelidou de roubo de checkout. A novidade que a apuração da Kaspersky traz é o endereço: em vez de mirar o cartão, o golpe vai atrás do QR Code do Pix, hoje o meio de pagamento mais usado no e-commerce brasileiro. A técnica não mudou; ela só desembarcou por aqui e aprendeu a falar a língua do pagamento local.
Para quem toca uma PME, o ponto que muda a operação é outro, e dá para separá-lo do ruído. Não existe “vírus no Pix”, como alguns títulos deram a entender: o aplicativo do banco e o sistema do Pix seguem intactos. O elo que quebrou é o site da loja, invadido porque a plataforma ficou tempo demais sem atualização de segurança. O perfil da vítima é conhecido: quem subiu a loja numa plataforma popular e nunca mais voltou para cuidar dela. Loja pequena costuma virar alvo fácil justamente porque ninguém está olhando.
O que o lojista não vê enquanto a venda aparece como abandonada
A parte mais perversa é o silêncio. Como o dinheiro nunca entra no sistema oficial da loja, o pedido fica com status de abandonado ou pendente, aquele rótulo que quase ninguém abre para investigar. O dono só percebe dias depois, quando o cliente liga irritado cobrando uma entrega que jura ter pago. Aí já são duas perdas de uma vez: a venda que virou pó e um cliente que sai contando o caso para os outros. Para uma loja de bairro que vive de indicação, a segunda dói mais que a primeira. E o prejuízo raramente para no valor daquela compra: vem o pedido de reembolso, a nota que não fecha no caixa e o tempo do dono gasto apagando incêndio em vez de vender.
Antes de trocar de plataforma no susto, olhe onde o risco realmente mora. Alguns sinais concretos que pedem uma checada no seu caso:
- Um salto estranho de pedidos abandonados logo depois da tela de pagamento, sem explicação de tráfego ou de preço.
- Clientes reclamando da entrega de compras que, no seu painel, constam como não pagas.
- A plataforma da loja (Magento, WooCommerce ou outra) com meses parada, sem aplicar atualização de segurança.
- Ninguém no time sabe dizer quando foi a última vez que alguém leu o código que roda na página de pagamento.
Se três desses quatro itens batem com a sua realidade, o problema não está no Pix. Está numa loja que roda sozinha, sem manutenção, faz tempo.
O checkout que ninguém audita é o ponto mais fraco do site
O recado da semana é menos sobre o Pix e mais sobre manutenção. Uma loja virtual não é um cartaz que se pendura e esquece: é software que precisa de atualização e de alguém de olho no que roda na hora de pagar. Manter a plataforma em dia e revisar o checkout de tempos em tempos é o que separa quem perde uma venda pontual de quem perde 90 sem notar. Se a sua loja virtual hoje não tem quem faça isso, colocar a manutenção do site em dia deixa de ser custo e passa a ser o que mantém o dinheiro da venda caindo na sua conta.
