Um novo tipo de malware comprometeu 90 lojas virtuais no Brasil, realizando a adulteração dos códigos Pix em tempo real durante transações de compras online. A empresa de cibersegurança Kaspersky confirmou a ocorrência da fraude após a identificação feita pelo pesquisador independente conhecido como “eremit4”.
De acordo com a Folha, este código malicioso modifica tanto o QR Code quanto a funcionalidade Pix Copia e Cola no exato momento em que o consumidor finaliza a aquisição. Os valores são então redirecionados para contas sob controle de golpistas, sem que o comprador perceba qualquer indício visual da irregularidade.
O ataque visa especificamente sites de comércio eletrônico que empregam a plataforma Magento. Quando o cliente gera o pagamento para concluir seu pedido, um script substitui o QR Code original por um código fraudulento gerenciado pelos criminosos. Como essa modificação ocorre internamente no próprio website, o comprador não detecta nenhuma anomalia.
A natureza do ataque
O pesquisador eremit4 apelidou esta operação de “o novo magecart brasileiro”, fazendo alusão ao método tradicional de fraude utilizado para furtar informações de cartões de crédito. Além disso, se o cliente optar pelo pagamento via cartão de crédito, o mesmo malware tem a capacidade de capturar os dados para uma fraude subsequente. Neste cenário, o comerciante recebe o pagamento normalmente, mas o cliente fica vulnerável à clonagem do seu cartão.
Uma vez que o invasor infecta o site e não o dispositivo da vítima, o potencial de dano é significativamente maior, atingindo todos os clientes da loja. Fabio Assolini, diretor da equipe de investigação da Kaspersky na América Latina, comentou sobre a situação para a Folha.
Medidas de segurança e recuperação
É crucial que o consumidor identifique a fraude rapidamente para haver chance de reaver o dinheiro. O Mecanismo Especial de Devolução (MED) do Pix possibilita o rastreamento da transação por um máximo de cinco transferências, conforme alertou Assolini. Contudo, os criminosos podem dispersar o montante em diversas contas de fachada em questão de poucas horas, o que complica a recuperação dos valores.
Assolini ressaltou que “Os criminosos sabem que o limite de transferências rastreáveis é de cinco passagens. O MED é válido quando a pessoa percebe rapidamente”. Embora o consumidor disponha de até 80 dias para solicitar o MED, o Banco Central aconselha que a contestação seja registrada mesmo que a recuperação não seja assegurada, pois isso auxilia as instituições financeiras a mapear as contas usadas nos esquemas fraudulentos.
Visto que a alteração no pagamento não apresenta sinais visíveis, a principal linha de defesa do consumidor reside na verificação minuciosa dos dados antes de autorizar a transferência. Comerciantes impactados pelo vírus notaram um aumento nas desistências de pedidos. Alguns optaram por divulgar o CNPJ e o nome da empresa para que o cliente possa confirmar o beneficiário do Pix, enquanto outros implementaram o uso de plataformas de pagamento externas.
Recomendações de prevenção
Para diminuir o risco de futuras infecções, a Kaspersky sugere manter a plataforma Magento sempre atualizada, empregar senhas fortes e exclusivas no acesso administrativo do site, além de realizar monitoramento contínuo com softwares de qualidade. O código responsável pelo ataque pode estar disfarçado em trechos ofuscados, o que dificulta a detecção do comportamento malicioso. Essa mesma ameaça também consegue roubar dados de cartão quando o cliente escolhe essa modalidade de pagamento.
Caso alguém identifique um Pix fraudulento, deve acessar a seção Pix no aplicativo bancário, selecionar a opção “Contestar Pix” e declarar que se trata de um golpe ou fraude. As contas envolvidas podem permanecer bloqueadas por até 11 dias durante o processo de apuração, e qualquer estorno dependerá da disponibilidade de saldo e da análise das instituições financeiras.