Um golpe identificado em 1º de setembro de 2026 pelo pesquisador de segurança independente conhecido como eremit4, e confirmado em seguida pela Kaspersky, já atingiu pelo menos 90 lojas virtuais de pequeno e médio porte no Brasil. O ataque não depende de vírus no celular ou no computador do consumidor: ele infecta a própria página de checkout da loja e substitui o QR Code do Pix legítimo, e também o código copia e cola, por uma versão fraudulenta segundos antes do pagamento ser confirmado.
Segundo a Kaspersky, a maior parte das lojas comprometidas roda em Magento, a plataforma de código aberto usada por uma parcela relevante do e-commerce brasileiro de médio porte. Isso não significa que o Magento tenha uma falha estrutural de segurança. Significa que 90 operações ficaram sem a vigilância técnica que deveria ter detectado a alteração antes que ela chegasse ao cliente final. É esse o ponto que a Trezo quer destacar neste artigo: o problema não está na plataforma, está na lacuna de acompanhamento em cima dela.
Principais Pontos do Artigo
- O golpe foi identificado em 1º de setembro de 2026 pelo pesquisador eremit4 e confirmado pela Kaspersky, que já contabiliza pelo menos 90 lojas infectadas no Brasil.
- O ataque acontece na página de checkout da loja, não no aparelho do cliente: um script malicioso troca o QR Code e a chave copia e cola do Pix por dados de contas de “laranjas”.
- A maioria das lojas afetadas usa Magento, geralmente com módulos desatualizados ou credenciais de administrador fracas.
- No painel da loja, o pedido some entre “carrinho abandonado” e “pendente”, porque o gateway de pagamento nunca recebe a confirmação real.
- O mesmo script pode capturar dados de cartão de crédito quando o cliente escolhe essa forma de pagamento.
- Lojistas afetados costumam descobrir o problema só quando o cliente reclama, dias depois, cobrando a entrega de um produto que pagou e não recebeu.
Como o golpe do QR Code do Pix funciona
O ataque não depende de um vírus instalado no celular ou no navegador do consumidor. O código malicioso fica hospedado dentro do próprio site da loja, geralmente inserido por meio de uma extensão desatualizada, um plugin de terceiros ou uma credencial de administrador comprometida. Quando o cliente chega à etapa final da compra e escolhe pagar via Pix, o script intercepta a geração do QR Code e devolve, no lugar do código legítimo, um QR Code que direciona o valor para uma conta controlada pelos criminosos. A mesma substituição acontece com a chave copia e cola, o que atinge também quem paga pelo aplicativo do banco em vez de escanear a imagem na tela.
O valor exibido continua correto. Só o destinatário muda, e isso normalmente não aparece de forma perceptível para quem está comprando. Do lado do lojista, o efeito é ainda mais silencioso: como o pagamento nunca chega ao gateway oficial, o pedido fica registrado como pendente ou como carrinho abandonado. Segundo a análise da Kaspersky, a infecção acontece no servidor da loja, não no dispositivo do cliente, o que significa que qualquer pessoa que compre naquela loja durante o período de infecção está exposta, e não apenas quem usa um aparelho ou uma rede específica.
Quando o consumidor opta por pagar com cartão em vez de Pix, o mesmo script pode capturar os dados do cartão para uma tentativa de clonagem posterior. Em outras palavras, o golpe não é exclusivamente sobre Pix. É sobre a integridade da página de checkout como um todo.
Por que lojas Magento estão no centro do ataque
Magento é, de longe, a plataforma de código aberto mais usada entre lojas de médio porte no Brasil, o que naturalmente aumenta sua exposição estatística a esse tipo de campanha: quanto mais lojas rodam sobre a mesma base de código, maior o número de alvos disponíveis para quem varre a internet em busca de versões desatualizadas. Isso é diferente de dizer que o Magento tem uma falha inerente de segurança, e essa distinção importa.
Nas 90 lojas identificadas pela Kaspersky, o padrão observado se repete: núcleo ou extensões do Magento sem atualização recente, senha de administrador reaproveitada ou fraca, e nenhuma rotina de verificação de integridade sobre os arquivos da página de checkout. Nenhum desses três pontos é um problema de plataforma. São pontos de manutenção.
É essa a leitura que trazemos aqui: o golpe do QR Code do Pix não é motivo para desconfiar do Magento como tecnologia. É evidência concreta do que acontece quando uma loja em Magento fica sem alguém observando ativamente a saúde do ambiente, atualizando módulos, revisando permissões de acesso e comparando pedidos com pagamentos recebidos. A plataforma sustenta operações de eletrônicos, autopeças, beleza e farma no Brasil há anos sem incidentes desse tipo, quando esse acompanhamento existe.
O que esse golpe muda para quem vende com Pix
Para quem dirige um e-commerce de médio ou grande porte, esse golpe não é só uma notícia de segurança. É um risco direto de reputação e de caixa. Um cliente que pagou e não recebeu o produto não vai lembrar que o problema estava no checkout; vai lembrar que comprou na sua loja e foi lesado. Isso significa reclamação pública, acionamento do Mecanismo Especial de Devolução (MED) contra a conta da loja quando o banco entender que há indício de fraude na origem, e desgaste com um cliente que provavelmente não volta a comprar.
Vale observar o painel administrativo com outros olhos esta semana. Pedidos registrados como pendentes ou como carrinho abandonado nos últimos 30 dias merecem conferência manual: o valor foi efetivamente recebido no CNPJ da empresa? Se essa resposta demorar para vir, ou se o número de pedidos “abandonados” no Pix cresceu sem explicação óbvia, esse é o sinal de que vale a pena auditar a integridade da página de checkout antes que um cliente precise avisar primeiro.
Como proteger o checkout da sua loja Magento
As medidas de proteção contra esse golpe específico são conhecidas e, na maior parte, já fazem parte de uma rotina básica de manutenção de e-commerce. O ponto é executá-las com consistência, não apenas uma vez.
- Mantenha o Magento e todas as extensões na versão mais recente compatível. Para lojas em versões mais antigas, o caminho recomendado normalmente passa por uma etapa intermediária, como a atualização para a versão 2.4.8 antes de avançar para a 2.4.9, em vez de um salto direto.
- Ative autenticação em duas etapas para qualquer acesso ao painel administrativo e revise senhas reaproveitadas ou compartilhadas entre a equipe.
- Audite periodicamente os arquivos da página de checkout em busca de scripts injetados ou linhas de código ofuscadas, que é exatamente onde esse malware se escondeu nas lojas afetadas.
- Automatize a conciliação entre pedidos registrados no Magento e pagamentos efetivamente confirmados pelo gateway, para detectar divergências em horas, não em dias.
- Exiba claramente o CNPJ e a razão social da empresa na tela de pagamento, facilitando a conferência pelo cliente antes de confirmar o Pix.
- Considere isolar a geração do QR Code em um gateway de pagamento homologado, em vez de gera-lo diretamente na página do checkout.
Nenhuma dessas medidas é cara ou complexa isoladamente. O risco está em tratá-las como tarefa pontual em vez de rotina.
O papel do acompanhamento técnico contínuo na prevenção
O trabalho de sustentação de uma loja Magento inclui, entre outras coisas, exatamente as rotinas listadas acima: patch de segurança aplicado no momento em que é publicado, monitoramento do ambiente de produção e verificação recorrente da integridade do checkout. Quando esse acompanhamento é institucional, e não depende da memória de uma única pessoa, uma alteração como a inserção de um script fraudulento no checkout tende a ser identificada antes que o primeiro cliente seja afetado, não depois que o décimo cliente reclama.
Isso vale tanto para quem já opera com um parceiro técnico dedicado quanto para times internos. A pergunta certa para fazer esta semana, seja para a equipe interna ou para quem cuida da infraestrutura da loja, é simples: quando foi a última vez que alguém revisou, linha por linha, o código da página de pagamento?
Fale com nossos especialistas
A Trezo opera com infraestrutura gerenciada em parceria com a AWS Partner Network e é certificada ISO 27001, base para o padrão de segurança aplicado no acompanhamento contínuo de lojas Magento de médio e grande porte. Se você quer uma avaliação da integridade do checkout da sua loja, fale com nossos especialistas.
Perguntas frequentes
Não exclusivamente, mas a maior parte das 90 lojas identificadas pela Kaspersky roda em Magento Open Source, a versão gratuita da plataforma. O mecanismo do ataque, um script injetado na página de checkout, pode em teoria atingir qualquer plataforma com falhas semelhantes de segurança. Lojas em Adobe Commerce, a versão paga que compartilha o mesmo núcleo do Magento Open Source, não estão automaticamente protegidas: o fator decisivo é o nível de manutenção e monitoramento aplicado ao ambiente, não a licença escolhida.
Compare, nos últimos 30 dias, os pedidos marcados como pendentes ou como carrinho abandonado no painel administrativo com os pagamentos efetivamente recebidos pelo CNPJ da empresa. Depois, peça a um especialista para revisar o código-fonte da página de checkout em busca de scripts não reconhecidos ou linhas ofuscadas, e confira os logs de acesso ao administrador em busca de logins fora do padrão. Se qualquer um desses três pontos apresentar divergência, trate como incidente até prova em contrário.
Oriente o cliente a contatar o banco imediatamente e abrir o Mecanismo Especial de Devolução (MED), que pode ser solicitado em até 80 dias após a transação, embora a velocidade de acionamento afete diretamente a chance de recuperação do valor. Em paralelo, trate o caso como possível indício de comprometimento da página de checkout, não como um erro isolado do cliente, e inicie a auditoria de integridade descrita neste artigo antes que outros clientes sejam afetados pela mesma falha.
