Um novo tipo de fraude digital está modificando os QR Codes usados para transferências via Pix durante o pagamento em lojas virtuais, e direcionando os valores para contas de golpistas. A ameaça foi identificada em 1º de setembro pelo pesquisador de segurança conhecido como “eremit4” e, posteriormente, analisada pela empresa de cibersegurança Kaspersky, que encontrou 90 sites de comércio eletrônico de pequeno e médio porte infectados no Brasil.
O código malicioso atua diretamente no site da loja, substituindo o QR Code legítimo pelo código fraudulento no momento em que o consumidor conclui a compra. A alteração também pode atingir o código Pix Copia e Cola, o que permite que a fraude alcance usuários que fazem o pagamento pelo celular.
A ameaça afeta páginas de comércio eletrônico que utilizam a plataforma gratuita Magento. Segundo a análise da Kaspersky, o vírus pode modificar a informação de pagamento sem produzir alterações visuais perceptíveis para o consumidor.
Como funciona o vírus que modifica o Pix
O golpe ocorre quando o consumidor chega à etapa de pagamento de uma loja virtual infectada. Em vez de receber o código Pix originalmente gerado pelo estabelecimento, o usuário visualiza um QR Code alterado pelo código malicioso.
A substituição acontece diretamente na página de pagamento, fazendo com que o dinheiro seja enviado para uma conta controlada pelos fraudadores. O mecanismo também modifica o Pix Copia e Cola, ampliando a possibilidade de atingir diferentes formas de pagamento utilizadas pelo consumidor.
A característica central da ameaça é que o computador ou celular do cliente não precisa estar infectado. O código malicioso é inserido no próprio site de comércio eletrônico e interfere na operação quando o consumidor realiza o pagamento.
Segundo Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, esse modelo aumenta o alcance potencial da fraude porque uma única infecção pode atingir diferentes clientes que acessam a página comprometida.
Outro ponto de atenção é que a troca do QR Code não necessariamente apresenta sinais visuais que permitam ao consumidor identificar a alteração. Por isso, a conferência das informações do destinatário antes da confirmação do Pix é uma das medidas indicadas para reduzir o risco.
O que o consumidor deve verificar antes de pagar
Uma das principais recomendações é conferir, no aplicativo do banco, quem receberá o Pix antes de concluir a transferência. O consumidor deve verificar o nome do destinatário e o CNPJ informado na operação e comparar os dados com os da empresa onde realizou a compra.
A conferência pode exigir atenção adicional em pequenos estabelecimentos. Nesses casos, o pagamento pode aparecer vinculado ao nome da pessoa proprietária do negócio, em vez do nome fantasia utilizado na loja virtual.
Alguns comerciantes afetados pela ameaça passaram a informar aos clientes o CNPJ e o nome da empresa justamente para facilitar essa verificação. Outros adotaram plataformas de pagamento terceirizadas como alternativa ao processamento direto no site.
Outra medida mencionada no alerta é o uso de antivírus. De acordo com a Kaspersky, a alteração do QR Code é acionada por um código considerado suspeito, que pode estar inserido em linhas ofuscadas no site.
Fraude também pode atingir pagamentos com cartão
A ameaça não se limita às transações realizadas por Pix. Segundo o alerta da Kaspersky, o mesmo vírus associado à alteração dos códigos de pagamento pode atuar sobre dados de cartões de crédito quando o consumidor escolhe essa modalidade.
Nesse cenário, o estabelecimento comercial pode receber normalmente o pagamento, enquanto os dados do cartão são capturados pelos criminosos para uma tentativa de clonagem posterior.
A orientação apresentada para esse tipo de situação é utilizar cartões virtuais, cujos dados são destinados a uma transação específica e expiram após o uso.
Dessa forma, a proteção precisa considerar as diferentes formas de pagamento disponibilizadas pelo comércio eletrônico, já que o código malicioso pode atuar de maneira distinta conforme a opção escolhida pelo consumidor.
Como os lojistas podem reduzir o risco
Para os comerciantes, a prevenção começa pela proteção da própria plataforma de comércio eletrônico. A Kaspersky recomenda que os responsáveis pelos sites mantenham o Magento atualizado, reduzindo a exposição a vulnerabilidades relacionadas à versão utilizada.
Também é recomendada a utilização de senhas únicas e complexas para acessar a área administrativa da loja. O controle dessas credenciais é uma das medidas voltadas à proteção do ambiente utilizado para gerenciar o comércio eletrônico.
O monitoramento recorrente do site com softwares de segurança também pode auxiliar na identificação de comportamentos considerados anômalos. A recomendação é verificar continuamente o ambiente para detectar alterações suspeitas.
A identificação do código malicioso pode ser difícil para o próprio lojista, especialmente porque a ameaça pode estar escondida em linhas de código ofuscadas. Por isso, o acompanhamento técnico do funcionamento da página faz parte das medidas indicadas para detectar a infecção.
O que fazer se o Pix for desviado
Caso o consumidor identifique que realizou um pagamento para um destinatário diferente do esperado, a orientação apresentada no conteúdo é procurar imediatamente o banco para registrar a fraude e solicitar o Mecanismo Especial de Devolução (MED) do Pix.
O mecanismo permite que a operação seja analisada e que as instituições financeiras envolvidas adotem procedimentos para tentar recuperar os valores. A solicitação pode ser feita em até 80 dias após a transação.
Apesar desse prazo, a rapidez na comunicação é relevante para a tentativa de recuperação do dinheiro. Segundo o alerta, os criminosos podem transferir os valores para diversas contas em poucas horas, dificultando o rastreamento e o bloqueio dos recursos.
O MED pode rastrear a movimentação por até cinco transferências. Por isso, quanto mais rapidamente a fraude for comunicada, menor tende a ser o tempo disponível para a distribuição do dinheiro entre outras contas.
Mesmo quando a recuperação não é possível, a recomendação é registrar a contestação. A informação pode contribuir para que as instituições financeiras identifiquem contas utilizadas como intermediárias em operações fraudulentas.
Leia mais: Pix: prazo para contestar devolução pelo MED passa para 80 dias
Passo a passo para solicitar o MED
O pedido de devolução começa no aplicativo da instituição financeira. O usuário deve acessar a área do Pix e selecionar a opção “Contestar Pix”. O banco apresentará as regras aplicáveis e informará o prazo de até 80 dias para o questionamento.
Na sequência, o aplicativo apresenta as transações recentes para que o cliente escolha aquela que pretende contestar. Depois de selecionar a operação, é necessário informar o motivo, com opções como golpe, fraude ou Pix realizado sob ameaça ou sem autorização do titular.
Nem toda situação envolvendo um Pix permite a abertura do procedimento. Desentendimentos comerciais, arrependimento, transferências realizadas por engano e perdas relacionadas a apostas, loterias ou jogos de azar não são motivos válidos para a contestação pelo MED.
Quando o motivo informado for golpe, fraude ou crime, o banco poderá solicitar informações adicionais para caracterizar a ocorrência. O usuário também pode anexar documentos, como boletim de ocorrência e capturas de tela, embora a apresentação dessas provas não seja obrigatória.
Após o registro, a instituição financeira fornece um protocolo com a data e o horário da solicitação e informa o prazo para resposta. Também são apresentadas informações sobre a necessidade de existência de saldo na conta que recebeu os recursos e sobre o aceite da instituição destinatária.
O banco responsável pelo pagamento inicia a análise e decide se deve abrir o processo de recuperação no Diretório de Identificadores de Contas Transacionais (DICT), base de dados do Banco Central. Caso sejam identificados indícios de uso indevido do mecanismo de contestação, a instituição pode optar por não iniciar a recuperação, mesmo quando o cliente informa que foi vítima de fraude.
Quando a recuperação é aberta, a solicitação é encaminhada à instituição financeira que recebeu os valores. Contas relacionadas à possível fraude podem permanecer bloqueadas por até 11 dias.
Se houver recursos disponíveis e a contestação for considerada procedente, o estorno deve ocorrer em até 11 dias contados da decisão das instituições. O usuário também pode cancelar o pedido a qualquer momento; nesse caso, valores eventualmente devolvidos serão estornados.
Uma vez analisada uma transação, não é possível apresentar uma nova contestação para a mesma operação quando ela tiver sido rejeitada, tiver tido a devolução rejeitada, tiver sido encerrada com devolução parcial ou tiver sido cancelada.
Impactos da fraude digital para a classe contábil
A alteração de códigos de pagamento em lojas virtuais amplia os pontos que podem exigir atenção de empresas e profissionais responsáveis pelo acompanhamento financeiro de operações de comércio eletrônico. A segurança do ambiente de pagamento passa a estar diretamente relacionada ao recebimento dos valores das vendas.
Para a classe contábil, o acompanhamento de divergências entre vendas registradas e valores efetivamente recebidos pode contribuir para a identificação de ocorrências que demandem apuração. Em situações de fraude, também é necessário considerar os registros e documentos relacionados à operação e à tentativa de recuperação dos recursos.
O cenário reforça ainda a necessidade de atenção aos diferentes meios de pagamento utilizados pelos clientes, especialmente em empresas que recebem por Pix e cartão. A adoção de controles sobre as informações de pagamento e o acompanhamento de eventuais inconsistências integram as medidas de prevenção e identificação de problemas financeiros relacionados às transações digitais.
Com informações Folha de S. Paulo
