Vírus altera Pix em lojas virtuais e desvia pagamentos
Um novo tipo de fraude digital está modificando os QR Codes usados para transferências via Pix durante o pagamento em lojas virtuais, e direcionando os valores para contas de golpistas. A ameaça foi identificada em 1º de setembro pelo pesquisador de segurança conhecido como “eremit4” e, posteriormente, analisada pela empresa de cibersegurança Kaspersky, que encontrou 90 sites de comércio eletrônico de pequeno e médio porte infectados no Brasil.
O código malicioso atua diretamente no site da loja, substituindo o QR Code legítimo pelo código fraudulento no momento em que o consumidor conclui a compra. A alteração também pode atingir o código Pix Copia e Cola, o que permite que a fraude alcance usuários que fazem o pagamento pelo celular.
A ameaça afeta páginas de comércio eletrônico que utilizam a plataforma gratuita Magento. Segundo a análise da Kaspersky, o vírus pode modificar a informação de pagamento sem produzir alterações visuais perceptíveis para o consumidor.
O golpe ocorre quando o consumidor chega à etapa de pagamento de uma loja virtual infectada. Em vez de receber o código Pix originalmente gerado pelo estabelecimento, o usuário visualiza um QR Code alterado pelo código malicioso.
A substituição acontece diretamente na página de pagamento, fazendo com que o dinheiro seja enviado para uma conta controlada pelos fraudadores. O mecanismo também modifica o Pix Copia e Cola, ampliando a possibilidade de atingir diferentes formas de pagamento utilizadas pelo consumidor.
A característica central da ameaça é que o computador ou celular do cliente não precisa estar infectado. O código malicioso é inserido no próprio site de comércio eletrônico e interfere na operação quando o consumidor realiza o pagamento.
Segundo Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, esse modelo aumenta o alcance potencial da fraude porque uma única infecção pode atingir diferentes clientes que acessam a página comprometida.
Outro ponto de atenção é que a troca do QR Code não necessariamente apresenta sinais visuais que permitam ao consumidor identificar a alteração. Por isso, a conferência das informações do destinatário antes da confirmação do Pix é uma das medidas indicadas para reduzir o risco.
Uma das principais recomendações é conferir, no aplicativo do banco, quem receberá o Pix antes de concluir a transferência. O consumidor deve verificar o nome do destinatário e o CNPJ informado na operação e comparar os dados com os da empresa onde realizou a compra.
A conferência pode exigir atenção adicional em pequenos estabelecimentos. Nesses casos, o pagamento pode aparecer vinculado ao nome da pessoa proprietária do negócio, em vez do nome fantasia utilizado na loja virtual.
Alguns comerciantes afetados pela ameaça passaram a informar aos clientes o CNPJ e o nome da empresa justamente para facilitar essa verificação. Outros adotaram plataformas de pagamento terceirizadas como alternativa ao processamento direto no site.
Outra medida mencionada no alerta é o uso de antivírus. De acordo com a Kaspersky, a alteração do QR Code é acionada por um código considerado suspeito, que pode estar inserido em linhas ofuscadas no site.
A ameaça não se limita às transações realizadas por Pix. Segundo o alerta da Kaspersky, o mesmo vírus associado à alteração dos códigos de pagamento pode atuar sobre dados de cartões de crédito quando o consumidor escolhe essa modalidade.
Nesse cenário, o estabelecimento comercial pode receber normalmente o pagamento, enquanto os dados do cartão são capturados pelos criminosos para uma tentativa de clonagem posterior.
A orientação apresentada para esse tipo de situação é utilizar cartões virtuais, cujos dados são destinados a uma transação específica e expiram após o uso.
Dessa forma, a proteção precisa considerar as diferentes formas de pagamento disponibilizadas pelo comércio eletrônico, já que o código malicioso pode atuar de maneira distinta conforme a opção escolhida pelo consumidor.
Para os comerciantes, a prevenção começa pela proteção da própria plataforma de comércio eletrônico. A Kaspersky recomenda que os responsáveis pelos sites mantenham o Magento atualizado, reduzindo a exposição a vulnerabilidades relacionadas à versão utilizada.
Também é recomendada a utilização de senhas únicas e complexas para acessar a área administrativa da loja. O controle dessas credenciais é uma das medidas voltadas à proteção do ambiente utilizado para gerenciar o comércio eletrônico.
O monitoramento recorrente do site com softwares de segurança também pode auxiliar na identificação de comportamentos considerados anômalos. A recomendação é verificar continuamente o ambiente para detectar alterações suspeitas.
A identificação do código malicioso pode ser difícil para o próprio lojista, especialmente porque a ameaça pode estar escondida em linhas de código ofuscadas. Por isso, o acompanhamento técnico do funcionamento da página faz parte das medidas indicadas para detectar a infecção.
Caso o consumidor identifique que realizou um pagamento para um destinatário diferente do esperado, a orientação apresentada no conteúdo é procurar imediatamente o banco para registrar a fraude e solicitar o Mecanismo Especial de Devolução (MED) do Pix.
O mecanismo permite que a operação seja analisada e que as instituições financeiras envolvidas adotem procedimentos para tentar recuperar os valores. A solicitação pode ser feita em até 80 dias após a transação.
Apesar desse prazo, a rapidez na comunicação é relevante para a tentativa de recuperação do dinheiro. Segundo o alerta, os criminosos podem transferir os valores para diversas contas em poucas horas, dificultando o rastreamento e o bloqueio dos recursos.
O MED pode rastrear a movimentação por até cinco transferências. Por isso, quanto mais rapidamente a fraude for comunicada, menor tende a ser o tempo disponível para a distribuição do dinheiro entre outras contas.
Mesmo quando a recuperação não é possível, a recomendação é registrar a contestação. A informação pode contribuir para que as instituições financeiras identifiquem contas utilizadas como intermediárias em operações fraudulentas.
Fonte: Lívia Macario
