Um vírus instalado em lojas virtuais está alterando QR codes do Pix no momento do pagamento e desviando os valores para contas de golpistas. A fraude também pode modificar o código Pix Copia e Cola e capturar dados de cartões de crédito.
O malware foi descoberto em 1º de setembro pelo pesquisador independente identificado como eremit4. A Kaspersky verificou a ameaça e encontrou 90 sites de ecommerce de pequeno e médio porte infectados no Brasil. As páginas usam o Magento, uma plataforma gratuita.
O código malicioso substitui o Pix gerado originalmente pela loja por outro, fraudulento, quando o cliente conclui a compra. A troca não deixa alteração visual na tela. No acesso pelo celular, o vírus também modifica o Pix Copia e Cola.
Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, afirma que a infecção ocorre no site, e não no computador do consumidor. Por isso, todos os clientes da página afetada podem ser atingidos. O pesquisador eremit4 classificou a prática como “o novo magecart brasileiro”.
Como reduzir o risco
Antes de confirmar o Pix, o comprador deve conferir o nome do recebedor e o CNPJ exibidos pelo aplicativo do banco. Em lojas pequenas, o pagamento pode estar registrado no nome do proprietário, e não no nome fantasia do comércio.
Alguns comerciantes afetados passaram a informar o CNPJ e o nome da empresa para facilitar a checagem. Outros direcionam os clientes para plataformas de pagamento terceirizadas. O uso de antivírus também pode ajudar a prevenir a fraude.
Quando o pagamento é feito com cartão, o vírus pode copiar os dados para uma tentativa de clonagem futura. Nesse cenário, a loja recebe o dinheiro, mas o cliente fica sujeito à fraude posteriormente. A recomendação é usar cartões virtuais, cujos dados valem para uma única transação e expiram após o uso.
Pedido de devolução do Pix
Em caso de fraude, o Banco Central recomenda solicitar o Mecanismo Especial de Devolução (MED). O pedido pode ser feito em até 80 dias, mas a resposta tende a ser mais difícil quando há demora: os criminosos podem distribuir o dinheiro por dezenas de contas laranja em poucas horas.
O rastreamento alcança até cinco transferências. Fabio Assolini afirma que os criminosos costumam manter mais de 50 contas de “testas de ferro” e que o MED é mais efetivo quando a vítima percebe o desvio rapidamente. Mesmo assim, o Banco Central recomenda registrar a solicitação para ajudar as instituições financeiras a identificar as contas usadas na fraude.
No aplicativo do banco, o cliente deve acessar a área do Pix, escolher “Contestar Pix”, selecionar a transação e indicar o motivo. São aceitas razões como golpe, fraude e Pix sob ameaça ou sem autorização do titular. Desentendimento comercial, arrependimento, transferência feita por engano e perdas com apostas, loterias e jogos de azar não podem ser usados para contestar a operação.
O banco pode pedir informações e permitir o envio de boletim de ocorrência e capturas de tela. A apresentação desses documentos não é obrigatória. Depois do registro, a instituição fornece um protocolo com data e hora, além do prazo de resposta.
A instituição financeira que pagou inicia a análise e decide se abre a recuperação dos valores no DICT, base de dados do Banco Central. Se houver recuperação, contas ligadas à possível fraude podem ser bloqueadas por até 11 dias. Havendo saldo e procedência da contestação, o estorno ocorre em até 11 dias contados da decisão dos bancos.
A contestação pode ser cancelada pelo usuário, com estorno de eventuais valores já devolvidos. Operações já analisadas, rejeitadas, encerradas com devolução parcial ou canceladas não podem ser questionadas novamente.
Medidas para os lojistas
A Kaspersky recomenda manter o Magento atualizado, usar senhas únicas e complexas na central de administração e monitorar o site regularmente com software capaz de identificar comportamentos anômalos. A empresa alerta que o código responsável pela troca pode estar escrito em linhas ofuscadas, o que dificulta a identificação do comportamento estranho.
