SÃO PAULO, SP (FOLHAPRESS) – Uma nova modalidade de fraude altera de forma imperceptível o QR code do Pix nas páginas de pagamento de lojas virtuais, segundo alerta da empresa de segurança Kaspersky.
O vírus, descoberto em 1º de setembro pelo pesquisador de segurança independente chamado de “eremit4”, substitui o código Pix original gerado pela loja online por um fraudulento no momento de pagamento, desviando o dinheiro da vítima diretamente para a conta de golpistas.
“É o novo magecart brasileiro”, escreveu o pesquisador em referência a uma modalidade tradicional de fraudes para roubar dados de cartão de crédito.
“Os criminosos evoluíram de leitura de cartão para sequestro de Pix em tempo real, trocando QR codes durante a conclusão da compra para redirecionar os pagamentos”, afirmou o pesquisador independente em uma publicação no X (ex-Twitter).
A Kaspersky verificou o trabalho de eremit4 e detectou 90 sites de ecommerce de pequeno e médio porte infectados no Brasil que usam uma plataforma gratuita chamada Magento.
“Como o criminoso infecta o site e não o computador da vítima, o potencial de estrago é muito maior e atinge todos os clientes”, diz Fabio Assolini, diretor do time de investigação da empresa de cibersegurança na América Latina.
“A troca do QR code não deixa nenhum indício visual”, diz o especialista. O código do Pix Copia e Cola também é alterado a fim de prejudicar quem acessa o ecommerce pelo celular.
Para se proteger, o comprador deve checar o destinatário do Pix antes de confirmar a transação. “O problema é que em sites menores, o pagamento nem sempre vai para o nome fantasia daquela loja, o registro pode estar no nome do dono”, alerta Assolini.
De acordo com ele, alguns comerciantes afetados pelo vírus já perceberam os prejuízos ao verificar um número maior na desistência de compras e passaram a informar o CNPJ e o nome da empresa para checagem do cliente. Outros passaram a direcionar as pessoas para plataformas de pagamento terceiras.
Em casos de fraudes, o Banco Central recomenda o uso do mecanismo especial de devolução (MED) do Pix, que consegue rastrear a transação por até cinco transferências. No entanto, quanto mais os clientes demoram a perceber a fraude, mais tempo os estelionatários têm para distribuir a quantia extraviada entre diferentes contas e dificultar o retorno.
Embora o correntista tenha um prazo de 80 dias para fazer a solicitação, os estelionatários distribuem o dinheiro em dezenas de contas laranja em poucas horas.
“Os criminosos sabem que o limite de transferências rastreáveis é de cinco passagens. O MED é válido quando a pessoa percebe rapidamente”, diz Assolini.
Segundo o diretor da Kaspersky, os criminosos costumam ter mais de 50 contas de “testas de ferro” em operações como essa. “Perder duas ou três durante o crime está nos planos.”
Informes do Banco Central recomendam fazer a solicitação de MED de qualquer forma para ajudar as instituições financeiras a identificar as contas laranja.
Usar antivírus também pode prevenir a fraude.
“Como a troca do QR code é acionada por um código estranho, muitas vezes escrito em linhas ofuscadas, é uma atividade muito suspeita”, afirma o diretor da Kaspersky.
Do lado do lojista, verificar essas duas linhas ofuscadas é um desafio na hora de identificar o comportamento estranho do site.
A empresa de cibersegurança recomenda que os comerciantes mantenham versões atualizadas do Magento, adotem senhas de acesso únicas e complexas para a central de administração do site e façam monitoramento recorrente com software de qualidade para identificar comportamentos anômalos.
Assolini alerta ainda que o mesmo vírus magecart, que desvia o Pix, é capaz de copiar os dados do cartão de crédito, com objetivo de clonagem, quando o cliente escolhe a outra opção de pagamento. Nesse caso, o lojista ainda recebe o dinheiro, e o cliente é fraudado no futuro.
A solução nesse caso é o uso de cartões virtuais, cujos dados valem apenas para uma transação.
VEJA COMO SE PROTEGER
Confirme o destinatário: Antes de concluir a transferência pelo aplicativo do banco, verifique se o nome do recebedor e o CNPJ correspondem à loja. Desconfie de pagamentos direcionados a pessoas físicas desconhecidas, embora lojas muito pequenas possam usar o nome do proprietário.
Use cartões virtuais: Para compras no cartão de crédito, gere um cartão virtual temporário no aplicativo do seu banco. Os dados expiram após o uso, impedindo a clonagem futura.
Aja rápido em caso de fraude: Se notar o desvio, acione imediatamente o seu banco para registrar a fraude e solicitar o MED (Mecanismo Especial de Devolução). Quanto mais rápido o aviso, maior a chance de bloqueio do valor antes da dispersão.
COMO ACIONAR O MED
– No aplicativo do banco, o usuário deve abrir a página do Pix e clicar em “Contestar Pix”. Em seguida, o banco irá informá-lo sobre as regras e o prazo de 80 dias para questionar a transferência;
– Na tela seguinte, é apresentada a lista de transações recentes do usuário;
– Após selecionar a transferência a ser contestada, o cliente do banco deve indicar a razão do questionamento. Opções como golpe, fraude e Pix sob ameaça ou sem autorização do titular da conta estão disponíveis;
– Desentendimento comercial ou arrependimento não são motivos para contestação de Pix. Transferência feita por engano e perdas com apostas, loterias e jogos de azar também não podem ser questionadas;
– Se a opção selecionada for golpe, fraude ou crime, o banco deve coletar informações para caracterizar o evento. Nesta etapa, o usuário pode anexar documentos como boletim de ocorrência e capturas de tela. A apresentação de provas documentais não é obrigatória;
– Concluído o registro, a instituição financeira gera um protocolo com data e hora. Além disso, informa prazo de resposta, necessidade de haver saldo na conta recebedora e de aceite da instituição destinatária da transferência contestada;
– O banco pagador inicia a apuração do pedido de contestação e decide se abre a recuperação de valores no DICT (Diretório de Identificadores de Contas Transacionais), base de dados do Banco Central. Se houver indícios de uso indevido da contestação, a instituição pode não abrir a recuperação mesmo que o motivo indicado pelo usuário seja fraude;
– Se a recuperação for aberta, são enviadas à instituição recebedora. Se não, o usuário é informado do encerramento da solicitação pelo MED;
– Contas envolvidas na possível fraude podem ser bloqueadas por até 11 dias;
– Se houver saldo, e a contestação for considerada procedente, o estorno dos valores será feito em até 11 dias, contados da decisão dos bancos;
– O usuário pode cancelar a contestação a qualquer momento. Nesses casos, ocorre o estorno de valores eventualmente devolvidos;
– Transações já analisadas, sejam elas rejeitadas, aceitas com devolução rejeitada, encerradas com devolução parcial ou canceladas não podem ser contestadas novamente.