SÃO PAULO — Um vírus altera o QR Code do Pix nas páginas de pagamento de lojas virtuais e direciona o dinheiro para contas de golpistas. A fraude ocorre no momento da compra e não deixa sinais visuais para o cliente.
O código malicioso foi descoberto em 1º de setembro pelo pesquisador independente conhecido como “eremit4”. A Kaspersky verificou a ameaça e encontrou 90 sites de ecommerce de pequeno e médio porte infectados no Brasil. As páginas usam o Magento, plataforma gratuita.
O ataque substitui o código Pix gerado pela loja por outro, fraudulento. O Pix Copia e Cola também pode ser trocado, afetando principalmente quem acessa o comércio eletrônico pelo celular. De acordo com Fabio Assolini, diretor do time de investigação da Kaspersky na América Latina, a infecção ocorre no site, e não no computador do comprador, o que amplia o alcance sobre os clientes.
O mesmo vírus pode copiar dados do cartão de crédito quando essa opção é escolhida no checkout. Nesse caso, a loja recebe o pagamento, mas o consumidor fica sujeito a uma clonagem posterior. A recomendação é usar cartões virtuais, com dados válidos para uma única transação.
Como reduzir o risco
Antes de confirmar um Pix, o cliente deve verificar se o nome do recebedor e o CNPJ correspondem à loja. Em estabelecimentos pequenos, o pagamento pode aparecer no nome do proprietário, mas destinatários desconhecidos exigem atenção.
Comerciantes afetados relataram aumento nas desistências de compras e passaram a informar o CNPJ e o nome da empresa para conferência. Outros direcionaram os clientes para plataformas de pagamento terceiras.
A Kaspersky recomenda manter o Magento atualizado, usar senhas únicas e complexas na administração do site e realizar monitoramento recorrente com software de qualidade. O uso de antivírus também pode ajudar a detectar a atividade suspeita associada ao código malicioso.
Solicitação de devolução
Em caso de fraude, o Banco Central recomenda pedir o MED, o Mecanismo Especial de Devolução do Pix. O sistema pode rastrear a transação por até cinco transferências. Embora o correntista tenha prazo de 80 dias para solicitar o mecanismo, a demora facilita a distribuição do dinheiro entre contas laranja.
O pedido deve ser feito no aplicativo do banco, na área do Pix, pela opção “Contestar Pix”. Depois, o cliente seleciona a transação, indica o motivo e pode anexar documentos, como boletim de ocorrência e capturas de tela. A apresentação dessas provas não é obrigatória.
Desentendimento comercial, arrependimento, transferência feita por engano e perdas com apostas, loterias e jogos de azar não permitem contestação. Após o registro, o banco gera um protocolo com data e hora e informa o prazo de resposta.
Se houver indícios de fraude, o banco pagador decide se abre a recuperação no DICT, base de dados do Banco Central. As contas envolvidas podem ser bloqueadas por até 11 dias. Havendo saldo e procedência da contestação, o estorno ocorre em até 11 dias contados da decisão dos bancos.
O usuário pode cancelar a contestação a qualquer momento, com estorno de valores eventualmente devolvidos. Transações já analisadas não podem ser contestadas novamente.
