Uma novidade modalidade de fraude altera de forma imperceptível o QR code do Pix nas páginas de pagamento de lojas virtuais, segundo alerta da empresa de segurança Kaspersky antecipado pela Folha.

O vírus, revelado em 1º de setembro pelo pesquisador de segurança independente chamado de “eremit4”, substitui o código Pix original gerado pela loja online por um fraudulento no momento de pagamento, desviando o quantia da vítima diretamente para a conta de golpistas.

“É o novo magecart brasílio”, escreveu o pesquisador em referência a uma modalidade tradicional de fraudes para roubar dados de cartão de crédito.

“Os criminosos evoluíram de leitura de cartão para sequestro de Pix em tempo real, trocando QR codes durante a epílogo da compra para redirecionar os pagamentos”, afirmou o pesquisador independente em uma publicação no X (ex-Twitter).

A Kaspersky verificou o trabalho de eremit4 e detectou 90 sites de ecommerce de pequeno e médio porte infectados no Brasil que usam uma plataforma gratuita chamada Magento.

“Porquê o criminoso infecta o site e não o computador da vítima, o potencial de estrago é muito maior e atinge todos os clientes”, diz Fabio Assolini, diretor do time de investigação da empresa de cibersegurança na América Latina.

“A troca do QR code não deixa nenhum vestígio visual”, diz o profissional. O código do Pix Copia e Cola também é desfigurado a termo de prejudicar quem acessa o ecommerce pelo celular.

Para se proteger, o comprador deve checar o destinatário do Pix antes de confirmar a transação. “O problema é que em sites menores, o pagamento nem sempre vai para o nome fantasia daquela loja, o registro pode estar no nome do possessor”, alerta Assolini.

De concórdia com ele, alguns comerciantes afetados pelo vírus já perceberam os prejuízos ao verificar um número maior na desistência de compras e passaram a informar o CNPJ e o nome da empresa para checagem do cliente. Outros passaram a direcionar as pessoas para plataformas de pagamento terceiras.

Em casos de fraudes, o Banco Medial recomenda o uso do mecanismo peculiar de reembolso (MED) do Pix, que consegue rastrear a transação por até cinco transferências. No entanto, quanto mais os clientes demoram a perceber a fraude, mais tempo os estelionatários têm para repartir a quantia extraviada entre diferentes contas e dificultar o retorno.

Embora o correntista tenha um prazo de 80 dias para fazer a solicitação, os estelionatários distribuem o quantia em dezenas de contas laranja em poucas horas.

“Os criminosos sabem que o limite de transferências rastreáveis é de cinco passagens. O MED é válido quando a pessoa percebe rapidamente”, diz Assolini.

Segundo o diretor da Kaspersky, os criminosos costumam ter mais de 50 contas de “testas de ferro” em operações uma vez que essa. “Perder duas ou três durante o transgressão está nos planos.”

Informes do Banco Medial recomendam fazer a solicitação de MED de qualquer forma para ajudar as instituições financeiras a identificar as contas laranja.

Usar antivírus também pode prevenir a fraude.

“Porquê a troca do QR code é acionada por um código estranho, muitas vezes escrito em linhas ofuscadas, é uma atividade muito suspeita”, afirma o diretor da Kaspersky.

Do lado do lojista, verificar essas duas linhas ofuscadas é um duelo na hora de identificar o comportamento estranho do site.

A empresa de cibersegurança recomenda que os comerciantes mantenham versões atualizadas do Magento, adotem senhas de aproximação únicas e complexas para a médio de governo do site e façam monitoramento recorrente com software de qualidade para identificar comportamentos anômalos.

Assolini alerta ainda que o mesmo vírus magecart, que desvia o Pix, é capaz de reproduzir os dados do cartão de crédito, com objetivo de clonagem, quando o cliente escolhe a outra opção de pagamento. Nesse caso, o lojista ainda recebe o quantia, e o cliente é fraudado no porvir.

A solução nesse caso é o uso de cartões virtuais, cujos dados valem exclusivamente para uma transação.

VEJA COMO SE PROTEGER

Confirme o destinatário: Antes de concluir a transferência pelo aplicativo do banco, verifique se o nome do recebedor e o CNPJ correspondem à loja. Desconfie de pagamentos direcionados a pessoas físicas desconhecidas, embora lojas muito pequenas possam usar o nome do proprietário.

Use cartões virtuais: Para compras no cartão de crédito, gere um cartão virtual temporário no aplicativo do seu banco. Os dados expiram em seguida o uso, impedindo a clonagem futura.

Aja rápido em caso de fraude: Se notar o ramal, acione imediatamente o seu banco para registrar a fraude e solicitar o MED (Mecanismo Privativo de Restituição). Quanto mais rápido o aviso, maior a chance de bloqueio do valor antes da dissipação.

COMO ACIONAR O MED

• No aplicativo do banco, o usuário deve furar a página do Pix e clicar em “Responder Pix”. Em seguida, o banco irá informá-lo sobre as regras e o prazo de 80 dias para questionar a transferência;
• Na tela seguinte, é apresentada a lista de transações recentes do usuário;
• Em seguida selecionar a transferência a ser contestada, o cliente do banco deve indicar a razão do questionamento. Opções uma vez que golpe, fraude e Pix sob ameaço ou sem autorização do titular da conta estão disponíveis;
• Desentendimento mercantil ou contrição não são motivos para queixa de Pix. Transferência feita por miragem e perdas com apostas, loterias e jogos de contratempo também não podem ser questionadas;
• Se a opção selecionada for golpe, fraude ou transgressão, o banco deve coletar informações para caracterizar o evento. Nesta lanço, o usuário pode apensar documentos uma vez que boletim de ocorrência e capturas de tela. A apresentação de provas documentais não é obrigatória;
• Concluído o registro, a instituição financeira gera um protocolo com data e hora. Outrossim, informa prazo de resposta, premência de ter saldo na conta recebedora e de aceite da instituição destinatária da transferência contestada;
• O banco pagador inicia a apuração do pedido de queixa e decide se abre a recuperação de valores no DICT (Diretório de Identificadores de Contas Transacionais), base de dados do Banco Medial. Se houver indícios de uso indevido da queixa, a instituição pode não furar a recuperação mesmo que o motivo indicado pelo usuário seja fraude;
• Se a recuperação for ocasião, são enviadas à instituição recebedora. Se não, o usuário é informado do fechamento da solicitação pelo MED;
• Contas envolvidas na provável fraude podem ser bloqueadas por até 11 dias;
• Se houver saldo, e a queixa for considerada procedente, o estorno dos valores será feito em até 11 dias, contados da decisão dos bancos;
• O usuário pode cancelar a queixa a qualquer momento. Nesses casos, ocorre o estorno de valores eventualmente devolvidos;
• Transações já analisadas, sejam elas rejeitadas, aceitas com reembolso rejeitada, encerradas com reembolso parcial ou canceladas não podem ser contestadas novamente.