Existe uma venda acontecendo na sua loja agora que talvez nunca chegue até você.
O cliente entra no site, escolhe o produto, vai para o checkout e seleciona Pix. O QR Code aparece. Ele escaneia, confirma e fecha a tela satisfeito. O dinheiro cai na conta de um criminoso.
E no seu painel, aquela venda aparece como um simples carrinho abandonado.
Não é hipótese. A Kaspersky identificou 90 lojas virtuais brasileiras de pequeno e médio porte infectadas por um código malicioso que troca a chave Pix diretamente na página de pagamento. A descoberta partiu de um pesquisador de segurança independente conhecido como eremit4, e a fraude está ativa desde meados de 2025 em segmentos variados: óticas, autopeças, moda e até plataformas de vaquinhas virtuais.
Vale entender esse caso com calma, porque a lição que ele deixa não é sobre segurança da informação. É sobre gestão de e-commerce.
Como o golpe funciona por dentro
O ataque acontece dentro do seu site, não no computador do cliente. Essa é a diferença que muda tudo.
Os criminosos inserem um trecho de código malicioso nas páginas de checkout da loja. Quando o comprador escolhe pagar com Pix, esse código entra em ação e troca o QR Code gerado pela sua loja por outro, vinculado a uma conta dos golpistas.
E não para no QR Code. A opção “Pix Copia e Cola” também é adulterada, justamente porque a maior parte das compras hoje acontece pelo celular, onde ninguém escaneia nada: só copia a chave e cola no app do banco. Os dois caminhos ficam cobertos.
Pior: o mesmo código consegue capturar dados de cartão de crédito quando o cliente escolhe essa forma de pagamento. É o que a comunidade de segurança chama de magecart, uma família de ataques que rouba dados de pagamento direto na página. O pesquisador que identificou a operação a batizou de o novo magecart brasileiro.
Visualmente, não há nenhum sinal. A página é a sua. A marca é a sua. O valor é o correto. Só o destinatário é outro.
Como a infecção está no site, e não na máquina do comprador, o alcance é total: todo cliente que passar pelo checkout naquele período fica exposto. Não é uma vítima, são todas.
O silêncio é a parte mais cara
Um golpe comum você descobre rápido. Esse, não.
Para o lojista, a venda desviada simplesmente não existe. O sistema nunca registra o recebimento, então o pedido fica marcado como abandonado ou pendente. Nenhum alerta dispara. Nada parece errado: parece só mais um carrinho que não converteu.
Para o cliente, também não há sinal imediato. Ele pagou, tem o comprovante e está esperando a entrega.
A ficha cai dias ou semanas depois, quando ele procura a loja para reclamar do pedido que não chegou. E aí vem a conversa mais constrangedora que um lojista pode ter: explicar para alguém que pagou de boa-fé, na sua loja, que aquele pagamento nunca entrou.
Esse intervalo de silêncio é exatamente o que os criminosos aproveitam. Nesse meio-tempo, o dinheiro é pulverizado entre várias contas de laranjas, o que torna a recuperação dos valores praticamente inviável.
O prejuízo financeiro é só a primeira camada. A segunda é a confiança. O cliente não vai lembrar que a sua loja foi invadida. Ele vai lembrar que pagou e não recebeu.
O detalhe que quase ninguém comentou
Aqui está a parte que interessa a quem tem uma loja no ar.
Todas as lojas identificadas tinham um ponto em comum: rodavam Magento, uma plataforma de e-commerce de código aberto. E a porta de entrada não foi nada sofisticada: credenciais vazadas do painel administrativo e instalações desatualizadas, sem as correções de segurança aplicadas.
Ou seja, não houve técnica exótica de invasão. Houve site abandonado.
E é importante ser preciso aqui, porque a conclusão fácil seria “Magento é inseguro” ou “plataforma aberta é perigosa”. Não é isso. Magento é uma plataforma robusta, usada por operações enormes no mundo inteiro. WordPress e WooCommerce também são. O problema nunca é a ferramenta. É a ferramenta largada.
Toda plataforma de código aberto funciona com o mesmo contrato implícito: você ganha liberdade e controle totais e assume a responsabilidade pela manutenção. Quando essa segunda parte do contrato não é cumprida, a liberdade vira exposição.
A Kaspersky alerta ainda que, com a técnica já circulando em fóruns criminosos, outros grupos tendem a adotá-la rápido. Traduzindo: isso não vai ficar restrito ao Magento nem às 90 lojas mapeadas.
O que fazer no seu site, hoje
Nada do que vem a seguir é complexo. É justamente por ser simples que costuma ser deixado de lado. São sete medidas, da mais urgente para a mais estrutural:
- Ative a autenticação em duas etapas (2FA) no painel. Senha vazada é a porta de entrada mais comum da América Latina. Com 2FA ativo, a senha sozinha não abre nada.
- Troque as senhas de tudo que dá acesso à operação. Painel da loja, hospedagem, FTP e banco de dados. Senhas únicas e complexas, uma para cada serviço. Reaproveitar senha é entregar todas as chaves quando uma vaza.
- Atualize a plataforma, o tema e os plugins. Versão sem suporte oficial não recebe correção de segurança: continuar nela é operar com uma falha conhecida e documentada, esperando alguém usá-la. Aplique as correções assim que saem, não quando sobrar tempo.
- Audite o checkout com frequência. Como a adulteração acontece no navegador do cliente, monitorar só o servidor não resolve. Implemente verificação de integridade dos arquivos das páginas de pagamento e confira periodicamente o que está sendo executado ali.
- Exiba o CNPJ real da conta beneficiária na tela de pagamento. Várias lojas afetadas passaram a mostrar os dados do recebedor abaixo do código e a orientar o cliente a conferir antes de confirmar. É uma checagem de dez segundos que o comprador faz por você. Algumas foram além: removeram o QR Code e mantiveram só a chave Pix vinculada ao CNPJ, ou migraram o pagamento para intermediadores.
- Crie alerta para pedidos pendentes fora do padrão. Se pedidos começarem a travar em “aguardando pagamento” além do tempo normal de liquidação do Pix, isso precisa gerar um aviso. Foi por um aumento estranho na desistência de compras que alguns lojistas perceberam que algo estava errado.
- Concilie os comprovantes com o status das vendas. Automatizar essa conferência transforma um golpe silencioso em um alerta no mesmo dia.
Site não é obra entregue. É operação viva.
A maior parte dos problemas que eu vejo em loja virtual não nasce de um erro técnico grave. Nasce da ideia de que site é um projeto com data de entrega: você paga, recebe, publica e pronto.
Não é. Um e-commerce é uma operação que roda todos os dias, movimenta dinheiro de verdade e depende de dezenas de componentes que mudam o tempo inteiro: plataforma, tema, plugins, integrações, gateway, servidor. Cada um deles evolui, recebe correção, muda requisito e descontinua versão.
Loja que fica dois anos sem ninguém olhar não fica parada no tempo. Ela fica lentamente exposta, e a conta chega de uma vez.
Manutenção não é gasto recorrente sem retorno. É o que separa uma operação que cresce de uma que um dia simplesmente para. Ou, como nesse caso, que continua vendendo normalmente enquanto o dinheiro entra na conta de outra pessoa.
A pergunta que fica é direta: você sabe quando a sua loja foi atualizada pela última vez?
Se a resposta demorou mais de cinco segundos, vale conversarmos. Fale comigo e eu faço um diagnóstico da sua operação.
Fontes: InfoMoney, Folha de S.Paulo e Kaspersky.
