Salvador está cheia de cenas que já parecem banais. Nas filas, nos ônibus, nos restaurantes, nas calçadas e no trabalho, o celular está sempre na mão. É banco, loja, carteira, agência de atendimento e meio de pagamento. O aparelho concentra uma parte cada vez maior da vida financeira dos brasileiros, enquanto, do outro lado da tela, criminosos também desenvolvem novas formas de alcançar o dinheiro das vítimas. A mais recente delas chama atenção porque muda justamente um dos elementos que o consumidor considera mais seguros durante uma compra: o pagamento dentro de uma loja virtual verdadeira. A nova modalidade toma conta do Brasil e a Bahia está entre os destinos.
Recentemente, a empresa de cibersegurança Kaspersky identificou um malware capaz de substituir o QR Code legítimo do Pix por um código controlado por criminosos durante o checkout de lojas virtuais. Conforme a empresa, o programa também altera o código do Pix Copia e Cola, fazendo com que o consumidor possa concluir normalmente a operação no aplicativo do banco sem perceber que o dinheiro está sendo enviado para outro destinatário. Até agora, a empresa identificou 90 sites brasileiros infectados, principalmente de pequeno e médio porte.
A descoberta, feita em 1º de setembro pelo pesquisador independente conhecido como “eremit4”, torna a fraude especialmente preocupante porque o malware não precisa estar instalado no celular ou no computador do consumidor. O alvo é a própria estrutura da loja. Quando o cliente chega à página de pagamento e escolhe o Pix, o código malicioso modifica as informações da transação. A página continua com aparência normal, mas o QR Code que deveria levar o dinheiro ao comerciante passa a direcioná-lo para uma conta controlada pelos criminosos.
Segundo a Kaspersky, a campanha maliciosa, ou seja, o golpe, está ativa desde junho de 2025 e já atingiu lojas de diferentes segmentos, como óticas, autopeças, moda e plataformas de arrecadação. Um ponto em comum identificado na investigação é o uso da plataforma de comércio eletrônico de código aberto Magento. “Como o criminoso infecta o site e não o computador da vítima, o potencial de estrago é muito maior e atinge todos os clientes”, afirmou Fabio Assolini, pesquisador de segurança da Kaspersky na América Latina. “A troca do QR code não deixa nenhum indício visual”, acrescentou. Os criminosos recorrem a seis domínios de comando e controle para inserir o código malicioso. O pesquisador “eremit4” chamou a ameaça de “o novo magecart brasileiro”, em referência aos ataques tradicionalmente associados ao roubo de dados de cartões.
A Kaspersky identificou ainda que o ataque não se limita ao Pix. Segundo a empresa, o mesmo malware pode capturar dados de cartão de crédito quando o consumidor escolhe essa modalidade, abrindo a possibilidade de utilização posterior dessas informações. A investigação aponta ainda o uso de seis domínios de comando e controle para inserir o código malicioso nas páginas de checkout.
criminosos recorrem a seis domínios de comando e controle para inserir o código malicioso.
Bahia já registra avanço do estelionato eletrônico; expansão do celular colabora
Embora a Kaspersky ainda não tenha divulgado quantas das 90 lojas comprometidas estão na Bahia, os dados oficiais mostram que o problema vem avançando. Recentemente, uma das operações na Bahia, da Polícia Federal e o Gaeco/BA,f oi a Operação Versão Brasileira contra uma associação suspeita de fraudes bancárias, falsificação de documentos e lavagem de dinheiro. Segundo a PF, o grupo utilizava documentos falsos para abrir contas e realizar operações fraudulentas, com prejuízo superior a R$ 424 mil.
Mas quando se fala em dados gerais, o estado se encontra na mira dos criminosos. Segundo o Anuário Brasileiro de Segurança Pública, a Bahia registrou 10.116 ocorrências de estelionato por meio eletrônico em 2024, contra 7.723 em 2023, aumento de 30,8%. No mesmo período, o total de estelionatos passou de 102.845 para 116.767, alta de 13,4%.No Brasil, de acordo com o 20º Anuário Brasileiro de Segurança Pública, foram registradas 2.261.055 ocorrências de estelionato em 2025, média de 258 casos por hora. O número é 429,8% maior que o registrado em 2018. Do total, 346.753 ocorreram por meio eletrônico, alta de cerca de 21% em relação ao ano anterior.
De acordo com o DataSenado, 24% dos brasileiros com 16 anos ou mais disseram ter perdido dinheiro em algum crime digital nos 12 meses anteriores à pesquisa Panorama Político 2024. São mais de 40,85 milhões de pessoas. Na Bahia, o percentual chegou a 23%. Para a diretora-executiva do Fórum Brasileiro de Segurança Pública, Samira Bueno, a expansão acompanha a transformação do celular em uma ferramenta que concentra informações pessoais, serviços bancários e meios de pagamento. O mesmo aparelho que facilita a vida financeira também reúne informações de interesse dos criminosos.
Nem idade, nem classe social: o golpe não escolhe apenas quem sabe menos
Mas como fulano foi cair nisso? È uma pergunta que muitos costumam se fazer. Uma análise do Banco Central sobre golpes e fraudes financeiras, baseada em dados coletados em março e abril de 2023, mostra que idade e escolaridade não explicam sozinhas quem acaba enganado. Segundo o BC, 26% dos entrevistados disseram ter sido vítimas de pelo menos um dos golpes analisados. Entre as pessoas que nunca frequentaram a escola, 6% relataram ter sofrido uma fraude, enquanto o percentual chegou a 40% entre aqueles com pós-graduação ou equivalente.
A pesquisa não analisou especificamente o malware que troca o QR Code do Pix. O resultado, porém, ajuda a compreender a nova ameaça: o consumidor pode ter experiência com tecnologia e compras online e, ainda assim, não conseguir identificar uma alteração feita dentro da estrutura de uma loja legítima.
Segundo os dados do Banco Central, as vítimas utilizavam, em média, mais produtos e serviços financeiros: 4,8 contra 3,4 entre aqueles que não relataram golpes. A maior exposição ao sistema financeiro, segundo a instituição, amplia também as oportunidades de abordagem.
A confiança entra na conta: tudo é verdadeiro; o golpe só aparece na etapa do pagamento
A nova tecnologia explora uma vantagem que os golpes tradicionais nem sempre conseguem alcançar: a confiança do consumidor em uma loja que parece verdadeira. Não há necessariamente link estranho, página falsa ou mensagem suspeita. O problema pode aparecer somente na etapa de pagamento.
O especialista em segurança e inteligência artificial Rodrigo Fragola alertou, em debate no Senado, para outro elemento presente nas operações digitais: a distração. Segundo ele, é comum o usuário conversar no WhatsApp, ler um e-mail e realizar um pagamento ao mesmo tempo. A orientação é interromper as demais atividades e concentrar a atenção na operação financeira. Fabio Assolini também chama atenção para a identificação do destinatário. Segundo ele, em pequenos estabelecimentos, o nome mostrado pelo banco pode ser o do proprietário, e não o nome fantasia da loja. Ainda assim, qualquer informação incompatível com a compra deve ser verificada antes da confirmação.
O Tribunal de Contas da União também identificou fragilidades na prevenção aos golpes digitais, especialmente contra pessoas idosas, e determinou ações integradas entre órgãos públicos e instituições do sistema financeiro. O tribunal apontou problemas em campanhas de prevenção, telecomunicações e mecanismos de proteção.
Orientação - Segundo a Kaspersky, os criminosos distribuem os valores desviados entre diferentes contas utilizadas como “laranjas”. Assolini afirmou que algumas operações podem utilizar mais de 50 contas. O Banco Central orienta que a vítima procure imediatamente o banco e solicite o Mecanismo Especial de Devolução (MED). O pedido pode ser feito em até 80 dias, mas quanto antes a instituição for comunicada, maior a possibilidade de bloquear recursos ainda disponíveis. Pelas regras atuais do BC, as instituições têm até sete dias corridos para analisar a ocorrência. Confirmada a fraude, o banco que recebeu o dinheiro deve devolver os recursos em até 96 horas após a análise, desde que ainda exista saldo disponível.
O Ministério da Justiça e Segurança Pública também recomenda registrar Boletim de Ocorrência e preservar comprovantes, prints, dados do destinatário e demais informações que possam ajudar na investigação. O MED, porém, não garante a recuperação integral. Se o dinheiro já tiver sido transferido para outras contas e não houver recursos suficientes, a devolução poderá ser parcial.
Responsabilidade
A Kaspersky recomenda que os lojistas mantenham o Magento e seus componentes atualizados, utilizem senhas administrativas únicas e complexas e façam monitoramento contínuo do ambiente.A empresa também recomenda mecanismos capazes de identificar alterações suspeitas no código e no comportamento do site. Para o consumidor, a orientação é conferir o destinatário antes de confirmar o Pix e, nas compras com cartão, considerar o uso de cartões virtuais.
A nova fraude muda uma regra que parecia simples no comércio eletrônico. O consumidor aprendeu a desconfiar de lojas falsas, links estranhos e mensagens suspeitas. Agora, a ameaça pode estar escondida dentro de uma loja verdadeira.
Para quem compra pelo celular na Bahia, onde mais de 10 mil estelionatos eletrônicos foram registrados em 2024, o alerta é direto: antes de confirmar o Pix, é preciso conferir não apenas o produto e a loja, mas também quem está recebendo o dinheiro.