Kaspersky confirmó la presencia del malware en al menos 90 tiendas online pequeñas y medianas de Brasil que utilizan la plataforma Magento.
 

El código malicioso compromete el sitio del comercio y actúa cuando el cliente selecciona Pix como medio de pago. En ese momento sustituye el QR original generado para la operación por otro fraudulento.
 

El ataque también modifica el código Pix Copia e Cola, por lo que afecta tanto a los consumidores que escanean el QR como a quienes copian las instrucciones de pago desde un dispositivo móvil.
 

La sustitución no produce modificaciones visuales evidentes en la página. El usuario continúa viendo un checkout aparentemente legítimo y solamente puede identificar el desvío verificando los datos del destinatario antes de autorizar la transferencia en su banco o billetera.

El malware puede además capturar información de tarjetas cuando el consumidor elige ese medio de pago.
 

El caso muestra cómo el crecimiento de Pix en ecommerce también está trasladando hacia este medio de pago modalidades de ataque anteriormente concentradas en las tarjetas.

La vulnerabilidad no se encuentra necesariamente en la infraestructura de Pix. El ataque ocurre antes de que la transferencia llegue al sistema de pagos, comprometiendo el entorno del comercio donde se genera y presenta la instrucción.
 

Esto amplía el perímetro de prevención de fraude para adquirentes, PSP, gateways y proveedores de ecommerce. La seguridad del pago instantáneo depende también de garantizar la integridad de la información presentada al consumidor durante el checkout.
 

El caso cobra especial importancia por la irrevocabilidad y velocidad del pago inmediato: una vez autorizado el Pix fraudulento, los fondos pueden ser distribuidos rápidamente entre múltiples cuentas, reduciendo las posibilidades de recuperación.