Brasil: malware altera QR de Pix en ecommerce

Timeline de la operación

Cadena de ataque y TTPs

La cadena descrita por las fuentes es una intrusión sobre el propio sitio de ecommerce. No se trata, en principio, de un compromiso del dispositivo del comprador, sino de la página de pago del comercio. Cuando el cliente selecciona Pix, el script malicioso interviene en la visualización del QR Code y en el campo de Pix Copia e Cola, sustituyendo la información legítima por la que controla el atacante.

Ese detalle cambia el valor de detección. Desde la perspectiva del usuario, la experiencia es normal, porque la interfaz no presenta cambios visibles. Desde la perspectiva del comercio, el problema reside en el código cargado en su checkout, en muchos casos ofuscado, según la referencia de Folha de S.Paulo a un director de Kaspersky. La nota dice que la sustitución es accionada por un código estranho, a menudo escrito en líneas ofuscadas, lo que refuerza la hipótesis de adulteración del frontend o de inyección sobre la cadena de scripts del checkout.

El mismo flujo explica por qué el impacto puede ser amplio con un solo sitio comprometido. Si la tienda recibe múltiples visitas diarias, cada comprador queda expuesto en el momento exacto de pagar. TRBN lo sintetiza bien al decir que el malware apunta a la estructura del comercio electrónico y no a los equipos de los clientes. El foco operativo, entonces, es el servidor o el entorno web del comercio, no el endpoint del usuario.

Las fuentes también sugieren una extensión del alcance funcional. Olhar Digital afirma que el mismo código puede copiar datos de tarjetas de crédito procesadas en el checkout. Eso encaja con una lógica de skimming multipropósito, donde el atacante busca valor de distintas formas dentro de la misma página de pago. La comparación con Magecart que hace eremit4 cobra sentido por esa convergencia entre fraude de pago y captura de datos.

Impacto regional

Panorama regional

El caso tiene una cobertura regional amplia en medios brasileños, pero el impacto verificable que ofrecen las fuentes se concentra en Brasil. La campaña toca tiendas de pequeño y mediano porte, con un patrón de compromiso que afecta la experiencia de compra en el checkout y, por extensión, a cualquiera que pague con Pix desde esos sitios.

La lectura regional más sólida es operativa, no geopolítica. No hay atribución a Estado nación ni evidencia pública de expansión a otros países de la región en el material disponible. Lo que sí aparece es un riesgo exportable, porque el modelo, un skimmer de checkout sobre una plataforma de ecommerce, puede replicarse en otros mercados con métodos de pago equivalentes.

Brasil

Brasil es el único país con impacto verificable en el material y concentra tanto el descubrimiento como la validación, la respuesta preventiva y la orientación oficial. Folha de S.Paulo, UOL Tilt, O Tempo, Folha Vitória, Ground News, O Povo, TRBN, Olhar Digital y Procon-SP coinciden en el mismo núcleo factual: 90 tiendas comprometidas, mayoría pequeñas y medianas, con prevalencia de Magento y sectores como ópticas, autopeças, moda y arrecadação online.

El vector más relevante es la sustitución silenciosa del QR Code y del Pix Copia e Cola durante el checkout. O Povo añade un matiz importante al describir que el QR legítimo es reemplazado antes de mostrarse en pantalla, sin modificar la apariencia de la página. Esa observación refuerza la idea de que el fraude se apoya en la confianza visual del usuario y en la legitimidad de la URL o del branding de la tienda.

TRBN agrega un dato de infraestructura que no aparece en otras notas consultadas, seis dominios de comando y control distintos para insertar el código malicioso. Aunque el material no publica esos dominios, el dato sugiere cierta redundancia operativa y una campaña con capacidad de reinyectar o mantener persistencia sobre múltiples sitios. Además, TRBN subraya que el blanco es el comercio electrónico y no el dispositivo del consumidor.

En el frente de mitigación, el consenso es claro. Los comerciantes deberían actualizar la plataforma, cambiar contraseñas de administración, usar 2FA y monitorear el sitio con software de seguridad. Los usuarios deberían validar nombre, CNPJ y valor en la app bancaria antes de autorizar el pago. Si la transacción fue desviada, el paso inmediato es contactar al banco e iniciar el MED, que según Procon-SP ahora tiene una ventana de hasta 80 días.

Indicadores técnicos

No se publicaron hashes, IPs ni dominios concretos en las notas consultadas. El único dato técnico de infraestructura identificado en el material es la mención de seis dominios de comando y control usada por TRBN, pero sin listado ni valores observables.

Análisis para equipos de seguridad

La prioridad inmediata para un equipo de ecommerce es asumir que el problema vive en el frontend del checkout y no solo en la capa de pagos. Eso obliga a revisar integridad de scripts, plantillas y extensiones, especialmente en plataformas como Magento, que aparecen repetidamente en el material. Si el sitio usa terceros para pagos o widgets embebidos, también conviene revisar dependencias externas y cambios recientes en el flujo de compra.

La ausencia de IOCs públicos limita la detección basada en firmas. En ese contexto, la defensa práctica pasa por tres ejes. Primero, control de cambios y monitoreo de integridad sobre archivos del checkout. Segundo, revisión de cuentas administrativas, con contraseñas únicas y 2FA. Tercero, alertas sobre comportamientos anómalos en el rendering del QR y del Pix Copia e Cola, sobre todo si varían según dispositivo o sesión.

Para el monitoreo operacional, tiene sentido correlacionar cambios en checkout con picos de disputas o quejas de clientes que reportan haber pagado a un destinatario distinto. No hace falta esperar una denuncia formal para revisar el entorno. Si una tienda opera en Brasil y procesa Pix, el dato de Procon-SP sobre la ampliación del MED a 80 días también sugiere mantener un proceso interno de respuesta documentado, porque el reembolso potencial no sustituye la contención inicial ni la investigación de causa raíz.

Del lado del usuario final, la mejor guía sigue siendo la verificación en la app bancaria. Las fuentes coinciden en que el nombre del recebedor y el CNPJ deben corresponder a la tienda o al intermediario de pago. Si el pago se dirige a una persona física desconocida o a un destinatario distinto, la compra debe detenerse. Si el desvío ya ocurrió, el banco tiene que ser contactado de inmediato para registrar la ocurrencia y activar el MED.

Preguntas frecuentes

¿Qué combinan las fuentes sobre el alcance y el vector del fraude?

Las fuentes combinan dos datos: el alcance medido por Kaspersky, que llega a 90 tiendas brasileñas, y el vector, que es un malware insertado en el checkout para reemplazar el QR Pix y el Pix Copia e Cola. Esa mezcla permite hablar de una campaña de ecommerce, no de un incidente aislado.

¿Qué diferencia este caso de un fraude común con Pix?

La diferencia es que el usuario entra a una página legítima y el cambio ocurre dentro del sitio de la tienda, en el momento de pagar. No hay una suplantación burda de la interfaz. Además, TRBN señala seis dominios C2 y Olhar Digital agrega la posible copia de datos de tarjetas.

¿Qué señales ayudan a detectarlo antes de confirmar el pago?

La señal práctica es revisar en la app bancaria el nombre del recebedor, el CNPJ y el valor antes de autorizar Pix. Si aparecen datos que no coinciden con la tienda o con su intermediario, hay que frenar la operación. Esa recomendación aparece en Folha de S.Paulo, Folha Vitória y Procon-SP.

¿Qué debe hacer un comercio brasileño si sospecha compromiso?

Debe priorizar actualización de la plataforma, cambio de contraseñas administrativas, autenticación en dos etapas y monitoreo con software de seguridad. O Tempo y Olhar Digital agregan que, en Magento, conviene revisar de forma recurrente el checkout y las dependencias. La clave es tratar el problema como compromiso del sitio, no del cliente.

¿Qué opción oficial existe si el dinero ya salió mal?

Las fuentes recomiendan contactar de inmediato al banco o institución de pago y solicitar el Mecanismo Especial de Devolución. Procon-SP informa que el Banco Central de Brasil amplió el plazo de uso del MED de 30 a 80 días después de la transacción equivocada, lo que extiende la ventana de respuesta.

¿Hay atribución a un grupo criminal o a un país específico?

No. Las notas consultadas hablan genéricamente de criminosos o golpistas y no atribuyen la campaña a un grupo identificado ni a un Estado. Tampoco publican hashes, dominios C2 concretos ni fragmentos de código, salvo la mención de seis dominios de comando y control en TRBN.

Limitaciones del material

El material no permite identificar autores del malware, familias de código, hashes, IPs ni dominios de comando y control concretos. Tampoco hay atribución a un grupo criminal o a un país. La infraestructura citada por TRBN se limita a la cantidad de dominios C2, sin indicadores explotables.

Las fuentes periodísticas consultadas se concentran en el comportamiento del fraude, el alcance aproximado de tiendas afectadas y las recomendaciones de mitigación. No se aportan evidencias forenses, capturas del código malicioso ni análisis reverso. Por eso, la reconstrucción técnica debe quedarse en el nivel de campaña y TTP observables desde la cobertura pública.

Tampoco hay datos verificables de impacto fuera de Brasil. Argentina, Chile, Paraguay, Bolivia, Perú, Colombia, México, Estados Unidos y Uruguay no presentan hechos confirmados en el research disponible. La lectura regional, por ahora, es de exportabilidad del modelo, no de expansión confirmada.