Publicações

Um cliente finaliza a compra em uma loja virtual, escaneia o QR Code do Pix exibido na tela de checkout e paga. Dias depois, descobre que o valor nunca chegou à conta da loja. O dinheiro foi parar em contas de terceiros, sem que o lojista, o cliente ou o sistema de pagamento tenham percebido nada de errado no momento da transação.

Esse tipo de golpe tem levantado uma pergunta recorrente entre adquirentes e meios de pagamento. Diante de uma fraude como essa, quem responde pelo prejuízo?

Como funciona o golpe do QR Code adulterado

A Kaspersky identificou cerca de 90 lojas virtuais brasileiras, a maioria de pequeno e médio porte, infectadas por um malware que substitui o QR Code do Pix gerado no checkout por um código fraudulento. O golpe é silencioso, pois para o lojista a venda aparece como concluída ou pendente, e o cliente só percebe o problema dias depois, quando o produto não chega ou quando confere o extrato.

Diferente de outras fraudes que miram diretamente o consumidor, esse ataque explora uma falha no ambiente digital da própria loja virtual, e não na infraestrutura dos sistemas responsáveis por processar o pagamento.

Onde, tecnicamente, nasce essa vulnerabilidade

A injeção do código malicioso costuma ocorrer no ambiente da própria loja, geralmente associada à falta de atualização da plataforma de e-commerce e à ausência de autenticação em duas etapas no painel administrativo. São falhas de segurança do site, não do sistema bancário ou do arranjo de pagamentos.

Nesse contexto, o gateway e a adquirente recebem e processam uma ordem de pagamento que chegou até eles de forma regular, sem qualquer sinal de irregularidade na comunicação entre os sistemas.

O que o Mecanismo Especial de Devolução consegue recuperar

O Mecanismo Especial de Devolução (MED), do Banco Central, dá à vítima até 80 dias para solicitar o estorno, contados da data da transferência. É uma ferramenta importante para tentar reverter o prejuízo, mas sua eficácia depende de um fator prático. Só é possível devolver o que ainda está disponível na conta de destino no momento do bloqueio.

Quando os valores já foram distribuídos entre diversas contas de terceiros, a devolução integral se torna mais difícil, mesmo com o pedido de MED formalizado dentro do prazo.

Por que os contratos entre os elos da cadeia de pagamento importam

Contratos entre adquirentes, gateways e lojistas costumam prever obrigações de segurança do ambiente de venda, auditoria do checkout e protocolos de resposta a incidentes. A forma como essas cláusulas são redigidas, o nível de detalhe sobre responsabilidades técnicas de cada parte e os mecanismos de resposta previstos para um incidente influenciam diretamente como o prejuízo é tratado quando uma fraude se concretiza.

É nesse ponto que a estruturação jurídica se torna decisiva. Golpes como o do QR Code adulterado deixam claro que prevenção e clareza contratual são tão relevantes quanto a resposta ao incidente em si.

O DGN acompanha as discussões jurídicas e está disponível para apoiar adquirentes e meios de pagamento na estruturação de contratos e na avaliação de riscos dessa cadeia.

 

---

LEIA TAMBÉM:

• Fraudes em meios de pagamento: quando as instituições são responsabilizadas?
• Pix Automático: nova modalidade promete facilitar pagamentos recorrentes com segurança
• A negligência do consumidor pode afastar a responsabilidade da instituição financeira