Você escolhe o produto, coloca no carrinho e segue para a etapa de cobrança. Parece uma compra comum, só que alguns golpes acontecem dentro da própria página da loja sem deixar sinais. O Magecart é um deles. O malware é inserido no checkout para roubar dados pessoais e financeiros ou alterar as informações usadas no pagamento.
A ameaça ainda é pouco conhecida, mas está ativa no Brasil desde 2025 e já atingiu lojas virtuais de pequeno e médio porte. Como a adulteração fica escondida, muitas vítimas só percebem o problema quando o pedido não avança ou aparece uma movimentação suspeita.
Neste conteúdo, você vai entender como o Magecart funciona, quais dados ficam expostos, como QR Code Pix e Pix Copia e Cola são alterados e quais cuidados reforçam a segurança de consumidores e lojistas.
O que é Magecart?
Magecart é o nome dado a um tipo de ataque usado para comprometer lojas virtuais e capturar informações durante a compra.
O invasor insere um malware no site da loja, muitas vezes sem alterar a aparência do site, e consegue acompanhar os dados preenchidos pelo cliente e enviá-los para servidores controlados pelos criminosos.
Nos casos mais recentes identificados no Brasil, o ataque também foi usado para adulterar os pagamentos via Pix. Conforme a Kaspersky, pelo menos 90 e-commerces de pequeno e médio porte foram infectados, em segmentos como moda, autopeças, óticas e sites de arrecadação.
O programa malicioso substituía o QR Code Pix e o Pix Copia e Cola gerados pela loja por dados controlados pelos golpistas. O cliente acreditava estar pagando pelo pedido, mas o dinheiro seguia para a conta dos criminosos.
O uso de plataformas desatualizadas, as falhas de manutenção e as vulnerabilidades que permanecem sem correção facilitam esse tipo de invasão. O ataque pode permanecer escondido por um período, o que aumenta o risco de vazamento de dados, fraude em e-commerce e desvio de valores.
Como o Magecart funciona durante uma compra online?
Para chegar à página de uma loja virtual, os criminosos exploram brechas em sistemas, extensões e serviços conectados ao site. A partir desse acesso, conseguem inserir o código que executa a fraude enquanto o cliente faz a compra.
Como o código malicioso chega ao e-commerce
As portas de entrada mais comuns são falhas na plataforma, plugins desatualizados e integrações comprometidas.
Uma loja que usa versões antigas de sistemas ou extensões fica ainda mais exposta a vulnerabilidades conhecidas. O mesmo vale para serviços de terceiros conectados ao site: se uma dessas integrações for afetada, o código malicioso também consegue chegar às páginas da loja.
Por isso, a segurança no e-commerce depende de manutenção contínua, com atualizações, revisão de acessos e acompanhamento das integrações.
O que acontece durante o checkout
Com o código malicioso ativo na página, a fraude acontece no momento em que o cliente escolhe como pagar. Em ataques com Pix, o QR Code legítimo é substituído em segundos, assim como os dados do Pix Copia e Cola.
A tela continua parecendo normal, mas o dinheiro é desviado para uma conta controlada pelos criminosos.
Para a loja, o pedido fica com status de pendente ou abandonado, já que o valor não entra pelo fluxo esperado, e o consumidor só percebe que houve um problema quando a compra não é confirmada ou entra em contato por causa da entrega.
Quais dados podem ser roubados pelo Magecart?
Entre as informações que podem ser coletadas pelo Magecart estão:
- Nome completo;
- CPF;
- Endereço;
- Telefone;
- E-mail;
- Dados de cartão de crédito;
- Informações usadas na cobrança;
- Dados preenchidos durante o checkout.
Parte desses dados pode ser reaproveitada em novos golpes, como mensagens falsas em nome de lojas ou instituições financeiras, tentativas de acesso a contas e contatos direcionados com informações da vítima.
Quais são os riscos do Magecart para quem compra online?
O primeiro prejuízo aparece na própria compra: o valor sai da conta, mas o pedido não é confirmado pela loja. O consumidor fica sem o produto e ainda precisa provar que realizou o pagamento para iniciar a apuração.
Quando há roubo de dados de cartão, as informações capturadas alimentam compras não reconhecidas, cadastros indevidos em outros serviços e novas tentativas de fraude com dados verdadeiros da vítima.
Nos casos de desvio via Pix, o tempo entre a transferência e a descoberta do golpe favorece a movimentação do dinheiro entre contas de laranjas.
Se os valores já tiverem sido repassados, a recuperação pelo Mecanismo Especial de Devolução (MED) fica mais difícil, porque o bloqueio depende da existência de saldo nas contas envolvidas.
Como o Magecart afeta lojas virtuais?
Para quem vende, o ataque mexe com receita, atendimento, análise de pedidos, segurança dos dados e confiança do cliente. Entenda quais são os efeitos:
Perda de vendas e receitas
Nos casos de desvio via Pix, o cliente conclui a transferência, mas o dinheiro não chega à empresa. A venda fica sem receita, mesmo depois de o consumidor ter pago pela compra.
Se vários pagamentos forem desviados antes da identificação do ataque, a perda financeira cresce a cada nova transação afetada.
Reclamações de clientes
O cliente tem um comprovante de pagamento, mas a loja não encontra o valor recebido nem confirma o pedido. A reclamação chega ao atendimento porque, para quem comprou, a transação foi concluída.
Esse tipo de ocorrência requer análise individual e envolve áreas como atendimento, financeiro e tecnologia.
Aumento de pedidos pendentes ou abandonados
Como o sistema da loja não identifica o recebimento do valor desviado, os pedidos permanecem pendentes ou são registrados como abandonados.
Um crescimento fora do padrão nesses status precisa de atenção, porque o que aparenta ser uma queda na conversão esconde clientes que chegaram ao fim da compra e tiveram o pagamento desviado.
Danos à reputação e à confiança na marca
Para o consumidor, a fraude aconteceu enquanto ele comprava naquela loja. Por isso, as reclamações sobre valores desviados ou dados expostos tendem a ser associadas diretamente ao e-commerce.
Relatos em redes sociais, sites de reclamação e avaliações públicas aumentam o problema e acabam afastando novos clientes por desconfiança quanto à segurança da página.
Custos de investigação e remediação do incidente
Depois de identificar o ataque, a empresa precisa localizar a brecha explorada, remover o código malicioso e verificar se existem outras alterações no ambiente.
Esse trabalho envolve revisão de plataforma, plugins, integrações, acessos e credenciais. Muitas vezes, também exige suporte especializado, auditorias e correções antes da retomada normal das vendas.
Possível comprometimento de dados de clientes
A investigação também precisa identificar quais campos foram afetados, quantas compras ocorreram no período e quais consumidores tiveram contato com a página comprometida.
Essas informações orientam as medidas de contenção e o tratamento do incidente.
Como proteger seu e-commerce contra o Magecart
A prevenção depende de uma rotina de segurança que acompanhe a estrutura da loja, os acessos e qualquer mudança feita nas páginas de compra.
Confira um checklist para organizar esse controle:
- Mantenha a plataforma atualizada: aplique correções de segurança assim que forem disponibilizadas e preferencialmente não use versões sem suporte;
- Atualize plugins e extensões: componentes antigos também abrem espaço para invasões, por isso revise o que está instalado e remova o que não é mais usado;
- Revise as integrações conectadas à loja: acompanhe gateways, ferramentas externas e outros serviços que trocam dados com o e-commerce;
- Controle os acessos administrativos: limite permissões, crie contas individuais e ative a autenticação em duas etapas sempre que houver essa opção;
- Revise credenciais e senhas: troque acessos expostos, não reutilize senhas e revogue as credenciais de pessoas ou fornecedores que já não participam da operação;
- Monitore alterações no checkout: mudanças inesperadas em arquivos, scripts ou elementos da página precisam gerar alerta e investigação;
- Implemente verificações de integridade: compare arquivos e códigos com versões seguras para identificar alterações sem autorização;
- Configure alertas para pagamentos pendentes: aumentos fora do padrão em pedidos sem confirmação ou abandonados podem indicar falha ou fraude na etapa de cobrança;
- Cruze pedidos pendentes com reclamações de clientes: quando há comprovante de pagamento sem confirmação no sistema, a ocorrência precisa ser tratada como prioridade;
- Exiba os dados do recebedor nas telas de pagamento: informe claramente o nome da empresa e o CNPJ ao lado do QR Code Pix ou boleto, instruindo o cliente a conferir o destinatário antes de concluir a transferência;
- Insira avisos de segurança na jornada de checkout: adicione alertas discretos (microcopy) reforçando que sua empresa nunca solicita senhas, dados de cartão ou confirmações extras por WhatsApp e telefone;
- Monitore relatos de fraudes pós-compra: treine a equipe de atendimento para identificar rapidamente reclamações de compradores que receberam abordagens suspeitas logo após fecharem um pedido no seu site.
Como fazer compras online com mais segurança
Alguns cuidados antes de concluir uma compra reduzem a exposição a golpes e facilitam a identificação de movimentações suspeitas. Veja quais são:
Prefira cartões virtuais
O cartão virtual é a opção mais indicada para compras pela internet porque tem uma numeração diferente do cartão físico. Se houver exposição dos dados, ele pode ser bloqueado ou substituído sem a necessidade de trocar a versão de plástico.
Confira os dados antes de pagar com Pix
Antes de confirmar um Pix, confira nome ou razão social, CPF ou CNPJ e valor da transação no aplicativo financeiro.
Essa verificação vale tanto para QR Code Pix quanto para Pix Copia e Cola. Se o destinatário exibido for diferente da loja ou do intermediador informado por ela, interrompa a operação e procure os canais oficiais do e-commerce.
Acompanhe as notificações da conta
Ative as notificações de movimentações e confira os avisos recebidos depois de cada compra. Uma cobrança desconhecida ou uma transação com valor diferente do esperado deve ser verificada imediatamente.
Também é importante acompanhar extrato e fatura com frequência para identificar rapidamente qualquer movimentação fora do padrão.
Compre em sites confiáveis
Antes de informar seus dados, adote alguns cuidados:
- Confira o endereço do site e veja se o domínio está escrito corretamente, sem letras trocadas, números ou extensões diferentes do endereço oficial;
- Acesse a loja pelos canais oficiais sempre que possível, em vez de entrar por links recebidos em mensagens, anúncios ou publicações desconhecidas;
- Pesquise a reputação da empresa e consulte avaliações de outros consumidores, principalmente ao comprar em uma loja pela primeira vez;
- Verifique se a loja informa CNPJ, canais de atendimento e políticas de troca e devolução;
- Desconfie de preços muito abaixo dos praticados por outras lojas, sobretudo quando a oferta exige pagamento imediato;
- Evite fazer compras conectado a redes Wi-Fi públicas, que oferecem menos controle sobre a segurança da conexão;
- Mantenha navegador, sistema operacional e aplicativos atualizados, já que as novas versões incluem correções para falhas de segurança;
- Observe mudanças inesperadas durante a compra, como redirecionamentos para páginas diferentes, campos que surgem de repente ou alterações na forma de cobrança;
- Confira se as informações apresentadas ao longo da compra permanecem consistentes, como nome da loja, valor do pedido e forma de pagamento;
- Interrompa a compra diante de qualquer comportamento estranho da página e procure a empresa pelos canais oficiais antes de tentar novamente.
O que fazer se suspeitar de um golpe durante uma compra online?
Se algo parecer errado durante a compra, interrompa a operação antes de confirmar qualquer transação. Quanto mais cedo você agir, menores são as chances de perder dinheiro ou expor mais informações.
Siga o passo a passo:
- Pare a compra imediatamente: feche a página se houver mudança inesperada no destinatário, erro no checkout, redirecionamento estranho ou qualquer informação diferente do pedido;
- Não conclua o pagamento: evite confirmar Pix, cartão ou outra forma de cobrança até verificar os dados;
- Confira o destinatário: no Pix, compare nome ou razão social, CPF ou CNPJ e valor antes de autorizar a transferência;
- Acompanhe as movimentações da conta: verifique extrato, fatura e notificações para identificar cobranças ou transferências que você não reconhece;
- Bloqueie o cartão, se necessário: se os dados tiverem sido informados em uma página suspeita, bloqueie o cartão pelo aplicativo da instituição financeira e solicite uma nova via;
- Entre em contato com a instituição financeira: informe a ocorrência pelos canais oficiais e siga as orientações para contestação, bloqueio e tentativa de recuperação do valor;
- Avise a loja: envie o comprovante e explique o que aconteceu. O relato também serve como alerta para que o e-commerce investigue o ambiente de pagamento.
Se a suspeita envolver Pix, registre a ocorrência o quanto antes com a instituição financeira para possibilitar o acionamento do Mecanismo Especial de Devolução (MED).
Como o PagBank ajuda na proteção das compras online
A segurança também depende de perceber rápido quando alguma movimentação foge do esperado. Por isso, alguns recursos do PagBank aumentam o controle sobre o uso do cartão e o dinheiro que entra e sai da sua conta.
Você consegue emitir até 4 cartões virtuais por mês, com números diferentes e CVVs dinâmicos, atualizados a cada 24 horas. Para emitir o seu:
- Acesse o app PagBank e toque em Cartões, no rodapé da tela;
- Escolha o cartão que deseja usar;
- Toque em Cartão virtual para gerar os dados.
As notificações em tempo real informam sobre novas movimentações assim que elas acontecem. Se aparecer uma compra ou transferência que você não reconhece, o alerta facilita a identificação rápida da ocorrência.
E você ainda concentra o monitoramento de todas as movimentações e transações no app para comparar o que aparece na conta com o que realmente foi feito.
Segurança digital começa com informação e prevenção
Golpes como o Magecart contam com uma vantagem: muita gente nem sabe que eles existem.
O PagBank atua ao lado de consumidores e empreendedores também na informação. Acompanhamos as principais notícias e atualizações sobre fraudes para fornecer orientações e boas práticas em compras, pagamentos e movimentações financeiras, dentro e fora do ambiente online.
Quer continuar se protegendo? Acesse a seção de Dicas de Segurança para cuidar bem dos seus dados, do seu dinheiro e do seu negócio.
Perguntas frequentes sobre Magecart
Ainda ficou com alguma dúvida? Confira respostas rápidas sobre o Magecart, como ele age e quais cuidados os consumidores e lojistas devem adotar.
O que é o Magecart?
Magecart é um tipo de ataque contra lojas virtuais em que os criminosos inserem códigos maliciosos no site, em especial nas páginas de compra, com o objetivo de roubar informações ou alterar os dados de pagamento.
Como o Magecart funciona durante uma compra online?
Os golpistas exploram falhas em plataformas, plugins ou integrações e inserem o malware no site. Durante a compra, esse código intercepta informações digitadas pelo cliente ou modifica os dados exibidos na etapa de pagamento.
O Magecart pode alterar um pagamento via Pix?
Sim. Em ataques identificados no Brasil, o QR Code Pix e o Pix Copia e Cola legítimos foram substituídos por dados ligados a contas controladas pelos criminosos. O cliente concluía a transferência, mas o dinheiro não chegava à loja.
Como os consumidores podem se proteger do Magecart?
Confira o destinatário e o valor antes de confirmar um Pix, use cartão virtual em compras online e acompanhe notificações, extrato e fatura. Também prefira acessar as lojas sempre pelos canais oficiais e interrompa a compra diante de redirecionamentos ou informações diferentes do esperado.
Como os lojistas podem evitar ataques de Magecart?
Mantenha plataforma, plugins e integrações sempre atualizados, controle os acessos administrativos e monitore alterações nas páginas de cobrança. Alertas para pedidos pendentes, verificações de integridade e revisão de credenciais também fazem parte da prevenção.
O que fazer se suspeitar que fui vítima de um ataque de Magecart?
Interrompa a compra, confira as movimentações da conta e bloqueie o cartão se os dados tiverem sido informados em uma página suspeita. Se o pagamento já tiver sido feito, procure a instituição financeira pelos canais oficiais e avise a loja para que ela também investigue o caso.
