卡巴斯基最新研究报告披露，巴西电商领域出现新型诈骗手法：恶意软件可篡改网店支付页面的 Pix 收款码。目前确认，巴西已有 90 家中小型网店遭到感染。
该恶意软件由安全研究人员"eremit4"发现并经卡巴斯基验证。其作案逻辑为：当顾客下单选择 Pix 支付时，软件自动将页面生成的真实收款码替换为诈骗分子控制的账户二维码，导致资金直接流入骗子账户。
调查显示，此类攻击自 2025 年 6 月起活跃，受害店铺涵盖眼镜、汽配、时装及在线众筹（Vaquinha）等多个品类。所有受害网站的共同特征是均使用 Magento 开源电商建站平台。攻击者利用店主未及时更新系统补丁留下的漏洞，攻破后台并植入恶意代码。
攻击通过六个“命令与控制”（C2）服务器域名向结账页面注入代码。一旦触发，不仅页面显示的二维码被替换，连用户复制的付款数据也会同步变更。
此类骗局具有极强的隐蔽性，往往数天后才会被发现。期间，店铺系统显示订单为“弃单”或“待支付”，而顾客因未收到货物才察觉异常。此时赃款已被分散转移至多个“人头账户”，即便通过巴西央行的“特别退款机制”（MED）也难以追回。
目前，部分受害网站已采取应急措施：包括撤除二维码仅显示 CNPJ 税号并要求手动上传凭证、在收款码下方标注真实收款人信息以供核对，或将支付环节迁移至第三方安全平台。
Pix 支付的即时性在被骗子利用后，形成了复杂的资金流转链，极大增加了冻结难度。新版 MED 2.0 机制正是针对此痛点推出，旨在扩展金融系统内的资金追踪范围。
旧版机制仅能追踪和冻结最初接收款项的单一账户。犯罪团伙往往迅速将资金转出并分散，致使旧机制失效。
相比之下，新版机制实现了全链路追踪，能够识别资金离开首收账户后的每一笔流向，并尝试在任何环节进行拦截冻结。这对于打击“多账户快速倒手”的团伙作案尤为有效。
此外，新版机制有望识别频繁用于转移诈骗资金的“过路账户”。随着金融机构间信息打通，监管部门将能更精准地锁定可疑账户及其流转规律，提升整体反诈效率。
