企业PIX安全：如何保护商户账户免受欺诈
了解如何保护你的企业免受PIX欺诈，包括假支付截图、二维码替换和针对巴西商户的社会工程攻击。
企业PIX安全：如何保护商户账户免受欺诈
PIX彻底改变了巴西企业处理支付的方式。凭借即时结算、大多数操作零手续费以及全天候可用的特点，PIX已成为主导支付方式——2025年处理了超过400亿笔交易。但随着PIX的爆发式增长，针对商户的欺诈手段也在急剧增多。
对于依赖PIX的企业来说，了解这些威胁不是可选项，而是必修课。以下是商户PIX安全的完整指南。
针对企业的PIX威胁
1. 假支付截图
最简单也是最常见的欺诈。顾客在手机屏幕上展示伪造的PIX收据，声称已付款。对于繁忙的商户——餐车、街边摊、零售店——瞄一眼截图就放行的诱惑恰恰是骗子所依赖的。
问题规模： FEBRABAN报告称，2025年假PIX收据欺诈影响了超过50万家企业。
2. 二维码替换攻击
骗子在你的销售点物理替换你的PIX二维码。每个扫描该二维码的顾客都会把钱汇给骗子而非你的企业。尤其常见于：
- 美食广场和街边摊位
- 市场摊位
- 自助支付站
- 无人看管的打印二维码
3. 针对员工的社会工程
骗子冒充你的银行或支付处理商给你的企业打电话。他们声称有"PIX系统更新"或"安全验证"，要求你的员工分享账户凭证、进行测试转账或安装远程访问软件。
4. 预约PIX漏洞利用
顾客向你展示"预约PIX"收据作为付款证明。与即时PIX转账不同，预约转账可以在处理前被发送方取消。你交出商品，顾客取消预约付款。
5. 退款漏洞利用
顾客进行一笔合法的小额PIX支付，然后声称多付了或付了两次。他们要求将退款汇到另一个PIX密钥。退款执行了，但原始争议让你蒙受损失。
6. 通过PIX密钥接管账户
如果你的企业PIX密钥是电话号码或邮箱，攻击者通过SIM卡调换获取了该电话号码或邮箱账户的控制权，就可以将入账款项重定向到自己。
PIX企业威胁矩阵
| 威胁 | 目标 | 复杂度 | 影响 |
|---|---|---|---|
| 假截图 | 销售点 | 低 | 每笔交易中等 |
| 二维码替换 | 实体店 | 低 | 高（影响所有顾客） |
| 社会工程 | 员工 | 中 | 非常高 |
| 预约PIX伎俩 | 销售点 | 低 | 中等 |
| 退款漏洞 | 财务团队 | 中 | 中等 |
| PIX密钥接管 | 企业账户 | 高 | 致命 |
| 恶意软件/RAT | 会计系统 | 高 | 致命 |
商户保护措施
实时支付验证
永远不要依赖顾客给你看的东西。实施以下验证步骤：
- 直接查看银行账户 — 打开银行App或POS系统确认入账
- 为每笔PIX入账设置实时推送通知
- 使用语音通知 — 一些银行App可以播报入账，在嘈杂的零售环境中很有用
- 验证金额、发送方和时间戳与预期交易一致
二维码安全
保护你的PIX二维码免受篡改：
- 将静态二维码过塑，使其不易被贴纸覆盖
- 每天检查二维码 — 查看是否有覆盖贴纸或替换痕迹
- 使用每笔交易变化的动态二维码（大多数POS系统可提供）
- 将二维码放在员工可监控的位置 — 不在盲区
- 定期测试扫描自己的二维码，验证其指向你的账户
员工培训
你的员工是第一道防线：
- 培训员工在银行App中验证每笔PIX支付，而非看顾客截图
- 建立制度，任何员工不得通过电话分享银行凭证
- 制定验证流程，对自称来自银行的人——挂断并直接拨打银行电话
- 进行场景演练，使员工能识别社会工程企图
账户安全
保护接收PIX支付的账户：
- 使用CNPJ关联的PIX密钥，而非个人电话号码或邮箱
- 在所有银行和金融App上启用双因素认证
- 限制账户访问 — 只有授权人员持有凭证
- 设置单笔PIX操作的交易限额
- 每天审查账户活动，查找未授权交易
安全分享企业财务信息
企业经常需要与合作伙伴、供应商和员工分享PIX密钥、银行账户详情和支付说明。通过电子邮件或微信群发送这些信息会留下可能被泄露的永久记录。
使用LOCK.PUB通过密码保护的过期链接分享你的企业银行详情。确保你的PIX密钥和账号不会留在数十个微信聊天记录中，避免有人获取其中任何设备的访问权后被窃取。
为企业安全设置PIX
选择合适的PIX密钥
| PIX密钥类型 | 安全等级 | 建议 |
|---|---|---|
| 随机密钥（EVP） | 最高 | 最适合企业——不暴露个人信息 |
| CNPJ | 高 | 适合正式企业身份识别 |
| 邮箱 | 中 | 邮箱账户被入侵的风险 |
| 电话号码 | 较低 | SIM卡调换攻击风险 |
| CPF | 企业最低 | 避免将个人CPF用于企业交易 |
配置交易限额
中央银行允许你自定义PIX限额：
- 设置较低的夜间限额（晚8点至早6点）
- 建立适合你企业规模的单笔交易上限
- 要求超过特定金额的转账进行额外认证
- 为定期大额支付注册受信任收款人
监控与审计
- 每天审查所有PIX交易
- 将PIX收据与销售记录核对
- 关注异常模式（多笔小额交易、非工作时间活动）
- 设置超出正常范围交易的提醒
企业遭受攻击时怎么办
- 立即联系银行冻结受影响账户
- 在80天内通过银行申请MED（特殊退还机制）
- 带上所有交易证据在线提交B.O.（警察报告）
- 将使用的具体欺诈手法通知员工
- 审查并加强验证程序
- 检查实体店所有二维码是否被篡改
总结
PIX让巴西企业的支付更快更便捷，但这种便利需要相应的安全投入。最关键的习惯很简单：在交出商品或服务前，务必在银行账户中验证付款。永远不要相信截图，繁忙时段也不要跳过验证，保护你的二维码免受物理篡改。
向合作伙伴或员工分享企业银行信息时，使用LOCK.PUB创建免费的密码保护、可过期链接，保障你的财务信息安全。