企業PIX安全：如何保護商戶帳戶免受詐騙

PIX徹底改變了巴西企業處理支付的方式。憑藉即時結算、大多數操作零手續費以及全天候可用的特點，PIX已成為主導支付方式——2025年處理了超過400億筆交易。但隨著PIX的爆發式成長，針對商戶的詐騙手段也在急遽增多。

對於依賴PIX的企業來說，了解這些威脅不是選項，而是必修課。以下是商戶PIX安全的完整指南。

針對企業的PIX威脅

1. 假支付截圖

最簡單也是最常見的詐騙。顧客在手機螢幕上展示偽造的PIX收據，聲稱已付款。對於繁忙的商戶——餐車、路邊攤、零售店——瞄一眼截圖就放行的誘惑恰恰是騙子所依賴的。

問題規模： FEBRABAN報告稱，2025年假PIX收據詐騙影響了超過50萬家企業。

2. QR碼替換攻擊

騙子在你的銷售點物理替換你的PIX QR碼。每個掃描該QR碼的顧客都會把錢匯給騙子而非你的企業。尤其常見於：

• 美食廣場和路邊攤位
• 市場攤位
• 自助支付站
• 無人看管的列印QR碼

3. 針對員工的社交工程

騙子冒充你的銀行或支付處理商給你的企業打電話。他們聲稱有「PIX系統更新」或「安全驗證」，要求你的員工分享帳戶憑證、進行測試轉帳或安裝遠端存取軟體。

4. 預約PIX漏洞利用

顧客向你展示「預約PIX」收據作為付款證明。與即時PIX轉帳不同，預約轉帳可以在處理前被發送方取消。你交出商品，顧客取消預約付款。

5. 退款漏洞利用

顧客進行一筆合法的小額PIX支付，然後聲稱多付了或付了兩次。他們要求將退款匯到另一個PIX金鑰。退款執行了，但原始爭議讓你蒙受損失。

6. 透過PIX金鑰接管帳戶

如果你的企業PIX金鑰是電話號碼或電子郵件，攻擊者透過SIM卡調換取得了該電話號碼或郵件帳戶的控制權，就可以將入帳款項重新導向到自己。

PIX企業威脅矩陣

威脅	目標	複雜度	影響
假截圖	銷售點	低	每筆交易中等
QR碼替換	實體店	低	高（影響所有顧客）
社交工程	員工	中	非常高
預約PIX伎倆	銷售點	低	中等
退款漏洞	財務團隊	中	中等
PIX金鑰接管	企業帳戶	高	致命
惡意軟體/RAT	會計系統	高	致命

商戶保護措施

即時支付驗證

永遠不要依賴顧客給你看的東西。實施以下驗證步驟：

1. 直接查看銀行帳戶 — 開啟銀行App或POS系統確認入帳
2. 為每筆PIX入帳設定即時推播通知
3. 使用語音通知 — 部分銀行App可以播報入帳，在嘈雜的零售環境中很有用
4. 驗證金額、發送方和時間戳與預期交易一致

QR碼安全

保護你的PIX QR碼免受竄改：

1. 將靜態QR碼護貝，使其不易被貼紙覆蓋
2. 每天檢查QR碼 — 查看是否有覆蓋貼紙或替換痕跡
3. 使用每筆交易變化的動態QR碼（大多數POS系統可提供）
4. 將QR碼放在員工可監控的位置 — 不在盲區
5. 定期測試掃描自己的QR碼，驗證其指向你的帳戶

員工培訓

你的員工是第一道防線：

• 培訓員工在銀行App中驗證每筆PIX支付，而非看顧客截圖
• 建立制度，任何員工不得透過電話分享銀行憑證
• 制定驗證流程，對自稱來自銀行的人——掛斷並直接撥打銀行電話
• 進行情境演練，使員工能辨識社交工程企圖

帳戶安全

保護接收PIX支付的帳戶：

1. 使用CNPJ關聯的PIX金鑰，而非個人電話號碼或電子郵件
2. 在所有銀行和金融App上啟用雙因素驗證
3. 限制帳戶存取 — 只有授權人員持有憑證
4. 設定單筆PIX操作的交易限額
5. 每天審查帳戶活動，查找未授權交易

安全分享企業財務資訊

企業經常需要與合作夥伴、供應商和員工分享PIX金鑰、銀行帳戶詳情和支付說明。透過電子郵件或LINE群組發送這些資訊會留下可能被洩露的永久記錄。

使用LOCK.PUB透過密碼保護的到期連結分享你的企業銀行詳情。確保你的PIX金鑰和帳號不會留在數十個LINE聊天記錄中，避免有人取得其中任何裝置的存取權後被竊取。

為企業安全設定PIX

選擇合適的PIX金鑰

PIX金鑰類型	安全等級	建議
隨機金鑰（EVP）	最高	最適合企業——不暴露個人資訊
CNPJ	高	適合正式企業身分識別
電子郵件	中	郵件帳戶被入侵的風險
電話號碼	較低	SIM卡調換攻擊風險
CPF	企業最低	避免將個人CPF用於企業交易

設定交易限額

中央銀行允許你自訂PIX限額：

• 設定較低的夜間限額（晚8點至早6點）
• 建立適合你企業規模的單筆交易上限
• 要求超過特定金額的轉帳進行額外認證
• 為定期大額支付註冊受信任收款人

監控與稽核

• 每天審查所有PIX交易
• 將PIX收據與銷售記錄核對
• 關注異常模式（多筆小額交易、非工作時間活動）
• 設定超出正常範圍交易的提醒

企業遭受攻擊時怎麼辦

1. 立即聯繫銀行凍結受影響帳戶
2. 在80天內透過銀行申請MED（特殊退還機制）
3. 帶上所有交易證據線上提交B.O.（警察報告）
4. 將使用的具體詐騙手法通知員工
5. 審查並加強驗證程序
6. 檢查實體店所有QR碼是否被竄改

結語

PIX讓巴西企業的支付更快更便捷，但這種便利需要相應的安全投入。最關鍵的習慣很簡單：在交出商品或服務前，務必在銀行帳戶中驗證付款。永遠不要相信截圖，繁忙時段也不要跳過驗證，保護你的QR碼免受物理竄改。

向合作夥伴或員工分享企業銀行資訊時，使用LOCK.PUB建立免費的密碼保護、可到期連結，保障你的財務資訊安全。