Uma quadrilha especializada em clonagem de cartões teria comprometido um script de análise compartilhado pela plataforma de comércio eletrônico Convertr para roubar dados de pagamento de clientes durante a finalização de compras.
A campanha foi identificada em 24 de outubro e atribuída a um grupo brasileiro ativo desde pelo menos julho de 2024. A quadrilha tem como alvo lojas virtuais que usam as plataformas Magento, OpenCart e WooCommerce.
A Convertr é uma plataforma brasileira de comércio eletrônico que oferece lojas virtuais e sistemas de finalização de compras para dezenas de grandes marcas de moda do país. Segundo as informações disponíveis, a empresa processa R$ 2 bilhões em vendas, o equivalente a US$ 370 milhões.
A empresa de segurança para comércio eletrônico Sansec afirma que o invasor alterou o arquivo de rastreamento do Plausible, uma alternativa open source ao Google Analytics, hospedado em um servidor autogerenciado pela Convertr.
A Sansec suspeita que os invasores tenham explorado a
CVE-2026-8467
, uma vulnerabilidade que permite a execução de comandos sem autenticação em uma instalação desatualizada do Plausible Community Edition usada pela Convertr. A hipótese, porém, ainda não foi confirmada.
Depois de obter acesso, os invasores inseriram código malicioso em um rastreador legítimo do Plausible hospedado na infraestrutura da Convertr. O script era carregado nas páginas de finalização de compra de todos os lojistas que usam a plataforma.
De acordo com a Sansec, versões anteriores do código de captura de dados usavam padrões genéricos para identificar campos de pagamento. Em 26 de outubro, porém, os invasores passaram a usar uma versão mais sofisticada, direcionada aos nomes exatos dos campos da API de pagamento da Convertr.
O código malicioso foi configurado para roubar os seguintes dados das páginas de finalização de compra:
- Número do cartão de pagamento
- Data de validade
- Código CVV
- Nome do titular
- Número de CPF
Os pesquisadores recomendam que qualquer pessoa que tenha feito pagamentos com cartão em uma loja brasileira cuja página de finalização de compra incluísse a sequência “checkout.convertr” no endereço desde 24 de outubro entre imediatamente em contato com o banco e peça o bloqueio do cartão.
Em uma atualização, a Sansec confirmou que a Convertr “removeu o código malicioso e atualizou o Plausible para uma versão com patch”. A empresa também informou que estava notificando os lojistas e os provedores de pagamento afetados.
Segundo o BleepingComputer, a publicação procurou a Convertr para comentar o incidente, mas não havia recebido resposta até a publicação da reportagem.
Pesquisadores da Sansec alertaram que o cache do navegador pode manter o script malicioso ativo em sites afetados por até 24 horas após a remoção. Por isso, recomendam que os clientes limpem o cache antes de fazer novos pedidos, mesmo depois de a ameaça ter sido eliminada.
Uma forma de proteger os dados do cartão em compras pela internet é usar cartões virtuais descartáveis, que expiram logo após a transação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...