Sicherheitsforscher haben eine Cyberangriffskampagne aufgedeckt, die auf die brasilianische E-Commerce-Plattform Convertr abzielte. Dabei gelang es Angreifern, ein gemeinsames Analyskript zu manipulieren, um die Zahlungskartendaten von Käufern während des Bezahlvorgangs (Checkout) zu stehlen. Dieser Vorfall stellt ein klassisches Beispiel für Web-Skimming-Angriffe dar, die auf die Software-Lieferkette abzielen, um an sensible Daten zu gelangen.
Details zum Angriff und zur ausgenutzten Schwachstelle
Laut dem auf E-Commerce-Sicherheit spezialisierten Unternehmen Sansec wurde die Kampagne am 24. Oktober entdeckt und einer brasilianischen Hackergruppe zugeordnet, die seit Juli 2024 aktiv ist. Diese Gruppe konzentriert sich auf die Infektion von Online-Shops, die auf den Plattformen Magento, OpenCart und WooCommerce basieren. In diesem Fall zielten die Angreifer auf eine Tracking-Datei für Plausible ab – eine Open-Source-Alternative zu Google Analytics –, die von Convertr auf eigenen Servern gehostet wurde.
Es wird vermutet, dass die Angreifer die Schwachstelle CVE-2026-8467 ausnutzten. Hierbei handelt es sich um eine ungeprüfte Remote-Code-Execution-Schwachstelle, die ältere Versionen der Plausible Community Edition betrifft. Sobald der Server kompromittiert war, injizierten die Angreifer bösartigen Code in das legitime Tracking-Skript, das automatisch auf den Kassen seiten aller Shops geladen wird, die die Convertr-Plattform nutzen.
Die Forscher wiesen darauf hin, dass die Angreifer den bösartigen Code schnell weiterentwickelten. Während frühe Versionen noch generische Muster für Eingabefelder verwendeten, tauchte am 26. Oktober eine präzisere Version auf, die gezielt auf die API-Feldnamen der Convertr-Plattform abzielte. Zu den erfassten Daten gehörten Zahlungskartennummern, Ablaufdaten, Prüfziffern (CVV), Karteninhabernamen sowie die brasilianische Steuernummer (CPF).
Die Plattform Convertr ist ein wichtiger Akteur auf dem brasilianischen Markt, unterstützt die Zahlungssysteme Dutzender großer Modemarken und verwaltet Umsätze in Höhe von schätzungsweise 2 Milliarden brasilianischen Real (etwa 370 Millionen US-Dollar).
Was ändert sich praktisch für Nutzer und Shops?
Sansec bestätigte, dass Convertr den bösartigen Code entfernt, Plausible auf eine sichere Version aktualisiert hat und begonnen hat, die betroffenen Shops und Zahlungsdienstleister zu informieren. Dennoch warnten die Forscher davor, dass der Browser-Cache das bösartige Skript bei Nutzern noch bis zu 24 Stunden nach der Bereinigung aktiv halten kann.
Warum diese Nachricht wichtig ist:
- Risiken durch Drittanbieter: Der Angriff verdeutlicht, wie eine Schwachstelle in einem einfachen Analysetool zu einer groß angelegten finanziellen Kompromittierung einer gesamten E-Commerce-Plattform führen kann.
- Bedeutung von Updates: Die Ausnutzung einer Schwachstelle in nicht aktualisierter Open-Source-Software unterstreicht die Notwendigkeit einer kontinuierlichen Überwachung selbst gehosteter Infrastrukturschwachstellen.
- Sicherheitsempfehlungen: Käufern, die seit dem 24. Oktober Websites genutzt haben, die mit der Plattform verbunden sind, wird empfohlen, ihre Banken umgehend zu kontaktieren. Zudem wird die Verwendung virtueller Zahlungskarten (Virtual Cards) empfohlen, die nach einer einzigen Transaktion ablaufen, um das Risiko von Digital Skimming zu minimieren.