Investigadores de seguridad revelaron una campaña de ciberataque dirigida a la plataforma de comercio electrónico brasileña Convertr, en la que los atacantes lograron manipular un script de análisis compartido para robar los datos de las tarjetas de pago de los compradores durante el proceso de pago (Checkout). Esta operación es un modelo de ataques de "web skimming" dirigidos a las cadenas de suministro de software para acceder a datos sensibles.
Detalles del ataque y la vulnerabilidad explotada
Según Sansec, una empresa especializada en seguridad de comercio electrónico, la campaña fue detectada el 24 de octubre y se atribuyó a una banda brasileña activa desde julio de 2024. Este grupo se centra en infectar tiendas en línea que dependen de las plataformas Magento, OpenCart y WooCommerce. En este caso, los atacantes apuntaron a un archivo de seguimiento de la herramienta Plausible, una alternativa de código abierto a Google Analytics, que Convertr alojaba en sus propios servidores.
Se sospecha que los atacantes explotaron la vulnerabilidad CVE-2026-8467, un fallo que permite la ejecución remota de código sin necesidad de autenticación y que afecta a las versiones antiguas de Plausible Community Edition. Una vez vulnerado el servidor, los atacantes inyectaron código malicioso en el script de seguimiento legítimo, el cual se carga automáticamente en las páginas de pago de todas las tiendas que utilizan la plataforma Convertr.
Evolución de los métodos de robo y datos objetivo
Los investigadores señalaron que los atacantes desarrollaron el código malicioso rápidamente; mientras que las primeras versiones utilizaban patrones generales para los campos de pago, el 26 de octubre apareció una versión más precisa que apuntaba específicamente a los nombres de los campos de la API de la plataforma Convertr. Los datos sustraídos incluyeron números de tarjetas de pago, fechas de expiración, códigos de verificación (CVV), nombres de los titulares de las tarjetas y el número de identificación fiscal brasileño (CPF).
La plataforma Convertr es un actor clave en el mercado brasileño, ya que da soporte a los sistemas de pago de decenas de grandes marcas del sector de la moda y gestiona ventas estimadas en unos 2.000 millones de reales brasileños (alrededor de 370 millones de dólares).
¿Qué cambia prácticamente para los usuarios y las tiendas?
Sansec confirmó que Convertr eliminó el código malicioso y actualizó la herramienta Plausible a una versión segura, además de comenzar a notificar a las tiendas afectadas y a los proveedores de servicios de pago. Sin embargo, los investigadores advirtieron que la memoria caché de los navegadores puede mantener el script malicioso activo en los usuarios hasta 24 horas después de la limpieza.
¿Por qué importa esta noticia?
- Riesgos de terceros: El ataque demuestra cómo una vulnerabilidad en una herramienta de análisis simple puede provocar una brecha financiera a gran escala en toda una plataforma de comercio electrónico.
- Importancia de las actualizaciones: La explotación de una vulnerabilidad en software de código abierto sin actualizar subraya la necesidad de supervisar continuamente las vulnerabilidades de la infraestructura autohospedada.
- Recomendaciones de seguridad: Se aconseja a los compradores que hayan utilizado sitios web vinculados a la plataforma desde el 24 de octubre que revisen sus bancos inmediatamente, y también se prefiere el uso de tarjetas de pago virtuales que expiran después de una sola transacción para reducir los riesgos de skimming digital.