Des chercheurs en sécurité ont révélé une campagne de cyberattaque ayant ciblé la plateforme e-commerce brésilienne Convertr, au cours de laquelle des attaquants ont réussi à manipuler un script d'analyse partagé pour voler les données de cartes de paiement des acheteurs lors du processus de validation de commande (Checkout). Cette opération constitue un modèle d'attaque par "skimming" web (Web Skimming) ciblant les chaînes d'approvisionnement logicielles pour accéder à des données sensibles.
Détails de l'attaque et de la vulnérabilité exploitée
Selon la société Sansec, spécialisée dans la sécurité du commerce électronique, la campagne a été détectée le 24 octobre et attribuée à un gang brésilien actif depuis juillet 2024. Ce groupe se concentre sur l'infection de boutiques en ligne reposant sur les plateformes Magento, OpenCart et WooCommerce. Dans ce cas, les attaquants ont ciblé un fichier de suivi de l'outil Plausible, une alternative open source à Google Analytics, hébergé par Convertr sur ses propres serveurs.
Il est soupçonné que les attaquants ont exploité la vulnérabilité CVE-2026-8467, une faille permettant l'exécution de code à distance sans authentification, affectant les anciennes versions de Plausible Community Edition. Une fois le serveur compromis, les attaquants ont injecté du code malveillant dans le script de suivi légitime, qui se charge automatiquement sur les pages de paiement de toutes les boutiques utilisant la plateforme Convertr.
Évolution des méthodes de vol et données ciblées
Les chercheurs ont souligné que les attaquants ont rapidement développé le code malveillant ; alors que les premières versions utilisaient des motifs génériques pour les champs de paiement, une version plus précise est apparue le 26 octobre, ciblant spécifiquement les noms de champs programmatiques (API) de la plateforme Convertr. Les données dérobées incluent les numéros de cartes de paiement, les dates d'expiration, les codes de vérification (CVV), les noms des titulaires de cartes, ainsi que le numéro d'identification fiscale brésilien (CPF).
La plateforme Convertr est un acteur majeur du marché brésilien, prenant en charge les systèmes de paiement de dizaines de grandes marques du secteur de la mode et gérant des ventes estimées à environ 2 milliards de réaux brésiliens (soit environ 370 millions de dollars).
Qu'est-ce qui change concrètement pour les utilisateurs et les boutiques ?
Sansec a confirmé que Convertr a supprimé le code malveillant et mis à jour l'outil Plausible vers une version sécurisée, tout en commençant à informer les boutiques concernées et les fournisseurs de services de paiement. Cependant, les chercheurs ont averti que le "cache" des navigateurs peut maintenir le script malveillant actif chez les utilisateurs pendant une période pouvant aller jusqu'à 24 heures après le nettoyage.
Pourquoi cette nouvelle est-elle importante ?
- Risques liés aux tiers : L'attaque illustre comment la vulnérabilité d'un simple outil d'analyse peut mener à une compromission financière à grande échelle pour l'ensemble d'une plateforme e-commerce.
- Importance des mises à jour : L'exploitation d'une faille dans un logiciel open source non mis à jour souligne la nécessité d'une surveillance continue des vulnérabilités de l'infrastructure auto-hébergée.
- Recommandations de sécurité : Il est conseillé aux acheteurs ayant utilisé des sites liés à la plateforme depuis le 24 octobre de consulter immédiatement leurs banques, et il est préférable d'utiliser des cartes de paiement virtuelles (Virtual Cards) expirant après une seule transaction afin de réduire les risques de skimming numérique.