Pesquisadores de segurança revelaram uma campanha de ataque cibernético que teve como alvo a plataforma brasileira de comércio eletrônico Convertr, onde invasores conseguiram manipular um script de análise compartilhado para roubar dados de cartões de pagamento de compradores durante o processo de finalização de compra (Checkout). Esta operação é um modelo de ataques de "web skimming" que visam as cadeias de suprimentos de software para acessar dados sensíveis.
Detalhes do ataque e da vulnerabilidade explorada
De acordo com a Sansec, empresa especializada em segurança de comércio eletrônico, a campanha foi detectada em 24 de outubro e atribuída a uma gangue brasileira ativa desde julho de 2024. Este grupo concentra-se em infectar lojas online que utilizam as plataformas Magento, OpenCart e WooCommerce. Neste caso, os invasores visaram um arquivo de rastreamento da ferramenta Plausible, uma alternativa de código aberto ao Google Analytics, que era hospedada pela Convertr em seus próprios servidores.
Suspeita-se que os invasores tenham explorado a vulnerabilidade CVE-2026-8467, uma falha que permite a execução remota de código sem autenticação e afeta versões mais antigas do Plausible Community Edition. Uma vez que o servidor foi comprometido, os invasores injetaram código malicioso no script de rastreamento legítimo, que é carregado automaticamente nas páginas de pagamento de todas as lojas que utilizam a plataforma Convertr.
Evolução dos métodos de roubo e dados visados
Os pesquisadores apontaram que os invasores desenvolveram o código malicioso rapidamente; enquanto as primeiras versões utilizavam padrões genéricos para campos de pagamento, uma versão mais precisa apareceu em 26 de outubro, visando especificamente os nomes dos campos de API da plataforma Convertr. Os dados obtidos incluíram números de cartões de pagamento, datas de vencimento, códigos de verificação (CVV), nomes dos titulares dos cartões, além do Cadastro de Pessoas Físicas (CPF).
A Convertr é um player importante no mercado brasileiro, dando suporte aos sistemas de pagamento de dezenas de grandes marcas no setor de moda e gerenciando vendas estimadas em cerca de 2 bilhões de reais (aproximadamente 370 milhões de dólares).
O que muda na prática para usuários e lojas?
A Sansec confirmou que a Convertr removeu o código malicioso e atualizou a ferramenta Plausible para uma versão segura, além de começar a notificar as lojas afetadas e os provedores de serviços de pagamento. No entanto, os pesquisadores alertaram que o "cache" nos navegadores pode manter o script malicioso ativo para os usuários por até 24 horas após o processo de limpeza.
Por que esta notícia importa?
- Riscos de terceiros: O ataque demonstra como uma vulnerabilidade em uma ferramenta de análise simples pode levar a uma violação financeira em larga escala de toda uma plataforma de comércio eletrônico.
- Importância das atualizações: A exploração de uma falha em software de código aberto desatualizado enfatiza a necessidade de monitoramento contínuo das vulnerabilidades de infraestrutura auto-hospedada.
- Recomendações de segurança: Aconselha-se que os compradores que utilizaram sites vinculados à plataforma desde 24 de outubro revisem seus extratos bancários imediatamente, sendo também preferível o uso de cartões de pagamento virtuais que expiram após uma única transação para reduzir os riscos de skimming digital.