安全研究人员披露了一场针对巴西电子商务平台 Convertr 的网络攻击行动。攻击者成功篡改了一个共享分析脚本，在结账（Checkout）过程中窃取购物者的支付卡数据。此次行动是针对软件供应链以获取敏感数据的“网络侧录”（Web Skimming）攻击的典型案例。
攻击详情与所利用的漏洞
根据专门从事电子商务安全的 Sansec 公司，该行动于 10 月 24 日被监测到，并被归因于一个自 2024 年 7 月以来一直活跃的巴西团伙。该组织专注于感染依赖 Magento、OpenCart 和 WooCommerce 平台的在线商店。在此案例中，攻击者瞄准了 Plausible 工具的一个跟踪文件，这是一种 Google Analytics 的开源替代方案，由 Convertr 在其自有服务器上托管。
据怀疑，攻击者利用了 CVE-2026-8467 安全漏洞，该漏洞允许在无需身份验证的情况下远程执行代码，并影响旧版本的 Plausible 社区版（Community Edition）。一旦服务器被攻破，攻击者就会在合法的跟踪脚本中注入恶意代码，该脚本会自动加载到所有使用 Convertr 平台的商店的支付页面中。
窃取手段的演变与目标数据
研究人员指出，攻击者迅速改进了恶意代码；虽然早期版本使用的是通用的支付字段模式，但在 10 月 26 日出现了一个更精确的版本，专门针对 Convertr 平台的编程接口（API）字段名称。被窃取的数据包括支付卡号、有效期、验证码（CVV）、持卡人姓名以及巴西税务身份证号（CPF）。
Convertr 平台是巴西市场的主要参与者，为时尚行业的数十个主要品牌提供支付系统支持，管理的销售额估计约为 20 亿巴西雷亚尔（约合 3.7 亿美元）。
对用户和商店而言，实际发生了哪些变化？
Sansec 证实 Convertr 已删除恶意代码并将 Plausible 工具升级到安全版本，并开始通知受影响的商店和支付服务提供商。然而，研究人员警告称，浏览器中的“缓存”（Cache）可能会在清理过程后的 24 小时内让恶意脚本在用户端保持活跃。
为什么这条新闻很重要？
- 第三方风险： 此次攻击展示了简单分析工具中的一个漏洞如何导致整个电子商务平台发生大规模财务泄露。
- 更新的重要性： 利用未更新的开源软件漏洞，强调了对自托管基础设施漏洞进行持续监控的必要性。
- 安全建议： 建议自 10 月 24 日起使用过与该平台相关网站的购物者立即联系银行核查。此外，建议使用在单次交易后即失效的虚拟支付卡（Virtual Cards），以降低数字侧录的风险。