Um grupo de criminosos conseguiu alterar um código de análise de acessos usado pela Convertr, plataforma brasileira de comércio eletrônico que mantém lojas e sistemas de pagamento de diversas marcas de moda. Segundo a empresa de segurança Sansec, a campanha foi identificada em 24 de outubro e é atribuída a uma quadrilha brasileira ativa desde pelo menos julho de 2024, que costuma infectar lojas virtuais feitas com Magento, OpenCart e WooCommerce.

Pense nesse código como um fiscal escondido dentro do caixa da loja: ele é invisível para quem compra, mas anota tudo o que é digitado na hora de pagar. Esse tipo de invasão é chamado de skimming. A Sansec suspeita que a entrada foi feita pela falha CVE-2026-8467, que permite executar comandos sem autenticação em uma versão desatualizada do Plausible Community Edition, ferramenta de análise de código aberto usada pela Convertr. A informação ainda não foi confirmada.

Depois de entrar, os criminosos alteraram o arquivo de rastreamento do Plausible hospedado na infraestrutura da Convertr. Como esse arquivo é carregado nas páginas de pagamento de todas as lojas da plataforma, o golpe atingiu vários comerciantes ao mesmo tempo. Até 26 de outubro, os criminosos aperfeiçoaram o código para mirar nos nomes exatos dos campos de pagamento da API da Convertr.

O código malicioso capturava número do cartão, data de validade, código CVV, nome do titular e CPF. A Sansec recomenda que quem pagou com cartão em uma loja brasileira que tenha a string 'checkout.convertr' no endereço da página de pagamento desde 24 de outubro entre em contato com o banco imediatamente e peça o bloqueio do cartão.

Em atualização, a Sansec confirmou que a Convertr removeu o código malicioso e atualizou o Plausible para uma versão corrigida. A empresa disse que está notificando os comerciantes afetados e as instituições de pagamento. A BleepingComputer procurou a Convertr para comentar, mas não obteve resposta até o momento.

Mesmo após a limpeza, o código pode continuar ativo em alguns sites por até 24 horas por causa do cache do navegador. Por isso, a recomendação é limpar o cache antes de fazer novos pedidos. Como forma de proteção, usar cartões virtuais descartáveis, que expiram logo após a compra, reduz o estrago caso os dados sejam roubados.