Um grupo criminoso com base no Brasil inseriu um código malicioso na plataforma de comércio eletrônico Convertr, utilizada por dezenas de marcas de moda, e passou a capturar dados de cartões de crédito e CPFs de consumidores durante as compras online.

O ataque foi detectado pela empresa de segurança Sansec e, em 27 de outubro, a Convertr informou que o código foi removido, o sistema atualizado e que iniciou a notificação aos lojistas, aos serviços de pagamento e às autoridades competentes.

Em vez de invadir cada loja individualmente, os criminosos alteraram um único arquivo responsável por coletar informações de acesso aos sites dentro do sistema da Convertr. A plataforma incorpora o Plausible, ferramenta de código aberto para análise de tráfego, e, como as páginas de pagamento carregavam esse arquivo, o código malicioso alcançou os consumidores de todas as lojas que utilizavam o serviço.

O programa, conhecido como skimmer, interceptava as informações preenchidas no momento do pagamento – número do cartão, data de validade, código de segurança (CVV) e CPF – e enviava esses dados para o endereço 1x0.is, controlado pelos criminosos, logo após a finalização da compra.

No Brasil, o CPF tem papel essencial nas transações financeiras, pois além de ser exigido nos pagamentos com cartão, serve como identificador nas instituições bancárias, o que eleva o risco de fraudes quando exposto.

A Sansec identificou uma possível porta de entrada na versão desatualizada do Plausible Community Edition, edição gratuita que pode ser instalada no próprio servidor da empresa. A Convertr utilizava a versão 3.0 desde 2025, sem aplicar atualizações. A vulnerabilidade, catalogada como CVE‑2026‑8467, afetava as versões de 3.0.0 a 3.2.0 e permitia a execução de comandos no servidor sem necessidade de login, por meio de um componente acessível via /storybook. O problema foi corrigido em maio de 2026 com o lançamento da versão 3.2.1.

A Sansec não pôde confirmar se a falha CVE‑2026‑8467 foi efetivamente explorada na invasão da Convertr, pois não teve acesso aos registros do servidor. A empresa acompanha o grupo criminoso desde julho de 2024; antes desse caso, os ataques identificados visavam lojas individualmente, principalmente no Brasil, usando plataformas como Magento, OpenCart e WooCommerce. O incidente da Convertr representa o primeiro ataque da mesma quadrilha à cadeia de suprimentos, ao comprometer um fornecedor comum a várias lojas.

Em 27 de outubro, a Sansec confirmou que o arquivo adulterado havia sido limpo. Contudo, navegadores podem armazenar temporariamente uma cópia do arquivo infectado por até 24 horas após a correção, o que significa que alguns usuários ainda podem ter carregado a versão comprometida nesse período.

Quem efetuou pagamentos em páginas cujo endereço continha checkout.convertr a partir de 24 de outubro deve entrar em contato com o banco para solicitar bloqueio e substituição do cartão, bem como monitorar possíveis fraudes envolvendo o CPF. Lojistas que utilizam a Convertr precisam confirmar com a plataforma a remoção do arquivo e avisar seus serviços de pagamento. Administradores de instalações próprias do Plausible devem atualizar o software para a versão 3.2.1 ou posterior e verificar se houve acessos suspeitos ao caminho /storybook.

Com informacoes de Olhar Digital.