Um grupo criminoso brasileiro instalou um código malicioso na plataforma de comércio eletrônico Convertr, usada por dezenas de marcas de moda. Desde 24 de outubro, o programa capturava dados de cartões de crédito e CPFs de consumidores durante compras online.A empresa de segurança Sansec identificou o ataque. Em 27 de outubro, a Convertr informou que removeu o código e atualizou o sistema. A empresa também começou a notificar lojistas, serviços de pagamento e autoridades.O ataque explorou um arquivo compartilhado por lojas, sem exigir a invasão individual de cada site. Imagem: Gorodenkoff/ ShutterstockComo o ataque atingiu as lojasEm vez de invadir cada loja separadamente, os criminosos modificaram um único arquivo no sistema da Convertr responsável por coletar informações sobre o acesso aos sites. A plataforma utiliza o Plausible, uma ferramenta de código aberto para análise de tráfego.Como as páginas de pagamento carregavam esse arquivo, o código malicioso chegava aos consumidores de todas as lojas que utilizavam a plataforma.O programa, conhecido como skimmer, capturava informações preenchidas durante o pagamento e dados trocados entre a página de compra e o sistema que processa a transação. Quando o cliente finalizava o pedido, as informações eram enviadas para o endereço 1x0.is, controlado pelos criminosos.Entre os dados capturados estavam:Número do cartão de crédito;Data de validade e código de segurança (CVV);Nome do titular;CPF do comprador.O CPF merece atenção especial no Brasil porque, além de ser solicitado em pagamentos com cartão, também é usado por instituições financeiras para identificar clientes.Falha de segurança pode ter facilitado a invasãoA Sansec identificou uma possível porta de entrada em uma versão desatualizada do Plausible Community Edition, edição gratuita que pode ser instalada no próprio servidor de uma empresa. A Convertr utilizava a versão 3.0 desde 2025, sem atualizações.A falha, identificada como CVE-2026-8467, afetava as versões de 3.0.0 a 3.2.0. Ela permitia que uma pessoa executasse comandos no servidor sem precisar fazer login, por meio de um componente acessível pelo endereço /storybook.Na prática, isso poderia dar a um invasor acesso para executar ações no sistema. O problema foi corrigido em maio de 2026, com o lançamento da versão 3.2.1.A Sansec não conseguiu confirmar se essa vulnerabilidade foi usada para invadir a Convertr, pois não teve acesso aos registros do servidor.A empresa de segurança acompanha o grupo criminoso desde julho de 2024. Antes desse caso, os ataques identificados atingiam lojas individualmente, principalmente no Brasil, que utilizavam plataformas como Magento, OpenCart e WooCommerce. Segundo a Sansec, o episódio da Convertr foi o primeiro ataque do grupo à cadeia de fornecimento: em vez de comprometer cada loja, os criminosos atingiram um fornecedor comum a várias delas.O script redirecionava dados como número do cartão, CVV, nome e CPF diretamente para servidores externos. – Imagem: Pixel-Shot/ShutterstockO que fazer após uma compraA Sansec confirmou em 27 de outubro que o arquivo adulterado estava limpo. Mesmo assim, navegadores podem guardar temporariamente uma cópia do arquivo infectado por até 24 horas após a correção. Isso significa que alguns acessos ainda podem carregar a versão antiga durante esse período.Quem pagou com cartão desde 24 de outubro em uma página cujo endereço continha checkout.convertr deve entrar em contato com o banco para solicitar o bloqueio e a substituição do cartão. Também é importante acompanhar possíveis fraudes envolvendo o CPF.Lojistas que utilizam a Convertr devem confirmar com a plataforma que o arquivo foi corrigido e avisar seus serviços de pagamento. Já quem administra uma instalação própria do Plausible deve atualizar o programa para a versão 3.2.1 ou posterior e verificar se houve acessos suspeitos ao endereço /storybook.O post Ataque rouba dados de cartões e CPFs em lojas brasileiras apareceu primeiro em Olhar Digital.