Um grupo criminoso brasileiro instalou um código malicioso na plataforma de comércio eletrônico Convertr, usada por dezenas de marcas de moda. Desde 24 de outubro, o programa capturava dados de cartões de crédito e CPFs de consumidores durante compras online.
A empresa de segurança Sansec identificou o ataque. Em 27 de outubro, a Convertr informou que removeu o código e atualizou o sistema. A empresa também começou a notificar lojistas, serviços de pagamento e autoridades.
Como o ataque atingiu as lojas
Em vez de invadir cada loja separadamente, os criminosos modificaram um único arquivo no sistema da Convertr responsável por coletar informações sobre o acesso aos sites. A plataforma utiliza o Plausible, uma ferramenta de código aberto para análise de tráfego.
Como as páginas de pagamento carregavam esse arquivo, o código malicioso chegava aos consumidores de todas as lojas que utilizavam a plataforma.
O programa, conhecido como skimmer, capturava informações preenchidas durante o pagamento e dados trocados entre a página de compra e o sistema que processa a transação. Quando o cliente finalizava o pedido, as informações eram enviadas para o endereço 1x0.is, controlado pelos criminosos.
Entre os dados capturados estavam:
- Número do cartão de crédito;
- Data de validade e código de segurança (CVV);
- Nome do titular;
- CPF do comprador.
O CPF merece atenção especial no Brasil porque, além de ser solicitado em pagamentos com cartão, também é usado por instituições financeiras para identificar clientes.
Falha de segurança pode ter facilitado a invasão
A Sansec identificou uma possível porta de entrada em uma versão desatualizada do Plausible Community Edition, edição gratuita que pode ser instalada no próprio servidor de uma empresa. A Convertr utilizava a versão 3.0 desde 2025, sem atualizações.
A falha, identificada como CVE-2026-8467, afetava as versões de 3.0.0 a 3.2.0. Ela permitia que uma pessoa executasse comandos no servidor sem precisar fazer login, por meio de um componente acessível pelo endereço /storybook.
Na prática, isso poderia dar a um invasor acesso para executar ações no sistema. O problema foi corrigido em maio de 2026, com o lançamento da versão 3.2.1.
A Sansec não conseguiu confirmar se essa vulnerabilidade foi usada para invadir a Convertr, pois não teve acesso aos registros do servidor.
A empresa de segurança acompanha o grupo criminoso desde julho de 2024. Antes desse caso, os ataques identificados atingiam lojas individualmente, principalmente no Brasil, que utilizavam plataformas como Magento, OpenCart e WooCommerce. Segundo a Sansec, o episódio da Convertr foi o primeiro ataque do grupo à cadeia de fornecimento: em vez de comprometer cada loja, os criminosos atingiram um fornecedor comum a várias delas.
O que fazer após uma compra
A Sansec confirmou em 27 de outubro que o arquivo adulterado estava limpo. Mesmo assim, navegadores podem guardar temporariamente uma cópia do arquivo infectado por até 24 horas após a correção. Isso significa que alguns acessos ainda podem carregar a versão antiga durante esse período.
Quem pagou com cartão desde 24 de outubro em uma página cujo endereço continha checkout.convertr deve entrar em contato com o banco para solicitar o bloqueio e a substituição do cartão. Também é importante acompanhar possíveis fraudes envolvendo o CPF.
Lojistas que utilizam a Convertr devem confirmar com a plataforma que o arquivo foi corrigido e avisar seus serviços de pagamento. Já quem administra uma instalação própria do Plausible deve atualizar o programa para a versão 3.2.1 ou posterior e verificar se houve acessos suspeitos ao endereço /storybook.
Valdir Antonelli é jornalista com especialização em marketing digital e consumo.
