Um ataque cibernético a uma plataforma usada por dezenas de marcas de moda colocou em risco dados de consumidores que fizeram compras pela internet no Brasil. No último sábado, 24, um código malicioso instalado na Convertr capturava números de cartões de crédito, códigos de segurança, nomes de titulares e CPFs durante o pagamento.
A empresa de segurança Sansec identificou a ação criminosa. Nesta terça-feira, 27, a Convertr informou que removeu o código e atualizou o sistema. A plataforma também iniciou a notificação de lojistas, serviços de pagamento e autoridades.
O ataque não exigiu a invasão individual de cada loja. Os criminosos alteraram um arquivo compartilhado da plataforma, fazendo com que o código chegasse às páginas de pagamento dos sites que utilizavam o serviço.
Quais dados foram roubados?
O programa malicioso, conhecido como skimmer, atuava de forma discreta durante o checkout, etapa em que o consumidor informa os dados para concluir uma compra.
O código capturava informações digitadas pelo cliente e dados trocados entre a página de pagamento e o sistema responsável por processar a transação. Depois que o pedido era finalizado, as informações eram enviadas para o endereço 1×0.is, controlado pelos criminosos.
Entre os dados coletados estavam:
- Número do cartão de crédito;
- Data de validade e código de segurança (CVV);
- Nome do titular;
- CPF do comprador.
O CPF exige atenção especial no Brasil porque também é utilizado por instituições financeiras para identificar clientes. A exposição dessas informações pode aumentar o risco de tentativas de fraude.
Leia Também:
Como o código malicioso chegou às lojas?
Em vez de comprometer cada comércio eletrônico separadamente, os criminosos modificaram um arquivo da Convertr responsável por coletar informações sobre o acesso aos sites. A plataforma utiliza o Plausible, ferramenta de código aberto voltada à análise de tráfego.
Como esse arquivo também era carregado nas páginas de pagamento, o código malicioso podia alcançar consumidores de diferentes lojas que utilizavam a mesma infraestrutura.
A Sansec identificou uma possível porta de entrada em uma versão desatualizada do Plausible Community Edition, edição gratuita que pode ser instalada no servidor da própria empresa. A Convertr utilizava a versão 3.0 desde 2025, sem atualizações.
A vulnerabilidade, identificada como CVE-2026-8467, afetava as versões de 3.0.0 a 3.2.0. Ela permitia executar comandos no servidor sem autenticação por meio de um componente acessível pelo endereço /storybook.
O problema foi corrigido em maio de 2026, com o lançamento da versão 3.2.1. No entanto, a Sansec não conseguiu confirmar se essa falha foi efetivamente explorada para invadir a Convertr, pois não teve acesso aos registros do servidor.
Ataque atingiu fornecedor compartilhado
Segundo a Sansec, o grupo criminoso é monitorado desde julho de 2024. Antes desse episódio, os ataques identificados atingiam lojas individualmente, principalmente no Brasil, por meio de plataformas como Magento, OpenCart e WooCommerce.
O caso da Convertr foi apontado pela empresa de segurança como o primeiro ataque do grupo à cadeia de fornecimento. Nesse tipo de ação, os criminosos comprometem um fornecedor utilizado por diversas empresas, em vez de invadir cada loja separadamente.
O que fazer após uma compra?
Embora a Convertr tenha informado em nesta terça-feira, 27, que o arquivo adulterado havia sido limpo, ainda pode existir risco temporário. Segundo a Sansec, navegadores podem manter uma cópia do arquivo infectado por até 24 horas após a correção, o que significa que alguns acessos ainda podem carregar a versão antiga durante esse período.
Quem realizou uma compra com cartão desde 24 de outubro em uma página cujo endereço continha checkout.convertr deve entrar em contato com o banco para solicitar o bloqueio e a substituição do cartão. Também é importante acompanhar a fatura e ficar atento a movimentações suspeitas ou tentativas de fraude envolvendo o CPF.
Já os lojistas que utilizam a Convertr devem confirmar com a plataforma se a correção foi aplicada e comunicar o ocorrido aos serviços de pagamento.
Empresas que mantêm uma instalação própria do Plausible devem atualizar o programa para a versão 3.2.1 ou posterior e verificar se houve acessos suspeitos ao endereço /storybook.
