Grupo brasileiro de Magecart capturou dados de cartão e CPF no checkout da Convertr
Grupo acompanhado pela Sansec desde 2024 inseriu skimmer no checkout da Convertr, que atende dezenas de marcas de moda. A empresa removeu o código em 27/10.
Um grupo brasileiro de Magecart capturou, desde 24 de outubro, número do cartão, validade, CVV, nome do titular e CPF de compradores nos checkouts da Convertr por meio de um skimmer inserido no script de analytics do Plausible, segundo a Sansec. A Convertr informou em 27 de outubro que removeu o código malicioso e atualizou o Plausible. A Sansec confirmou a limpeza.
O arquivo alterado era hospedado pela própria Convertr em analytics.convertr.app.br e carregado por todo checkout da plataforma. A empresa opera lojas e checkout de dezenas de marcas brasileiras de moda. Segundo a própria Convertr, seus lojistas venderam mais de R$ 2 bilhões pela plataforma.
O skimmer só agia em páginas com checkout.convertr no endereço. Os dados eram lidos dos formulários de pagamento e das requisições enviadas à API de pagamento da Convertr. Quando o comprador concluía o pedido, as informações eram enviadas ao domínio 1x0.is.
A sequência dos acontecimentos, em horário de São Paulo, foi registrada pela Sansec:
- 24/10, às 2h03: última cópia limpa do script observada.
- 24/10, às 20h22: a Sansec detectou o skimmer.
- 26/10: uma nova versão passou a mirar os nomes exatos dos campos da API de pagamento da Convertr.
- 27/10, às 9h54: a Convertr informou que removeu o skimmer e atualizou o Plausible.
- 27/10, às 10h08: a Sansec confirmou que o script estava limpo.
O grupo é acompanhado pela Sansec desde julho de 2024. Antes, invadia individualmente lojas que usavam Magento, OpenCart e WooCommerce, quase todas no Brasil. Algumas mantiveram o skimmer por quase dois anos. O caso da Convertr é o primeiro ataque pela cadeia de fornecedores que a Sansec observou desse grupo.
A suspeita da Sansec é que a entrada tenha ocorrido pela falha CVE-2026-8467 no Plausible CE. A vulnerabilidade afetava as versões 3.0.0 a 3.2.0 e foi corrigida na versão 3.2.1, em maio de 2026. A Convertr havia instalado o Plausible CE 3.0 em 2025 e não o atualizou até o incidente. A Sansec ressalta que não teve acesso aos logs do servidor e, por isso, não pode confirmar essa hipótese.
A Convertr afirma que removeu o skimmer e está avisando os lojistas afetados, os meios de pagamento e as autoridades competentes.
Quem pagou com cartão desde 24/10 em página com checkout.convertr no endereço deve pedir ao banco o bloqueio e a troca do cartão e vigiar o CPF para identificar possíveis fraudes.