Você comprou roupas pela internet nos últimos dias? Ataque a lojas brasileiras capturava cartões e CPFs durante o pagamento

Dezenas de lojas de moda que funcionam pela plataforma Convertr tiveram os sistemas de pagamento comprometidos por criminosos. A partir de 24 de outubro, um código malicioso passou a coletar informações sensíveis dos consumidores que finalizavam compras: número de cartão, validade, código de segurança, nome do titular e CPF. A Sansec, empresa especializada em segurança digital, detectou o ataque.

Depois de ser alertada, a Convertr removeu o arquivo infectado, notificou lojistas, bancos e órgãos reguladores sobre o incidente e concluiu a limpeza do sistema em 27 de outubro.

Como o código se espalhou para todos os clientes

Os invasores não precisaram invadir cada loja individualmente, e eles alteraram um único arquivo na infraestrutura central da Convertr. Esse componente faz parte do Plausible, ferramenta gratuita de código aberto que rastreia visitantes nos sites.

Toda vez que um consumidor acessava a página de pagamento de qualquer marca hospedada na plataforma, o navegador também carregava o arquivo comprometido. O skimmer, nome do programa, interceptava dados digitados no checkout e informações trocadas com o processador de pagamento e enviava tudo para um servidor controlado pelos criminosos.

Uma vulnerabilidade antiga pode ter aberto caminho

A Convertr rodava a versão 3.0 do Plausible desde 2025, sem instalar atualizações de segurança. Essa edição antiga era vulnerável, e permitia executar comandos no servidor sem autenticação por meio de um recurso na rota /storybook.

Com esse tipo de acesso, um invasor poderia manipular o funcionamento interno da plataforma. O fabricante corrigiu a vulnerabilidade em maio de 2026. Ao lançar a versão 3.2.1, mas a Sansec não conseguiu confirmar se foi exatamente essa brecha que possibilitou a invasão porque não teve permissão para examinar os registros de atividade do servidor.

O grupo já era conhecido por ataques direcionados

Desde julho de 2024, a Sansec monitora esse mesmo grupo criminoso. Até então, suas operações miravam lojas isoladas que usavam plataformas populares como Magento, OpenCart e WooCommerce, atingindo principalmente e-commerces brasileiros.

O ataque à Convertr foi o primeiro do grupo contra a cadeia de fornecimento. Os invasores descobriram que comprometer um fornecedor de serviços multiplica exponencialmente o alcance, uma única ação prejudicou todos os estabelecimentos que dependem daquela infraestrutura.

Risco que continua mesmo após a remoção

Navegadores armazenam cópias de arquivos em cache para carregar sites mais rapidamente. Embora a Convertr tenha limpo o código infectado em 27 de outubro, esse arquivo comprometido pode permanecer gravado localmente por até 24 horas depois da correção. Por isso, alguns acessos ainda carregaram a versão maliciosa durante esse período, mesmo após a plataforma remover o original.

O que você precisa fazer agora

Quem usou cartão de crédito para comprar em um endereço com checkout.convertr entre 24 de outubro e a remoção do código deve contatar o banco imediatamente. Solicite o bloqueio do cartão atual e a emissão de um novo, já que os dados completos estão nas mãos dos invasores.

Monitore também movimentações incomuns associadas ao CPF informado na transação. A vigilância é importante porque instituições financeiras usam esse documento para identificar clientes em sistemas diversos, ampliando o risco de fraude em outros contextos além do e-commerce.

Lojistas com integração à Convertr devem confirmar com a plataforma que o arquivo foi efetivamente restaurado e avisar seus adquirentes de pagamento sobre o incidente. Administradores de outras instalações do Plausible devem verificar urgentemente se possuem versões anteriores à 3.2.1 e aplicar a atualização.

Como o criminoso otimizava o roubo de dados durante o ataque

Nos primeiros dias do ataque, o código malicioso buscava campos de pagamento genéricos e capturava informações básicas. Os criminosos, porém, monitoravam o funcionamento e perceberam que podiam melhorar o resultado. Então, atualizaram o programa para coletar exatamente os dados exigidos pelo sistema de pagamento da Convertr, número de cartão, validade, código de segurança, nome do titular e CPF.

Essa adaptação mostrou que o ataque não era automático, mas gerenciado por pessoas que ajustavam a estratégia conforme aprendiam como a plataforma funcionava.