O incidente chama atenção pelo alcance potencial. A Convertr opera lojas e checkouts de diversas marcas brasileiras, e cada checkout carregava o mesmo arquivo de rastreamento a partir do domínio analytics.convertr.app.br. Assim, a alteração de um único arquivo teria permitido que o código malicioso fosse distribuído aos checkouts que o utilizavam.
Em atualização de 27 de outubro, a Sansec informou que a Convertr removeu o código malicioso, atualizou o Plausible e passou a notificar lojistas, provedores de pagamento e autoridades pertinentes. A empresa de pesquisa também afirmou ter confirmado que o rastreador estava limpo naquele momento.
Marcas listadas publicamente pela Convertr
O site da Convertr apresenta diversas marcas como clientes, projetos ou casos de sucesso. Entre elas estão:
- Aeropostale
- Brascol
- JVL – Leather Forever
- Miss Manu
- Petit Cherrie
- Unique Chic
- Klin
- Mania Brasil
- Mafit
- Hocks
- Hiroshima
- Chronic
Essa lista identifica marcas que a própria Convertr exibe publicamente em seu site. No entanto, a análise da Sansec não nomeia lojas específicas que tiveram transações expostas. Portanto, não é possível afirmar, com base nas fontes consultadas, quais dessas marcas usavam o checkout afetado durante a janela do incidente.
Skimmer mirava cartão e CPF
O código identificado pela Sansec funcionava como um skimmer de pagamentos. Ele era executado somente em páginas cujo endereço continha checkout.convertr e buscava dados preenchidos no formulário de pagamento.
Entre as informações visadas estavam número do cartão, data de validade, CVV, nome do titular e CPF. Além disso, o skimmer também observava requisições enviadas pelo checkout à API de pagamento. Quando o consumidor finalizava o pedido, os dados coletados eram enviados para o endpoint 1x0.is/ws.
O uso do CPF aumenta a gravidade do cenário no contexto brasileiro. Esse identificador costuma fazer parte de fluxos de pagamento com cartão no país e pode ampliar os riscos de fraude após uma exposição de dados de compra.
A análise mostra ainda que o código malicioso foi ajustado rapidamente. A primeira versão observada em 24 de outubro usava padrões genéricos para localizar campos. Dois dias depois, uma versão atualizada passou a mirar nomes de campos específicos da API de pagamentos da Convertr.
Um ataque de cadeia de fornecimento
A Sansec atribui o ataque a um grupo Magecart brasileiro que acompanha desde julho de 2024. De acordo com a empresa, o grupo já havia comprometido dezenas de lojas em Magento, OpenCart e WooCommerce, quase todas no Brasil.
Até então, a atuação observada consistia em invadir lojas individualmente. Neste caso, porém, a alteração em um servidor de analytics teria criado um vetor de cadeia de fornecimento: um componente compartilhado passou a entregar o skimmer para múltiplos checkouts.
Esse padrão reforça um risco importante para operações de e-commerce. Scripts de terceiros, bibliotecas compartilhadas e serviços auto-hospedados podem se tornar pontos únicos de comprometimento. Portanto, a integridade desses ativos precisa receber o mesmo nível de controle aplicado às aplicações de checkout.
Plausible CE afetado pela CVE-2026-8467
A Sansec apontou a CVE-2026-8467 como possível ponto de entrada para o comprometimento. A vulnerabilidade afeta o Plausible Community Edition, distribuído como a imagem de contêiner ghcr.io/plausible/community-edition, nas versões 3.0.0 até anteriores à 3.2.1.
O aviso de segurança do projeto classifica a falha como crítica. Ela permite execução remota de código sem autenticação no contêiner do serviço plausible, por meio do endpoint /storybook. A versão corrigida é a 3.2.1.
A vulnerabilidade foi corrigida em maio de 2026. Para instalações que ainda não possam atualizar, o advisory recomenda bloquear o acesso ao endpoint /storybook no proxy reverso ou firewall. Além disso, equipes devem revisar logs de acesso em busca de requisições a esse caminho.
É importante separar fato de hipótese: a Sansec não teve acesso aos logs do servidor da Convertr. Por isso, não confirmou que a CVE-2026-8467 foi efetivamente explorada no incidente. Ela é tratada na pesquisa como o possível vetor de entrada.
Como o Plausible entrega o script de rastreamento diretamente de um arquivo no servidor, um invasor que altere esse arquivo pode contaminar todos os sites que incorporam o rastreador. Essa característica explica o potencial de propagação do caso.
Contenção exige checagem técnica e comunicação
Lojistas que utilizam a Convertr devem solicitar confirmação de que o script de rastreamento está limpo e informar seus provedores de pagamento. A Sansec alerta que navegadores podem manter o arquivo contaminado em cache por até 24 horas após a limpeza.
Para consumidores que fizeram pagamentos com cartão em páginas checkout.convertr desde 24 de outubro, a orientação publicada é pedir o bloqueio e a substituição do cartão ao banco, além de acompanhar possíveis fraudes relacionadas ao CPF.
Para administradores do Plausible CE, a recomendação é atualizar para a versão 3.2.1 ou posterior, investigar requisições ao caminho /storybook, reconstruir o servidor e rotacionar segredos caso haja indícios de exploração. Também vale comparar os arquivos em priv/tracker/js/ com a versão oficial.
O caso mostra que a proteção de um checkout não se limita ao código da própria loja. Inventário de scripts, atualização de componentes auto-hospedados, monitoramento de alterações em arquivos estáticos e validação da integridade de dependências são controles fundamentais.
Fontes: Sansec, Convertr e advisory do Plausible.
About The Author
