Skimmer de checkout expôs cartões e CPFs de compradores brasileiros — a porta foi um software de análise desatualizado

Entre 24 e 27 de outubro, um grupo criminoso brasileiro especializado em fraude de comércio eletrônico — monitorado desde 2024 — alterou o arquivo do Plausible, ferramenta de análise de tráfego, que a plataforma Convertr carrega nas páginas de pagamento das dezenas de marcas de moda que usam seu checkout. Como todas as lojas carregam o mesmo arquivo, uma única modificação passou a alcançar todos os checkouts de uma vez. O código injetado — um skimmer, que só entrava em ação na finalização da compra — capturou número do cartão, validade, código de segurança, nome do titular e CPF, enviando os dados para um domínio controlado pelos criminosos. A Sansec detectou o código em 24/10, no mesmo dia em que ele entrou em operação; a Convertr confirmou a remoção e a atualização do Plausible em 27/10, e navegadores podiam manter a versão infectada em cache por até 24 horas depois da limpeza.

Fonte: Sansec — pesquisa técnica, 26/10/2026 · BleepingComputer · Estadão/TecMundo

O vetor apontado como provável — e não confirmado — é uma instalação desatualizada do Plausible Community Edition: a versão 3.0, instalada em 2025 e nunca atualizada, está entre as afetadas pela falha CVE-2026-8467, que permite executar comandos no servidor sem autenticação por meio de um componente exposto no endereço /storybook. A correção existe desde maio de 2026. Isso desenha uma janela de aproximadamente cinco meses entre a correção disponível e a exploração. Os pesquisadores afirmam não ter visto os logs do servidor; a Convertr sustenta que nenhuma loja foi afetada — partes centrais do caso seguem não confirmadas por ambas as partes.

Para quem opera pagamento, o caso ilustra uma classe de risco que não mora dentro do próprio ambiente: o script de terceiro que roda na página de checkout. Foi o primeiro ataque de cadeia de suprimentos atribuído a esse grupo, que historicamente invadia uma loja por vez — e o mesmo grupo mantém skimmers específicos para meios de pagamento brasileiros, incluindo uma variante que troca o QR code do Pix pelo QR do atacante. O detalhe mais relevante não é apenas a falha: é que a alteração foi encontrada por um pesquisador externo, não pelo ambiente monitorado, que continuou servindo o código por mais dois dias.

O que uma organização com sistemas críticos deveria testar e monitorar continuamente:

• Integridade dos scripts de terceiros no checkout — analytics, tag managers, antifraude, chat: quem pode alterar cada arquivo e como uma mudança seria notada no mesmo dia.
• Prazo real de correção de CVE em componentes self-hosted, com evidência de versão de cada um — patch disponível não é patch aplicado.
• QR code de Pix gerado e validado no servidor, com verificação de integridade do payload exibido ao pagador.
• Trilha de auditoria de acesso ao servidor que serve conteúdo ao checkout: quem alterou, quando, de onde — para responder ao regulador e ao titular.

O padrão do setor é claro: o elo mais fraco raramente está no código próprio, e sim em algo que a organização carrega por confiança em outro. Não se trata de dizer que o caso era inevitável — mas de reconhecer que a janela entre "existe correção" e "alguém explorou" foi medida em meses, não em horas.