Skimmer no checkout de dezenas de marcas brasileiras roubou cartão, CVV e CPF por três dias

Entre 24 e 27 de outubro, um skimmer injetado no script de analytics da Convertr — plataforma que opera loja e checkout de dezenas de marcas brasileiras de moda — roubou dados de pagamento de compradores. O código foi anexado a um único arquivo: o rastreador que todo checkout da plataforma carrega. Ele lia número do cartão, validade, CVV, nome e CPF do formulário e das chamadas à API de pagamento, e enviava tudo para um domínio externo. A entrada provável foi uma falha crítica (CVE-2026-8467) numa instalação do Plausible Community Edition 3.0 feita em 2025 e nunca atualizada: um componente exposto permitia executar comandos no servidor sem autenticação. A correção existia desde maio de 2026. A Convertr removeu o skimmer e atualizou o software; em 27/10 a Sansec confirmou o rastreador limpo.

O grupo responsável é monitorado desde julho de 2024 e já infectou lojas Magento, OpenCart e WooCommerce, quase todas no Brasil — em alguns casos por quase dois anos sem ser notado. Esta é a primeira vez que ele ataca por cadeia de suprimentos, em vez de loja a loja, e variantes do mesmo arsenal também trocam o QR Code do Pix pelo do atacante.

Fonte: Sansec · Estadão/TecMundo · CVE-2026-8467

Por que isso importa

A lição não é sobre cartão, é sobre concentração: nenhuma das lojas escreveu aquele JavaScript — ele veio de terceiro, junto com a plataforma de checkout, e por ser um arquivo compartilhado um único servidor de analytics abriu dezenas de lojas ao mesmo tempo. O componente não era "crítico" na visão de ninguém: era analytics, e ficou desatualizado desde a instalação. Risco se mede por alcance, não por criticidade declarada — aquele servidor via todos os checkouts. E o incidente não termina quando o código malicioso sai do servidor: os navegadores mantêm o script infectado em cache por até 24 horas. Com cartão e CPF no mesmo formulário, o vazamento não é só fraude de cartão — é insumo para crédito e cadastro em nome de terceiros.

O que a organização deveria testar e monitorar

• Inventário de scripts de terceiros nas páginas de pagamento: o que é carregado, de qual domínio e quem assina.
• Tempo real de patch de todo componente exposto à internet, inclusive os secundários (analytics, tag managers, portais de conteúdo).
• Integridade de scripts no navegador: política de segurança de conteúdo com origem restrita e verificação de integridade, para que um arquivo alterado não passe em silêncio.
• Detecção de exfiltração no cliente: requisições do checkout para domínios fora do previsto, sobretudo envios sem leitura de resposta e com conexão mantida aberta.
• Plano de resposta a incidente de dados de pagamento, com quem comunica adquirentes, bandeiras, autoridades e titulares — e um teste real desse plano, não só o documento.

O padrão do setor segue o mesmo: o comprometimento raramente entra pelo código que a empresa escreveu.