Código malicioso roubou dados de cartões e CPFs em plataformas de e-commerce brasileiras

Um grupo criminoso brasileiro instalou um código malicioso na plataforma de comércio eletrônico Convertr, utilizada por dezenas de marcas de moda. Desde 24 de outubro, o programa capturava dados de cartões de crédito e CPFs dos consumidores durante transações online. A empresa de segurança Sansec responsável pela detecção do ataque informou que a Convertr removeu o código malicioso e atualizou o sistema em 27 de outubro.

O ataque explorou uma falha na versão desatualizada do Plausible Community Edition, uma ferramenta de código aberto para análise de tráfego. A Convertr utilizava a versão 3.0 desde 2025, sem atualizações, o que permitiu que os criminosos modificassem um único arquivo no sistema responsável por coletar informações de acesso aos sites. O programa, conhecido como skimmer, capturava detalhes durante o processo de pagamento, incluindo número do cartão, data de validade, código de segurança (CVV), nome do titular e CPF do comprador.

Os dados roubados foram enviados para o endereço 1x0.is, controlado pelos criminosos. O CPF, além de ser solicitado em pagamentos com cartão, é usado por instituições financeiras para identificação de clientes, o que torna a informação especialmente sensível no Brasil. A Sansec identificou a vulnerabilidade CVE-2026-8467, que permitia execução de comandos no servidor sem autenticação, afetando versões de 3.0.0 a 3.2.0 do Plausible. A correção foi lançada em maio de 2026 com a versão 3.2.1, mas a empresa não confirmou se a falha foi utilizada para invadir a Convertr.