Ataque à Convertr expõe o risco dos scripts de terceiros no checkout
Entre 24 e 27 de outubro de 2026, as páginas de pagamento da Convertr, plataforma brasileira que opera lojas virtuais e checkouts de dezenas de marcas de moda, carregaram um código que capturava número do cartão, validade, CVV, nome do titular e CPF dos compradores. A descoberta foi da Sansec, empresa holandesa especializada em segurança de comércio eletrônico, que publicou sua análise em 26 de outubro. No dia seguinte, a Convertr informou ter removido o código e atualizado o sistema afetado, e a própria Sansec confirmou que o arquivo estava limpo.
O caso interessa a gestores por um detalhe que muda a leitura do incidente: nenhuma das lojas foi invadida diretamente. O comprometimento aconteceu em um fornecedor que todas elas compartilhavam.
Como o ataque funcionou
A Convertr mantinha em servidor próprio uma instalação do Plausible, ferramenta de código aberto para medir visitas, semelhante ao Google Analytics. O arquivo de rastreamento desse servidor era carregado em todas as lojas da plataforma, inclusive nas telas de pagamento.
Os criminosos acrescentaram ao final desse arquivo um bloco de código ofuscado. Ele permanecia inativo na maior parte do site e só entrava em operação em páginas cujo endereço continha "checkout.convertr". Ali, lia os dados digitados no formulário e as informações trocadas com a API de pagamento, enviando tudo a um servidor externo no momento em que o comprador finalizava o pedido.
A Sansec registrou ainda que o código foi atualizado em dois dias. A primeira versão buscava campos de forma genérica. A segunda já estava ajustada aos nomes exatos dos campos usados pela Convertr, o que indica acompanhamento ativo da operação.
A provável porta de entrada
Segundo a Sansec, a Convertr instalou a versão 3.0 do Plausible Community Edition em 2025 e não a atualizou desde então. As versões de 3.0.0 a 3.2.0 contêm uma falha crítica, catalogada como CVE-2026-8467, que permite executar comandos no servidor sem qualquer autenticação, por meio de um componente exposto publicamente. O fabricante publicou a correção em maio de 2026, na versão 3.2.1.
A empresa de segurança trata essa falha como hipótese principal, sem confirmação, porque não teve acesso aos registros do servidor da Convertr. Mesmo assim, o intervalo entre a correção disponível e o ataque soma cerca de cinco meses.
Um grupo conhecido mudou de método
A Sansec acompanha o grupo responsável desde julho de 2024. Até aqui, ele atacava lojas uma a uma, principalmente sites brasileiros em Magento, OpenCart e WooCommerce, com códigos voltados a meios de pagamento locais como e.Rede, PagSeguro, Pagar.me e Mercado Pago, além de uma variante que troca o QR Code do PIX. Algumas dessas lojas mantiveram o código ativo por quase dois anos.
A Convertr foi o primeiro ataque do grupo à cadeia de fornecimento identificado pela Sansec. A mudança tem lógica econômica clara para o criminoso: um único arquivo alterado alcança todas as lojas que dependem daquele fornecedor.
O que o caso ensina a quem decide
A página de pagamento costuma reunir scripts de várias origens: medição de audiência, chat, pixels de mídia, ferramentas de recomendação. Cada um deles executa no navegador do cliente com o mesmo nível de acesso aos campos do formulário. Quando um desses fornecedores é comprometido, a loja passa a distribuir código malicioso sem ter alterado nada em seu próprio ambiente.
Três frentes ajudam a reduzir essa exposição. A primeira é manter um inventário atualizado dos scripts carregados nas páginas de pagamento, com justificativa de negócio para cada um. O PCI DSS 4.0.1 tornou isso obrigatório desde março de 2025, nos requisitos 6.4.3 e 11.6.1, que exigem autorização dos scripts e detecção de alterações nessas páginas.
A segunda é contratual. Plataformas de comércio eletrônico e de checkout deveriam assumir compromissos explícitos sobre prazo de aplicação de correções, monitoramento de integridade dos arquivos que distribuem e comunicação de incidentes. No caso relatado, a Sansec afirma ter notificado a Convertr sem obter resposta antes da publicação, o que reforça a importância de um canal ativo para receber alertas de pesquisadores.
A terceira é a governança de dados. Cartão e CPF são dados pessoais, e a LGPD exige que incidentes capazes de gerar risco ou dano relevante aos titulares sejam comunicados à ANPD e aos afetados. A Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis para essa comunicação. Lojista e plataforma precisam ter definido com antecedência quem atua como controlador, quem atua como operador e como cada um aciona o outro quando algo acontece.
Orientação aos consumidores
A recomendação da Sansec é dirigida a quem pagou com cartão em loja brasileira desde 24 de outubro, em página cujo endereço continha "checkout.convertr": solicitar ao banco o bloqueio e a substituição do cartão e acompanhar possíveis usos indevidos do CPF. A empresa lembra que navegadores podem manter o arquivo infectado em cache por até 24 horas após a limpeza do servidor.
Ainda não há número público de pessoas afetadas. O que o episódio já deixa claro é que a segurança de um checkout depende de toda a cadeia que o compõe, e não apenas do ambiente que a empresa controla diretamente.
LeanBic Cibersegurança
Comentários