Una banda brasileña robó datos bancarios de clientes de e-commerce al comprometer un script de análisis de la plataforma Convertr mediante una vulnerabilidad de seguridad. El ataque permitió sustraer números de tarjeta, CVV y datos personales en tiendas de moda en Brasil. Aunque Convertr ya eliminó el código malicioso y actualizó sus sistemas, se recomienda a los usuarios afectados bloquear sus tarjetas y limpiar la caché del navegador.



Un grupo de skimming de tarjetas de crédito presuntamente comprometió un script de análisis compartido utilizado por la plataforma de comercio electrónico Convertr para robar los datos de pago de los compradores durante el proceso de pago.

La campaña fue identificada el 24 de octubre y ha sido atribuida a una banda brasileña, activa al menos desde julio de 2024, que se enfoca en infectar tiendas en línea que utilizan las plataformas Magento, OpenCart y WooCommerce.

Convertr es una plataforma de comercio electrónico brasileña que impulsa tiendas en línea y sistemas de pago para decenas de importantes marcas de moda en el país, manejando 2.000 millones de reales (370 millones de dólares) en ventas.

La empresa de seguridad de comercio electrónico Sansec afirma que el atacante modificó el archivo del rastreador Plausible alojado en un servidor autogestionado operado por Convertr.

La empresa de ciberseguridad de comercio electrónico Sansec afirma que el atacante modificó el archivo del rastreador en un servidor autoalojado para Plausible, una alternativa de código abierto a Google Analytics, gestionada por Convertr.

Sansec sospecha que los atacantes explotaron la CVE-2026-8467, una vulnerabilidad de ejecución de comandos no autenticada que afecta a la instalación desactualizada de Plausible Community Edition de Convertr, para obtener acceso inicial. Sin embargo, esto no ha sido confirmado.

Después de ganar acceso, los atacantes inyectaron código malicioso en un rastreador de análisis de Plausible legítimo alojado en la infraestructura de Convertr, que se carga en las páginas de pago de todos los comerciantes que utilizan la plataforma.


Sansec afirma que las versiones anteriores del skimmer utilizaban patrones genéricos de campos de pago, pero para el 26 de octubre, los atacantes lanzaron una versión más refinada que apuntaba específicamente a los nombres exactos de los campos de la API de pago de Convertr.

El skimmer inyectado estaba configurado para robar los siguientes tipos de datos de las páginas de pago:

* Número de tarjeta de pago
* Fecha de vencimiento
* Código CVV
* Nombre del titular de la tarjeta
* Número de identificación fiscal CPF

Los investigadores sugieren que quienes pagaron con tarjeta en una tienda brasileña que contenía la cadena 'checkout.convertr' en la página de dirección de pago desde el 24 de octubre deben contactar a su banco inmediatamente y solicitar el bloqueo de su tarjeta.

En una actualización hoy, Sansec confirmó que Convertr "eliminó el skimmer y actualizó Plausible a una versión parcheada", señalando que la empresa anunció que estaba notificando a los comerciantes y proveedores de pago afectados.

BleepingComputer ha contactado a Convertr para obtener una declaración sobre el incidente, pero aún no hemos recibido respuesta.

Los investigadores de Sansec advirtieron que el almacenamiento en caché del navegador podría mantener el script malicioso activo en los sitios afectados hasta 24 horas después de la limpieza, por lo que los clientes deben borrar su caché antes de realizar nuevos pedidos, incluso después de que la amenaza haya sido eliminada.

Una forma de proteger los detalles de la tarjeta de pago al comprar en línea es utilizar tarjetas virtuales desechables que expiren inmediatamente después de una transacción.

Fuente:
BleepingComputer