Checkout da Convertr expôs dados de pagamento por três dias

O código malicioso foi inserido no rastreador Plausible usado pela plataforma e podia capturar também CPFs durante compras em lojas de moda brasileiras.

Um código malicioso inserido em um componente de análise de tráfego da Convertr deixou dados de pagamento de compradores vulneráveis em checkouts de lojas virtuais brasileiras. A Sansec identificou a atividade a partir de 24 de outubro; em atualização publicada nesta terça-feira, 27, a empresa informou que o código foi removido e o sistema atualizado. O episódio mostra como uma falha em um serviço compartilhado pode alcançar várias lojas sem invadir cada uma delas individualmente.

Como o código chegou às páginas de compra

A Convertr fornece infraestrutura de checkout a dezenas de varejistas de moda no Brasil. As páginas de pagamento carregavam um arquivo do Plausible, ferramenta de análise de audiência hospedada em um servidor da própria plataforma. Segundo a investigação da Sansec, invasores alteraram esse arquivo para incluir um programa de captura de dados, conhecido como skimmer.

Como o script era carregado nos checkouts, o código podia observar os campos preenchidos pelos clientes e encaminhar as informações para servidores externos. Entre os dados visados estavam números de cartão, validade, código de segurança e CPF. Não foi divulgada uma contagem confirmada de consumidores afetados, nem uma lista pública das lojas envolvidas.

Uma falha em serviço compartilhado

A investigação aponta que o invasor modificou o rastreador analítico usado pela Convertr, em vez de alterar separadamente o sistema de cada loja. Esse tipo de comprometimento da cadeia de fornecimento digital amplia o alcance potencial: um componente comum, incorporado em vários sites, pode se tornar um caminho para atacar muitos checkouts ao mesmo tempo.

A Sansec considera que uma vulnerabilidade no Plausible pode ter sido a porta de entrada, mas essa explicação ainda não foi confirmada de forma independente. Portanto, o vetor exato deve ser tratado como hipótese técnica, e não como conclusão definitiva sobre a invasão. A análise da empresa também descreve mudanças no código durante o período, com ajustes para reconhecer os campos específicos do sistema de pagamento.

O que se sabe sobre a resposta

A Convertr removeu o script malicioso e atualizou o Plausible para uma versão corrigida, conforme a atualização da Sansec. A empresa também informou que notificaria comerciantes afetados, provedores de pagamento e autoridades competentes. Até o momento, as informações públicas consultadas não detalham quantos estabelecimentos receberam aviso nem quantos registros chegaram efetivamente aos criminosos.

A retirada do código reduz a exposição contínua, mas não desfaz a captura de dados que possa ter ocorrido enquanto ele estava ativo. Além disso, cópias armazenadas temporariamente em cache podem exigir verificações adicionais para garantir que os navegadores estejam recebendo a versão limpa do arquivo.

O que consumidores e lojistas podem fazer

Quem comprou em uma loja que utiliza a Convertr no período de exposição deve acompanhar as movimentações do cartão e falar com o banco emissor se notar uma transação suspeita. O consumidor também pode pedir orientação sobre bloqueio ou substituição do cartão. Como o CPF pode ter sido visado, vale ficar atento a consultas, cadastros ou solicitações de crédito que não reconheça.

Para os lojistas, o passo imediato é confirmar com a Convertr se o checkout esteve no escopo do incidente e se os arquivos carregados nas páginas de pagamento estão limpos. Também é recomendável revisar registros de acesso, alinhar medidas de monitoramento com os provedores de pagamento e informar os clientes potencialmente expostos. A falta de números públicos impede dimensionar o impacto total, mas não elimina a necessidade de agir preventivamente.

Por que o caso importa para o comércio eletrônico

O episódio evidencia que a segurança de uma compra depende de mais do que a loja e o banco: scripts de análise, bibliotecas e fornecedores integrados ao checkout também podem afetar a proteção dos dados. Para empresas, isso reforça a importância de manter componentes atualizados e acompanhar fornecedores com acesso à jornada de pagamento. Para consumidores, a recomendação prática é monitorar contas e tratar qualquer movimentação desconhecida rapidamente.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: