Se você comprou com cartão de crédito numa loja online desde 24 de outubro, é preciso agir agora: ataque hacker pode ter copiado dados de pagamento e CPFs

Um grupo de Magecart brasileiro plantou um skimmer no script de analytics da Convertr, plataforma que opera lojas online e checkouts de dezenas de marcas de moda no país. Desde 24 de outubro, quem pagou com cartão em lojas que usam o checkout da empresa pode ter tido número do cartão, validade, CVV, nome e CPF enviados a um servidor controlado pelos criminosos. A descoberta é da Sansec, empresa de segurança especializada em e-commerce.

Como o ataque funcionava

A Convertr usa o Plausible, alternativa open source ao Google Analytics, em um servidor próprio. Os atacantes acrescentaram um bloco de código ofuscado ao final do script padrão. Como todas as lojas da plataforma carregam esse mesmo arquivo, bastou alterá-lo para alcançar todos os checkouts de uma vez.

O código só entrava em ação nas páginas de pagamento. Ele lia os dados digitados no formulário e nas requisições enviadas à API de pagamento e despachava tudo no momento em que o cliente finalizava o pedido. Dois dias depois da primeira versão, os criminosos atualizaram o skimmer para mirar os campos exatos da API da Convertr.

Segundo a Sansec, o grupo age desde 2024 e já infectou dezenas de lojas em Magento, OpenCart e WooCommerce, quase todas no Brasil. Até agora, invadia uma loja por vez. O caso da Convertr é o primeiro supply chain attack atribuído a ele.

A provável porta de entrada

A suspeita recai sobre a CVE-2026-8467, falha crítica nas versões 3.0.0 a 3.2.0 do Plausible Community Edition que permitia executar comandos no servidor sem login. O conserto saiu em maio. De acordo com a Sansec, a Convertr instalou a versão 3.0 em 2025 e nunca a atualizou. Sem acesso aos logs do servidor, porém, a empresa de segurança não consegue confirmar que foi por aí.

O que a Convertr fez

A Sansec afirma ter avisado a Convertr sem receber resposta, e o script infectado seguia no ar na segunda-feira (26). Nesta terça (27), de acordo com a Sansec, a Convertr removeu o código pela manhã, atualizou o Plausible e disse estar avisando lojas, meios de pagamento e autoridades. A Sansec confirmou às 10h08 que o arquivo está limpo.

Quem ainda corre risco

A limpeza não encerra o problema de imediato. O navegador pode guardar a versão infectada do script por até 24 horas, então a exposição vai até cerca das 10h de amanhã (28). Na prática, quem pagou com cartão em uma loja que usa o checkout da Convertr entre 24 de outubro e esse horário pode ter tido o cartão copiado.

Atenção a um detalhe: o endereço “checkout.convertr” nem sempre aparece na barra do navegador. Nas lojas da plataforma, o pagamento costuma acontecer no próprio site da marca, e o termo só consta no código da página. Olhar a URL, portanto, não basta para saber se está tudo bem.

Também não adianta esperar pela fatura. A cópia dos dados não aparece nela, só o uso que os criminosos fizerem do cartão depois.

O que fazer

Por precaução, é recomendado:

• bloquear o cartão pelo app ou pelo SAC do banco e pedir a troca;
• contestar qualquer compra que você não reconheça;
• registrar boletim de ocorrência em caso de fraude;
• consultar o Registrato, do Banco Central, para ver se alguma conta ou empréstimo foi aberto no seu CPF.

O que é Magecart?

Magecart é o nome dado a um conjunto de grupos criminosos que roubam dados de cartão diretamente em sites de e-commerce, no momento em que o cliente digita as informações na página de pagamento. O nome vem de “Magento”, plataforma de loja virtual muito visada no começo, mais “cart”, de carrinho de compras.

A técnica central é o skimmer digital: um trecho de código JavaScript malicioso, injetado no site da loja ou em algum script que ela carrega. Ele fica de olho nos campos do formulário de checkout, copia número do cartão, validade, CVV, nome e, no Brasil, o CPF, e envia tudo para um servidor controlado pelos criminosos. Para o cliente, nada parece fora do normal, e a compra é concluída como sempre. É o equivalente online da “chupa-cabra” colocada em caixas eletrônicos.

Há duas formas comuns de ataque. Na primeira, o grupo invade a loja diretamente, explorando falhas em plataformas como Magento, WooCommerce ou OpenCart. Na segunda, o supply chain attack, ele compromete um serviço terceirizado que muitas lojas usam, como analytics, chat ou widgets de pagamento, e infecta todas de uma vez. Foi o que aconteceu no caso da Convertr, em que o código malicioso foi escondido no script de estatísticas.

Magecart não é uma gangue única, e sim um rótulo guarda-chuva usado por pesquisadores de segurança para vários grupos que usam métodos parecidos. Por isso se fala em “grupos Magecart”, no plural, como o brasileiro citado na pesquisa da Sansec.

Para quem compra, é difícil perceber um ataque desses, e a fatura só mostra o problema depois que os criminosos usam o cartão. Cartões virtuais descartáveis, alertas de transação no app do banco e contestação rápida de compras suspeitas ajudam a limitar o estrago.