Skimmer rouba dados de cartões de clientes em lojas de moda via falha na Convertr
Código malicioso ativo por três dias capturou CPFs e dados bancários; empresa removeu ameaça e notificou autoridades
Invasão na plataforma de checkout
Um grupo criminoso especializado em fraudes de comércio eletrônico, monitorado desde 2024, injetou um código malicioso conhecido como “skimmer” na plataforma Convertr, responsável por gerenciar os checkouts de dezenas de lojas virtuais de marcas brasileiras de moda. A vulnerabilidade foi identificada e divulgada pela empresa de segurança digital Sansec, que apontou a exposição de dados financeiros de clientes durante o processo de pagamento.
Mecânica da fraude
Segundo o relatório técnico da Sansec, o código entrou em operação em 24 de outubro e permaneceu ativo por três dias. O skimmer foi anexado ao script de análise carregado nas páginas de finalização de compra, capturando números de cartões, datas de validade, códigos de segurança e CPFs no momento da transação. Os dados coletados foram enviados para um servidor externo controlado pelos criminosos, registrado na Islândia.
Falha técnica explorada
A invasão ocorreu por meio de uma falha de segurança na ferramenta de medição de audiência Plausible, utilizada pela Convertr em uma versão desatualizada. Pesquisadores da Sansec catalogaram a brecha sob o identificador CVE-2026-8467, que permitia a execução de códigos diretamente no servidor sem necessidade de autenticação. A equipe técnica detalhou que o invasor modificou um arquivo no servidor de análise, fazendo com que o checkout de cada lojista carregasse o código malicioso.
Resposta da Convertr
Após a publicação do alerta, a Convertr removeu o código malicioso do sistema e atualizou a ferramenta de análise para uma versão corrigida. Em comunicado oficial, a empresa afirmou que notificou os comerciantes afetados, os provedores de meios de pagamento e as autoridades competentes sobre o incidente. A ação ocorreu nesta segunda-feira (26), conforme a análise técnica publicada pela Sansec.
Leia Também
Google lança Genie 4, nova IA que simula mundos realistas e interativos
iOS 27.2 permite confirmar idade com selfie no Brasil; saiba como funciona
Discord anuncia que mensagens de alguns servidores aparecerão na busca do Google
