Hackers Roubam Cartão e CPF de Quem Comprou em Dezenas de Lojas de Moda Brasileiras
Código malicioso ficou ativo desde 24 de outubro no checkout da Convertr, plataforma que atende dezenas de marcas de moda com mais de R$ 2 bilhões em vendas.
Um grupo de Hackers escondeu um código que Rouba o Cartão e o CPF de quem compra em dezenas de Lojas de Moda Brasileiras. O código copia o número do cartão, a validade, o CVV, o nome do titular e o CPF de quem paga e ficou no ar desde 24 de outubro. Até hoje cedo o arquivo infectado ainda continuava sendo servido.
Os criminosos não precisaram invadir loja por loja. Essas marcas usam a Convertr, uma plataforma brasileira que cuida da loja online e do checkout delas. O código foi colocado num único arquivo de estatística de visitas que a Convertr hospeda, o analytics.convertr.app.br, e que carrega em todos os checkouts da plataforma com endereço contendo checkout.convertr.
Quem descobriu foi a Sansec, empresa holandesa de segurança de e-commerce. Segundo ela, o grupo é brasileiro e é monitorado desde julho de 2024, com histórico de infectar lojas Magento, OpenCart e WooCommerce. Até agora o grupo hackeava lojas uma por uma, a Convertr é o primeiro ataque de cadeia de suprimentos visto dele. A Sansec avisou a Convertr e não teve resposta antes da publicação, e até 26 de outubro a empresa ainda servia o skimmer.
Segundo a Sansec, os hackers exploraram falha crítica CVE-2026-8467 em versão desatualizada do Plausible, sistema de analytics open source que a Convertr instalou em 2025 na versão 3.0 e nunca atualizou. A falha permite executar comandos via /storybook sem login e foi corrigida em maio de 2026 na versão 3.2.1. O código ficou ativo de 24 a 27 de outubro, com atualização em 26 para mirar exatamente nos campos da API de pagamento da Convertr.
Em 27 de outubro às 12h54 a Convertr informou que removeu o código e atualizou o sistema, confirmado pela Sansec às 13h08. A empresa diz que está notificando lojistas, provedores de pagamento e autoridades. Ainda não dá para saber quantas pessoas tiveram dados roubados. Navegadores guardam cache do arquivo infectado por até 24 horas, prolongando risco.
Se você comprou com cartão numa loja online desde o dia 24 e o endereço da página de pagamento tinha checkout.convertr, ligue pro banco, peça para bloquear e trocar o cartão e fique de olho em qualquer uso estranho do seu CPF.
Você comprou em alguma loja com checkout.convertr desde o dia 24? Já bloqueou seu cartão? Deixe sua opinião nos comentários.
