Un solo archivo JavaScript y las tarjetas de los clientes acaban en manos de los hackers: por Convertr pasaron 373,7 millones de dólares en ventas.

Un archivo comprometido permitió a atacantes interceptar tarjetas bancarias de clientes en decenas de tiendas en línea de Brasil. El código malicioso se ocultó en un script de analítica habitual que se cargaba automáticamente al tramitar pedidos.

La plataforma afectada fue Convertr, que presta servicio a tiendas de grandes marcas de moda. Según la empresa, por su infraestructura pasaron más de 2.000 millones de reales brasileños en ventas. En lugar de atacar cada tienda por separado, los delincuentes modificaron el archivo JavaScript compartido en el servidor analytics.convertr.app.br. Como resultado, el código malicioso se cargaba en las páginas de pago de todos los vendedores conectados.

El archivo infectado pertenecía a Plausible, un sistema de analítica web de código abierto que Convertr alojó en su propio servidor. Al script habitual se le añadió un bloque oculto de comandos codificados como números. Al cargar la página, el navegador reconstruía los comandos y los ejecutaba. El skimmer se activaba solo en direcciones con checkout.convertr, por eso en otras páginas el comportamiento sospechoso podía no manifestarse.

El programa malicioso leía el número de tarjeta, la fecha de caducidad, el CVV, el nombre del titular y el CPF, el identificador fiscal brasileño. Los datos se extraían del formulario de pago y de solicitudes a la API de pagos, y tras completar el pedido se enviaban al dominio 1x0.is. Los investigadores localizaron la primera versión el 24 de octubre. Ya el 26 de octubre los atacantes actualizaron el código para reconocer nombres concretos de campos en el sistema Convertr.

Los especialistas de Sansec relacionan la operación con un grupo brasileño observado desde julio de 2024. Antes, los delincuentes habían implantado skimmers en tiendas individuales basadas en Magento, OpenCart y WooCommerce. Algunos sitios infectados estuvieron bajo su control casi dos años. En el caso de Convertr, según las observaciones de los investigadores, los atacantes recurrieron por primera vez a una intrusión a través de un componente compartido del proveedor de servicios.

El punto probable de entrada fue la vulnerabilidad CVE-2026-8467 en Plausible Community Edition versiones 3.0.0–3.2.0. Mediante el componente /storybook accesible sin autenticación, un tercero podía ejecutar comandos en el servidor. La falla se corrigió en mayo de 2026, pero Convertr seguía usando la versión antigua. Sansec no recibió los registros del servidor y subraya que el método de intrusión inicial no está probado.

En su investigación, Sansec mostró cómo la modificación de un único archivo de analítica se convirtió en un ataque contra toda una red de tiendas. Para el 27 de octubre Convertr eliminó el skimmer y actualizó Plausible, además de comenzar a avisar a vendedores y proveedores de pago. No obstante, los navegadores podían conservar el script infectado en caché hasta 24 horas después de limpiar el servidor.

A los compradores que desde el 24 de octubre pagaron con tarjeta en sitios brasileños cuyo URL de la página de pago contiene checkout.convertr, los investigadores les recomiendan contactar con el banco para bloquear y reemitir la tarjeta. A los propietarios de tiendas se les aconseja revisar los scripts conectados, y a los administradores de Plausible CE, instalar la versión 3.2.1 o posterior y examinar las solicitudes a /storybook.