Hackers escondem código que rouba cartão e CPF de quem compra em lojas de moda no Brasil
Fonte: Canaltech — 2026-10-27
:quality(85)/f6dcbf09-1b0f-4aee-bf0b-0a9a57c3c0c0.png)
Criminosos inseriram um código que captura dados de cartão e CPF em um serviço da Convertr, plataforma usada por dezenas de marcas de moda brasileiras. Segundo a empresa de segurança Sansec, o ataque estava ativo desde sábado (24) e atingia páginas de pagamento das lojas.
O programa copiava número do cartão, validade, código de segurança (CVV), nome do titular e CPF. A análise não informa o número de compradores afetados nem apresenta uma relação das lojas atingidas.
A Sansec confirmou a remoção do código nesta terça-feira (27), mas alertou que cópias do arquivo armazenadas pelos navegadores podem prolongar o risco.
Como o ataque funcionava?
A Convertr utilizava o Plausible , ferramenta de análise de visitas, em um servidor próprio. Um arquivo desse serviço era carregado pelas lojas que usam a plataforma, inclusive nas páginas em que o consumidor preenche os dados de pagamento.
Os criminosos acrescentaram um programa de captura de dados, conhecido como skimmer , ao arquivo legítimo. O trecho malicioso usava ofuscação, técnica que dificulta a leitura do código e ajuda a esconder sua função.
Esse programa só era ativado em páginas cujo endereço continha "checkout.convertr" . Ele lia os campos do formulário e os dados enviados pela página ao sistema de pagamentos, capturando número do cartão, validade, código de segurança, nome e CPF. Ao finalizar o pedido, as informações eram transmitidas a um servidor dos invasores.
Como várias lojas carregavam o mesmo arquivo, uma única alteração permitiu distribuir o código entre elas. Esse tipo de comprometimento de um fornecedor compartilhado é chamado de ataque à cadeia de fornecimento.
A Sansec suspeita que os invasores exploraram uma falha em uma versão desatualizada do Plausible. A hipótese ainda não foi confirmada, pois os pesquisadores não tiveram acesso aos registros do servidor da Convertr.
O problema já foi resolvido?
Segundo a atualização da Sansec, a Convertr removeu o código e atualizou o sistema de análise de visitas Plausible. A plataforma também informou aos pesquisadores que está notificando lojistas, empresas de pagamento e autoridades.
A ressalva envolve o cache, recurso que guarda arquivos para acelerar o carregamento de páginas.
Conforme a Sansec, o navegador pode conservar a versão contaminada por até 24 horas após a limpeza . A retirada também não recupera informações já enviadas aos invasores.
O Canaltech procurou a Convertr para confirmar as medidas adotadas e solicitar orientações aos consumidores. A reportagem aguarda retorno.
O que fazer se comprei em uma das lojas?
Para quem pagou com cartão desde 24 de outubro em uma página cujo endereço continha "checkout.convertr" , a Sansec recomenda solicitar ao banco o bloqueio e a substituição do cartão.
Também é importante acompanhar possíveis movimentações indevidas:
Confira a fatura e ative os avisos de compras. O Banco Central recomenda verificar as transações e habilitar notificações para identificar cobranças desconhecidas.
Conteste compras que não reconhece. Entre em contato com o banco pelos canais oficiais e informe quais transações são suspeitas. O Ministério da Justiça orienta solicitar o bloqueio do cartão e o cancelamento das cobranças indevidas.
Guarde comprovantes e registre a ocorrência se houver fraude. Preserve extratos, e-mails e protocolos de atendimento para apresentar ao banco e à polícia.
Monitore o uso do CPF. O Ministério da Justiça recomenda consultar o Registrato ( bcb.gov.br/meubc/registrato ), do Banco Central, para verificar contas e empréstimos vinculados ao documento. Caso encontre algo desconhecido, procure a instituição responsável.
Como se proteger nas próximas compras?
Uma medida recomendada pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) é usar cartão virtual nas compras pela internet. Ele permite realizar pagamentos com dados diferentes dos impressos no cartão físico.
Desconfie também de contatos que alegam precisar…
[Matéria original de Canaltech — clique em "Fonte" abaixo para ler na íntegra.]