Ataque hacker rouba cartões e CPFs em lojas brasileiras

Um grupo criminoso brasileiro orquestrou um ataque cibernético em massa contra dezenas de lojas virtuais que utilizam a plataforma de comércio eletrônico Convertr. Desde o dia 24 de outubro, um código malicioso instalado no sistema interceptou dados sensíveis, como cartões de crédito e CPFs de consumidores, no exato momento da finalização das compras online.

A fraude foi descoberta pela empresa de segurança da informação Sansec. Em resposta, a Convertr confirmou que removeu o código invasor no dia 27 de outubro, atualizou seus sistemas e iniciou a notificação de lojistas, autoridades e serviços de processamento de pagamento.

Veja também:

• Equipe de apicultor neutraliza enxame que atormentava moradores, veja
• Sefa apreende R$ 1,1 mi em cargas irregulares de cerveja no PA
• Mulher consegue fugir de violentador e PM prende o suspeito

Como funcionou o ataque à Convertr?

Os cibercriminosos utilizaram uma tática em ascensão chamada "ataque à cadeia de fornecimento". Em vez de invadirem cada loja individualmente, eles comprometeram um arquivo central no sistema da Convertr responsável por coletar estatísticas de acesso. O alvo foi o Plausible, uma ferramenta de código aberto para análise de tráfego.

Como as páginas de pagamento (checkout) de todas as marcas parceiras carregavam esse script comprometido, o programa malicioso — conhecido como skimmer — infectou automaticamente as transações. Ao finalizar o pedido, os dados preenchidos pelo cliente eram desviados silenciosamente para um servidor clandestino (1x0.is) controlado pelos hackers.

As informações vazadas incluem:

• Número completo do cartão de crédito;
• Data de validade;
• Código de segurança (CVV);
• Nome do titular;
• CPF do comprador.

O roubo do CPF gera um alerta extra no Brasil, uma vez que o documento é amplamente utilizado por instituições financeiras para validação de identidade e abertura de crédito, aumentando o risco de fraudes secundárias.

A falha de segurança

A Sansec rastreia o grupo criminoso desde julho de 2024 e aponta que a porta de entrada pode ter sido uma vulnerabilidade antiga (CVE-2026-8467) no Plausible Community Edition. A Convertr utilizava a versão 3.0 do software desde 2025, sem aplicar atualizações.

A brecha permitia que um invasor executasse comandos no servidor sem precisar de senha de acesso. O problema já havia sido corrigido pelos desenvolvedores do Plausible em maio de 2026.

O que fazer se você comprou nessas lojas?

Se você realizou pagamentos via cartão de crédito a partir de 24 de outubro em uma página de e-commerce cujo endereço continha "checkout.convertr", tome as seguintes precauções:

• Bloqueie o cartão: Entre em contato imediato com o seu banco para relatar o vazamento, solicitar o bloqueio e pedir a emissão de um novo cartão.
• Monitore seu CPF: Fique atento a e-mails suspeitos e acompanhe sistemas como o Registrato (do Banco Central) ou o Serasa para identificar consultas indevidas ou aberturas de contas no seu nome.

Embora a Convertr tenha limpado o sistema em 27 de outubro, o cache de alguns navegadores pode manter a versão infectada ativa por até 24 horas. Lojistas que utilizam a plataforma devem exigir a confirmação de correção e alertar seus gateways de pagamento imediatamente.