Convertr: skimmer em checkout rouba cartões e CPFs de clientes de dezenas de lojas de moda

Por Melhores Tech · deslize para ver →

Código malicioso ficou três dias no checkout da plataforma Convertr e capturou número, validade, CVV e CPF de quem comprou em lojas de moda brasileiras.

Quais dados foram roubados no ataque à Convertr?

Número do cartão de crédito, data de validade, código de segurança (CVV) e CPF dos compradores que finalizaram compras nos checkouts afetados.

Por quanto tempo o código malicioso ficou ativo?

Cerca de três dias a partir de 24 de outubro, com risco extra de até 24 horas após a limpeza por causa do cache dos navegadores.

Como os criminosos invadiram a plataforma?

Exploraram a falha CVE-2026-8467 em uma versão desatualizada do Plausible, ferramenta de análise de audiência hospedada pela Convertr, que permitia executar código sem autenticação.