FILTRACIÓNBRASIL
Hackeo a Convertr en Brasil: skimmer robó tarjetas y CPF en el checkout de decenas de tiendas
Un código malicioso en el script de analítica de la plataforma de e-commerce capturó datos de pago y CPF desde el 24 de octubre de 2026; la empresa confirmó que lo removió el 27 y notificó a comerciantes y procesadores.
ACTUALIZACIÓN · 27 OCT Convertr confirmó la remoción del skimmer y la actualización de Plausible a una versión parcheada el 27 de octubre de 2026, y notificó a comerciantes y proveedores de pago. Sansec advirtió además que la caché del navegador puede mantener el script activo hasta 24 horas después de la limpieza.
Un grupo criminal brasileño comprometió la plataforma de comercio electrónico Convertr, que opera tiendas y sistemas de checkout para decenas de marcas de moda en Brasil, mediante la modificación de un archivo de seguimiento de Plausible, la herramienta de analítica de código abierto que la empresa aloja en un servidor propio. El código malicioso quedó activo desde el 24 de octubre de 2026.
Como el script de analítica se carga en las páginas de pago de todos los comercios que usan la plataforma, el skimmer interceptó automáticamente los datos ingresados al finalizar la compra y los desvió a un servidor controlado por los atacantes. Según el análisis de la firma de seguridad Sansec, hacia el 26 de octubre los atacantes publicaron una versión más refinada que apuntaba a los nombres exactos de los campos de la API de pagos de Convertr.
Sansec descubrió la campaña el 24 de octubre de 2026 y la atribuyó a un grupo brasileño que rastrea desde julio de 2024 y que suele infectar tiendas sobre Magento, OpenCart y WooCommerce. La firma sospecha que el acceso inicial se produjo por una vulnerabilidad de ejecución de comandos sin autenticación en la instalación desactualizada de Plausible Community Edition, aunque no lo dio por confirmado.
Convertr confirmó que removió el skimmer y actualizó Plausible a una versión parcheada el 27 de octubre de 2026, y que notificó a los comerciantes afectados y a los proveedores de pago. Sansec advirtió que la caché del navegador puede mantener el script malicioso activo hasta 24 horas después de la limpieza.
Cómo ocurrió
- Confirmado
- Afirmado o sin verificar
- grupo brasileñoActivo desde julio de 2024Confirmado.
- Plausible sin parcheCVE-2026-8467, sospechaSin verificar.
- servidor de ConvertrEjecución de comandosSin verificar.
- skimmerEn el script de analíticaConfirmado.
- checkoutTarjetas y CPF interceptadosConfirmado.
- ConvertrDecenas de tiendas afectadasConfirmado.
Reconstrucción de DUPIN Noticias según lo informado. Los pasos punteados los afirma el atacante o no están verificados.
¿Hackearon a Convertr? Qué se sabe
Está confirmada una filtración de datos de Convertr. Un código malicioso en el script de analítica de la plataforma de e-commerce capturó datos de pago y CPF desde el 24 de octubre de 2026; la empresa confirmó que lo removió el 27 y notificó a comerciantes y procesadores. Información actualizada al 27 de octubre de 2026.
ACREDITADO
- Convertr confirmó la remoción del código malicioso y la actualización de Plausible a una versión parcheada el 27 de octubre de 2026.
- La empresa informó que notificó a los comerciantes afectados y a los proveedores de procesamiento de pagos.
- Sansec identificó el skimmer en el archivo de seguimiento de Plausible alojado por Convertr y lo atribuyó a un grupo activo desde julio de 2024.
- Según Sansec, el código afectó las páginas de checkout de todos los comercios que usan la plataforma.
- Sansec advirtió que la caché del navegador puede mantener el script activo hasta 24 horas después de la limpieza.
SIN VERIFICAR O ABIERTO
- No está confirmado que la vulnerabilidad CVE-2026-8467 en Plausible Community Edition haya sido el vector de entrada; es la sospecha de Sansec.
- No se informó cuántos compradores ni cuántos comercios resultaron afectados.
- No se conoce la identidad de los integrantes del grupo criminal.
- No hay confirmación de que los datos sustraídos ya se hayan usado en fraudes posteriores.
- Las fuentes no precisan el volumen exacto de datos capturados ni el período completo de actividad del skimmer.
Contexto
El robo de CPF es especialmente sensible en Brasil porque ese documento es usado por instituciones financieras para validar identidad y abrir crédito, lo que eleva el riesgo de fraudes secundarios.
Según Sansec, el grupo actúa desde julio de 2024 y hasta ahora atacaba una tienda por vez sobre Magento, OpenCart y WooCommerce, casi todas en Brasil; el caso de Convertr sería su primer ataque a la cadena de suministro de un proveedor compartido.
La vulnerabilidad en Plausible Community Edition había sido corregida por los desarrolladores en mayo de 2026, pero Convertr seguía usando la versión 3.0 desde 2025 sin aplicar actualizaciones, según Sansec.
Qué hacer
- Revisar compras desde el 24 de octubre Quien haya pagado con tarjeta en una tienda cuyo checkout incluía el dominio de Convertr desde esa fecha debería contactar a su banco y pedir el bloqueo o la reposición del plástico.
- Limpiar la caché del navegador Aunque la plataforma ya removió el código, la caché puede conservar el script malicioso hasta 24 horas; conviene borrarla antes de volver a comprar en esos sitios.
- Vigilar el CPF y el crédito Como el CPF se usa para validar identidad y abrir crédito en Brasil, conviene monitorear consultas y movimientos crediticios en los burós de crédito.
- Usar tarjetas virtuales Las tarjetas virtuales desechables que vencen tras cada transacción reducen el impacto de un skimmer en el checkout.
- Actualizar software de analítica Los comercios y proveedores deben verificar que sus instalaciones de Plausible y otros componentes alojados estén en versiones parcheadas y revisar los scripts de terceros que cargan en el pago.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
