Convertr, een Braziliaans e-commerceplatform dat webshops en checkoutsystemen levert aan tientallen grote modemerken, is slachtoffer van een skimmingaanval. Aanvallers kaapten het gedeelde analyticsscript dat op de checkoutpagina’s van alle aangesloten webshops draait en gebruiken het om betaalkaartgegevens van klanten te stelen. Convertr verwerkt volgens beveiligingsbedrijf Sansec zelf ongeveer 2 miljard Braziliaanse real aan verkopen, omgerekend rond de 370 miljoen dollar.
Het gekaapte script is een aangepaste versie van Plausible, een opensource-alternatief voor Google Analytics, die op een server van Convertr zelf draait. Een aanvaller wijzigde het trackerbestand en voegde er kwaadaardige code aan toe. Sansec vermoedt dat daarbij CVE-2026-8467 is misbruikt, een kwetsbaarheid waarmee zonder inloggegevens commando’s kunnen worden uitgevoerd in de verouderde Plausible Community Edition die Convertr gebruikte. Bevestigd is dat niet.
De skimmer laadt automatisch op de checkoutpagina’s van alle webshops die van het platform gebruikmaken. Eerdere versies herkenden betaalvelden aan generieke patronen, maar op 26 oktober verscheen een verfijnde variant die precies de veldnamen van Convertrs eigen betaal-API target. Daarmee steelt de code het kaartnummer, de vervaldatum, de CVV-code, de naam van de kaarthouder en het Braziliaanse belastingnummer (CPF) van shoppers. Volgens Sansec zit achter de aanval een Braziliaanse bende die sinds juli 2024 actief is en ook webshops op Magento, OpenCart en WooCommerce infecteert.
Sansec ontdekte de campagne op 24 oktober. Convertr heeft de skimmer intussen verwijderd en Plausible naar een gepatchte versie geüpgraded, en zegt getroffen webshops en betalingsproviders te informeren. BleepingComputer heeft Convertr zelf om een reactie gevraagd, maar die nog niet gekregen.
Voor Nederlandse lezers is dit vooral relevant als voorbeeld van hoe kwetsbaar gedeelde scripts op checkoutpagina’s zijn: één gecompromitteerde derde partij raakt direct alle aangesloten webshops. Heb je sinds 24 oktober met een creditcard betaald bij een Braziliaanse webshop waarvan de checkout-URL “checkout.convertr” bevatte, neem dan contact op met je bank en laat de kaart blokkeren. Wis ook je browsercache voordat je een nieuwe bestelling plaatst, want het script kan daarna nog tot 24 uur actief blijven. Wie vaker online afrekent bij onbekende webshops kan overwegen een wegwerp-virtuele kaart te gebruiken die na één transactie automatisch verloopt.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.