Un archivo de analítica que parecía inofensivo terminó copiando los datos de tarjetas de compradores en tiendas en línea de Brasil. Los atacantes no tocaron las tiendas: modificaron un script que todas cargaban en su página de pago.
Es un buen recordatorio de que cada script de terceros en tu sitio tiene acceso a lo que escriben tus usuarios.
¿Qué pasó?
Convertr es una plataforma que maneja el proceso de pago de decenas de marcas de moda en Brasil. Para medir visitas usa su propio servidor de Plausible, una herramienta de analítica de código abierto. Según la firma de seguridad Sansec, los atacantes modificaron el archivo de seguimiento de Plausible que Convertr sirve desde ese servidor y le pegaron al final un código malicioso.
Ese código es un skimmer, es decir, un programa escondido que copia lo que escribes en un formulario de pago. Se activaba solo en las páginas de pago de Convertr y tomaba número de tarjeta, fecha de vencimiento, CVV, nombre del titular y CPF, el número fiscal de las personas en Brasil. Sansec detectó el ataque el 24 de octubre de 2026, y BleepingComputer confirmó que el 26 de octubre los atacantes ajustaron el código para apuntar a los campos exactos del sistema de pago de Convertr.
Sansec atribuye el ataque a un grupo brasileño de tipo Magecart que sigue desde julio de 2024 y que antes atacaba tiendas en Magento, OpenCart y WooCommerce. Esta es la primera vez que lo ve atacar a un proveedor para llegar a muchas tiendas al mismo tiempo.
¿Cómo entraron?
Ambas fuentes señalan como sospecha la falla CVE-2026-8467 en una instalación desactualizada de Plausible Community Edition, aunque Sansec aclara que no puede confirmarlo sin ver los registros del servidor. El 27 de octubre Convertr quitó el código malicioso y actualizó Plausible a una versión con el parche, según Sansec. La empresa dice que está avisando a las tiendas y a los proveedores de pago.
¿Por qué te importa?
Si haces sitios web, aquí está la lección: un script que solo debía contar visitas tenía acceso completo a la página de pago. No importa qué tan segura sea tu tienda si cargas un archivo de un servidor que alguien más descuida, o que tú mismo dejaste sin actualizar.
Además, ambas fuentes advierten que los navegadores pueden guardar en caché la copia infectada del script hasta por 24 horas después de la limpieza, así que el riesgo no desaparece en el momento exacto del arreglo.
¿Qué puedes hacer?
- Haz una lista de los scripts de terceros que cargan tus páginas de pago y de inicio de sesión, y quita los que no sean indispensables.
- Si alojas tus propias herramientas, como Plausible, mantenlas actualizadas igual que tu sitio principal.
- Si usas un proveedor de pagos o de analítica, pídele confirmación de que sus archivos están limpios cuando haya un incidente.
- Si compraste con tarjeta en una tienda brasileña cuya página de pago tenía
checkout.convertren la dirección desde el 24 de octubre, pide a tu banco bloquear y reponer la tarjeta.
Sigue leyendo
- Rank Math PRO repartió malware: revisa tu WordPress ya
- Un gusano en el paquete tensorlake de npm roba llaves y borra datos
Fuentes
- Sansec: Notorious Brazilian Magecart group hijacks Convertr checkouts via Plausible analytics
- BleepingComputer: Hackers hijack Convertr analytics script to steal payment card data
Imagen de portada: foto de Kindel Media en Pexels.