Один взломанный файл позволил хакерам перехватывать банковские карты покупателей сразу в десятках интернет-магазинов Бразилии. Вредоносный код спрятали в обычном скрипте аналитики, который автоматически загружался при оформлении заказов.
Под удар попала платформа Convertr, обслуживающая магазины крупных модных брендов. По сведениям компании, через её инфраструктуру прошло более 2 млрд бразильских реалов продаж. Вместо взлома каждого магазина по отдельности преступники изменили общий JavaScript-файл на сервере analytics.convertr.app.br. В результате вредоносный код попадал на страницы оплаты всех подключённых продавцов.
Заражённый файл принадлежал Plausible, системе веб-аналитики с открытым исходным кодом, которую Convertr разместила на собственном сервере. К обычному скрипту добавили скрытый блок команд, закодированных числами. При загрузке страницы браузер восстанавливал команды и выполнял их. Скиммер активировался только на адресах с checkout.convertr, поэтому на других страницах подозрительное поведение могло не проявляться.
Вредоносная программа считывала номер карты, срок действия, CVV, имя владельца и CPF, бразильский налоговый идентификатор. Данные извлекались из платёжной формы и запросов к платёжному API, а после оформления заказа отправлялись на домен 1x0.is. Первую версию исследователи обнаружили 24 октября. Уже 26 октября злоумышленники обновили код, научив его распознавать конкретные названия полей в системе Convertr.
Специалисты Sansec связывают операцию с бразильской группировкой, за которой наблюдают с июля 2024 года. Ранее преступники внедряли скиммеры в отдельные магазины на Magento, OpenCart и WooCommerce. Некоторые заражённые сайты оставались под их контролем почти два года. В случае Convertr злоумышленники впервые, по наблюдениям исследователей, перешли к атаке через общий компонент поставщика услуг.
Вероятной точкой проникновения стала уязвимость CVE-2026-8467 в Plausible Community Edition версий 3.0.0–3.2.0. Через доступный без авторизации компонент /storybook посторонний мог выполнять команды на сервере. Ошибку исправили ещё в мае 2026 года, однако Convertr продолжала использовать старую версию. Sansec не получила журналы сервера и подчёркивает, что способ первоначального взлома пока не доказан.
В своём исследовании Sansec показала, как изменение единственного аналитического файла превратилось в атаку на целую сеть магазинов. К 27 октября Convertr удалила скиммер и обновила Plausible, а также начала предупреждать продавцов и платёжных провайдеров. При этом браузеры могли хранить заражённый скрипт в кеше ещё до 24 часов после очистки сервера.
Покупателям, которые с 24 октября расплачивались картой на бразильских сайтах с checkout.convertr в адресе страницы оплаты, исследователи советуют обратиться в банк за блокировкой и перевыпуском карты. Владельцам магазинов рекомендуют проверить подключённые скрипты, а администраторам Plausible CE установить версию 3.2.1 или новее и изучить обращения к /storybook.