Se você comprou roupa pela internet desde o último sábado, 24 de outubro, numa loja que usa a plataforma brasileira Convertr, vale olhar a fatura do cartão hoje. A empresa de segurança Sansec publicou em 26 de outubro de 2026 que um grupo criminoso brasileiro colocou um código espião no checkout da Convertr. Durante pelo menos dois dias, os dados digitados no pagamento foram enviados para um servidor dos atacantes: número do cartão, validade, CVV, nome do titular e CPF.
Segundo a Sansec, a Convertr cuida das lojas virtuais e do checkout de dezenas de marcas brasileiras de moda, e a própria plataforma diz que os lojistas já venderam mais de R$ 2 bilhões por ela. A Convertr removeu o código em 27 de outubro.
O que aconteceu
O ataque não mirou uma loja por vez. Os criminosos alteraram o arquivo de estatísticas de visitas (o Plausible, uma ferramenta de analytics) que a Convertr hospeda em analytics.convertr.app.br e que todas as lojas da plataforma carregam. Esse tipo de golpe tem nome: ataque à cadeia de fornecimento. O fornecedor é invadido, e o código chega a todos os clientes dele de uma vez.
O código espião só era ativado nas páginas de pagamento com o endereço checkout.convertr. Fora dali, ficava quieto. Segundo a linha do tempo da Sansec, a última cópia limpa do arquivo é de 24/10 às 5h03 (UTC), e o código malicioso foi detectado no mesmo dia às 23h22 (UTC). Em 26/10, o atacante ainda atualizou o código para capturar os campos exatos da API de pagamento da Convertr.
Na atualização de 27/10, a Sansec informou que a Convertr removeu o código, atualizou o Plausible para uma versão corrigida e está notificando lojistas, provedores de pagamento e autoridades. A Sansec confirmou o arquivo limpo às 13h08 (UTC) daquele dia.
Um detalhe técnico pesa para quem compra: o navegador pode guardar o arquivo infectado em cache por até 24 horas. Pela orientação da própria Sansec, o risco para compradores se estendeu até cerca de 28/10.
Quem está por trás
A Sansec acompanha esse grupo desde julho de 2024. Ele já infectou dezenas de lojas em Magento, OpenCart e WooCommerce, quase todas no Brasil, e tem versões do código preparadas para e.Rede, PagSeguro, Pagar.me e Mercado Pago. Há ainda uma variante que troca o QR Code do Pix da loja pelo do golpista. Segundo a Sansec, é a primeira vez que o grupo ataca um fornecedor em vez de lojas isoladas.
Por onde os criminosos entraram
A Sansec aponta uma suspeita e deixa claro que não consegue confirmar. A Convertr instalou o Plausible CE 3.0 em 2025 e nunca o atualizou. As versões de 3.0.0 a 3.2.0 deixavam uma área chamada /storybook aberta, sem login. Essa área tem a falha CVE-2026-8467, com nota 9,5 (crítica), que permite executar código no servidor sem autenticação. A correção existe desde 15 de maio de 2026, na versão 3.2.1 do Plausible.
Ou seja: a porta provável era uma ferramenta acessória, de estatísticas, esquecida numa versão de mais de um ano. É o tipo de peça que ninguém lembra de atualizar porque "não mexe com pagamento".
O que fazer agora
Se você comprou numa loja da Convertr desde 24/10, segundo a Sansec:
- confira se a página de pagamento tinha
checkout.convertrno endereço (o e-mail de confirmação do pedido e o histórico do navegador ajudam); - peça ao banco o bloqueio e a troca do cartão usado;
- acompanhe a fatura e fique atento a uso indevido do seu CPF, como cadastros e crediários que você não fez.
Se você é lojista na Convertr:
- peça à plataforma a confirmação por escrito de que o arquivo de analytics está limpo;
- avise o seu provedor de pagamento, que pode monitorar transações suspeitas;
- prepare uma resposta para o cliente que perguntar. Ele vai perguntar.
Se a sua loja roda em outra plataforma, o recado vale do mesmo jeito:
- Liste tudo o que carrega no checkout: analytics, chat, pixels, avaliações. Cada script de terceiro roda com o mesmo acesso do formulário de cartão.
- Tire do checkout o que não precisa estar lá. Página de pagamento boa é página com poucos scripts.
- Atualize as ferramentas acessórias, inclusive as que você hospeda: se usa Plausible CE, vá para a 3.2.1 ou superior e procure acessos a
/storybooknos registros do servidor. - Use política de segurança de conteúdo (CSP) para limitar para onde a página de pagamento pode enviar dados.
- Monitore mudanças nos arquivos que o checkout carrega. Um alerta quando o script muda teria encurtado essa janela.
O que ainda não se sabe
A Sansec não publicou a lista de lojas afetadas, e não se sabe quantos compradores ou cartões foram expostos. Não encontramos comunicado próprio da Convertr; o que se sabe da reação da plataforma vem da Sansec. Também não há informação pública sobre comunicação do caso à ANPD.
Como houve CPF e dados de cartão, o caso envolve dado pessoal. O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares incidentes que possam causar risco ou dano relevante.
Onde a Oneck entra
Loja virtual é um conjunto de peças, e a mais frágil decide a segurança do conjunto. A frente de Software & Sistemas da Oneck Creative cuida de sites e lojas com inventário de scripts, rotina de atualização e monitoramento do checkout. Se você não sabe o que roda hoje na sua página de pagamento, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Sansec: grupo brasileiro sequestra checkouts da Convertr via Plausible (26/10/2026, atualizada em 27/10); CVE-2026-8467, registro oficial (20/05/2026); Plausible Analytics: notas de versão; Lei nº 13.709/2018 (LGPD), art. 48; WSCOM: ataque atinge plataforma de e-commerce e expõe cartões e CPF (27/10/2026).