Criminosos inseriram um código que captura dados de cartão e CPF em um serviço da Convertr, plataforma usada por dezenas de marcas de moda brasileiras. Segundo a empresa de segurança Sansec, o ataque estava ativo desde sábado (24) e atingia páginas de pagamento das lojas. O programa copiava número do cartão, validade, código de segurança (CVV), nome do titular e CPF. A análise não informa o número de compradores afetados nem apresenta uma relação das lojas atingidas. A Sansec confirmou a remoção do código nesta terça-feira (27), mas alertou que cópias do arquivo armazenadas pelos navegadores podem prolongar o risco. Como o ataque funcionava? A Convertr utilizava o Plausible , ferramenta de análise de visitas, em um servidor próprio. Um arquivo desse serviço era carregado pelas lojas que usam a plataforma, inclusive nas páginas em que o consumidor preenche os dados de pagamento. Os criminosos acrescentaram um programa de captura de dados, conhecido como [object Object] , ao arquivo legítimo. O trecho malicioso usava ofuscação, técnica que dificulta a leitura do código e ajuda a esconder sua função. Esse programa só era ativado em páginas cujo endereço continha "checkout.convertr" . Ele lia os campos do formulário e os dados enviados pela página ao sistema de pagamentos, capturando número do cartão, validade, código de segurança, nome e CPF. Ao finalizar o pedido, as informações eram transmitidas a um servidor dos invasores. Como várias lojas carregavam o mesmo arquivo, uma única alteração permitiu distribuir o código entre elas. Esse tipo de comprometimento de um fornecedor compartilhado é chamado de ataque à cadeia de fornecimento. A Sansec suspeita que os invasores exploraram uma falha em uma versão desatualizada do Plausible. A hipótese ainda não foi confirmada, pois os pesquisadores não tiveram acesso aos registros do servidor da Convertr. O problema já foi resolvido? Segundo a atualização da Sansec, a Convertr removeu o código e atualizou o sistema de análise de visitas Plausible. A plataforma também informou aos pesquisadores que está notificando lojistas, empresas de pagamento e autoridades. A ressalva envolve o cache, recurso que guarda arquivos para acelerar o carregamento de páginas. Conforme a Sansec, o navegador pode conservar a versão contaminada por até 24 horas após a limpeza . A retirada também não recupera informações já enviadas aos invasores. O Canaltech procurou a Convertr para confirmar as medidas adotadas e solicitar orientações aos consumidores. A reportagem aguarda retorno. O que fazer se comprei em uma das lojas? Para quem pagou com cartão desde 24 de outubro em uma página cujo endereço continha "checkout.convertr" , a Sansec recomenda solicitar ao banco o bloqueio e a substituição do cartão. Também é importante acompanhar possíveis movimentações indevidas: Como se proteger nas próximas compras? Uma medida recomendada pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) é usar cartão virtual nas compras pela internet. Ele permite realizar pagamentos com dados diferentes dos impressos no cartão físico. Desconfie também de contatos que alegam precisar de alguma operação bancária para impedir uma cobrança. Segundo o Banco Central, pedidos para realizar procedimentos no aplicativo ou no caixa eletrônico com essa justificativa são característicos do golpe da falsa central de atendimento. Veja também: O que é phishing e como se proteger?
