Sansec 24 октября 2026 года обнаружила скиммер Convertr в общем трекере аналитики Plausible. На страницах оплаты всех магазинов бразильской платформы он снимал номер карты, срок действия, CVV, имя держателя и CPF. Злоумышленникам хватило изменить один файл на сервере аналитики.
Коротко
- 24 октября 2026 года Sansec нашла скиммер в общем трекере Plausible на checkout всех магазинов Convertr: он снимал номер карты, срок действия, CVV, имя держателя и CPF.
- CVE-2026-8467 в устаревшей Plausible Community Edition — гипотеза Sansec, без CVSS, версий и IoC.
- Скиммер удалён; покупателям, платившим с 24 октября, Sansec советует блокировать карту, а магазинам стоит требовать окна компрометации и хеши вредоносных версий.
Что Sansec нашла на Convertr
Вредоносный код оказался в трекере аналитики, который Convertr подключает к страницам оплаты всех своих клиентов. Платформа обслуживает checkout десятков крупных fashion-брендов Бразилии, через неё проходит около 2 млрд реалов (примерно $370 млн) продаж. На запрос BleepingComputer Convertr к моменту публикации не ответила.
CPF — бразильский номер налогоплательщика. По нашей оценке, это самая неприятная часть утечки: карту можно перевыпустить, а номер налогоплательщика остаётся с человеком и годится для мошенничества от его имени.
Сколько магазинов и карт пострадало, не сообщается. Имени группы тоже нет: Sansec описывает бразильскую банду, которая как минимум с июля 2024 года заражает магазины на Magento, OpenCart и WooCommerce.
Как скиммер Convertr попал в трекер Plausible?
Convertr сама хостит Plausible Community Edition (открытый аналог Google Analytics), и трекер с этого сервера подключён к checkout каждого клиента. Код исполняется прямо на странице оплаты и видит все поля формы. От себя добавим: токенизация здесь не спасает — данные уходят из браузера раньше, чем попадают к продавцу.
Точку входа Sansec называет лишь предположительно: CVE-2026-8467, выполнение команд без аутентификации в устаревшей Plausible CE. Подтверждения, оценки CVSS, диапазона уязвимых версий и IoC нет. Забытая аналитика на сервере, доступном из интернета, — типичная находка на пентесте веб-приложений.
Скиммер дописывали вручную: ранние версии искали платёжные поля по общим шаблонам, а к 26 октября появилась сборка под точные имена полей платёжного API Convertr.
Что делать, если вы платили на checkout.convertr?
Sansec советует всем, кто с 24 октября платил картой в бразильском магазине с подстрокой checkout.convertr в адресе страницы оплаты, связаться с банком и заблокировать карту. Как сообщила Sansec в обновлении, Convertr «удалила скиммер и обновила Plausible до исправленной версии» и уведомляет пострадавшие магазины и платёжных провайдеров.
Браузер может держать старую копию трекера в кэше до 24 часов, и всё это время скиммер работает у покупателя. Перед новым заказом кэш стоит очистить.
Что проверить в своём магазине
Любой сторонний JS на странице оплаты — такая же точка отказа: аналитика, тег-менеджер, виджет чата или рассрочки. Свой сервер аналитики обновляйте как платёжную инфраструктуру.
- Выпишите все внешние скрипты страницы оплаты и уберите лишние.
- Сверьте версию Plausible CE или другой аналитики с актуальным релизом и проверьте дату изменения файла трекера.
- Добавьте атрибут integrity (Subresource Integrity): браузер отклонит подменённый файл. Хеш придётся обновлять с каждым легитимным релизом.
- В DevTools посмотрите, какие обработчики висят на полях карты и куда уходят запросы при вводе.
CSP со списком разрешённых доменов не помог бы: код пришёл с разрешённого адреса. Ограничение адресов для исходящих запросов заражение не остановит, но вывести украденное станет сложнее.
Что требовать от платформы
Дальше — не из отчёта Sansec, а из отраслевых требований. С 31 марта 2025 года PCI DSS v4.0 требует вести инвентарь скриптов на платёжной странице и обосновывать каждый (п. 6.4.3), а также отслеживать изменения страницы (п. 11.6.1). В Бразилии по закону LGPD при существенном риске уведомляют регулятор ANPD и пострадавших.
От платформы требуйте точные окна компрометации, URL и хеши вредоносных версий: без них не посчитать, какие заказы попали под удар и о каких картах сообщать эквайеру.
Подменённый файл, конфигурацию и журналы сохраняют до обновления. Патч не доказывает, что злоумышленник не оставил учётку или задачу в планировщике. А того, что легитимный трекер начал читать поле CVV, сканер CVE не заметит — это проверяют на пентесте по требованиям PCI DSS.
Частые вопросы
Скиммер Convertr ещё работает?
На сервере — нет: Convertr удалила вредоносный код и обновила Plausible. Старая копия скрипта в кэше браузера может жить до 24 часов.
CVE-2026-8467 точно использовали для входа?
Нет. Sansec только подозревает эту уязвимость, подтверждения нет.
Кого касается строка checkout.convertr?
Всех, кто с 24 октября 2026 года платил картой в бразильском магазине с checkout.convertr в адресе страницы оплаты. Sansec советует связаться с банком и заблокировать карту.
Если на вашей странице оплаты грузятся чужие скрипты, проверьте их раньше злоумышленников. SecurityLab.pro проводит пентест интернет-магазина с разбором checkout и сторонних JS.