Ataque hacker em lojas online copia cartão e CPF

Um script alterado copiou dados de cartão e CPF no checkout de lojas brasileiras desde 24/10. Veja quem descobriu, a suspeita sobre a entrada e o que comprador e lojista podem fazer.

Por Redação Eleven Host · @robson.direitodigital · 28 de outubro de 2026 · 5 min de leitura

Capa da Redação Eleven Host para a notícia: Ataque hacker em lojas online copia cartão e CPF Arte: Eleven Host

Um ataque hacker em lojas online brasileiras copiou número de cartão, validade, código de segurança, nome do titular e CPF digitados na página de pagamento. A descoberta é da empresa de segurança Sansec, que publicou o relatório em 26/10/2026, e foi noticiada em 27/10 pelo Olhar Digital.

O alvo foi a Convertr, plataforma brasileira de comércio eletrônico que roda as lojas e a página de pagamento (o checkout) de dezenas de marcas de moda. Segundo o relatório da Sansec, a última cópia limpa do script atacado foi vista em 24/10/2026, às 05h03 (horário UTC). A empresa detectou o código malicioso no mesmo dia, às 23h22 (UTC), e a Convertr informou a remoção em 27/10, às 12h54 (UTC).

Segundo o Olhar Digital, o número exato de lojas afetadas não foi informado.

Como o código chegou a várias lojas de uma vez

Em vez de invadir loja por loja, os criminosos alteraram um único arquivo: o script de estatísticas de acesso da plataforma, que usa o Plausible, uma ferramenta de código aberto de análise de tráfego. Como as páginas de pagamento carregavam esse arquivo, o código chegou aos compradores das lojas da plataforma.

O código é um "skimmer": um programa que captura os dados digitados na hora do pagamento. Segundo a Sansec, ele só agia nas páginas de checkout da Convertr e enviava o que capturava para um endereço controlado pelos criminosos.

A Sansec acompanha o mesmo grupo desde julho de 2024 e o chama de grupo brasileiro do tipo "Magecart", nome dado a quem rouba cartão em páginas de pagamento. Segundo a Sansec, é o primeiro ataque do grupo a um fornecedor comum, a chamada cadeia de fornecimento, que ela observou. Antes, ele atacava lojas uma a uma, quase todas no Brasil, em plataformas como Magento, OpenCart e WooCommerce.

A porta de entrada ainda é suspeita

As duas fontes apontam uma suspeita sobre a entrada. A Convertr instalou o Plausible Community Edition 3.0 em 2025 e não atualizou. A falha CVE-2026-8467 afetava as versões 3.0.0 a 3.2.0 e permitia executar comandos no servidor sem login, por um endereço chamado "/storybook". A correção saiu em maio de 2026, na versão 3.2.1.

A Sansec não confirmou que foi essa a entrada. A empresa diz que não viu os registros do servidor da Convertr e, por isso, não pode afirmar que aquela foi a porta de entrada. A Convertr removeu o código, atualizou o Plausible e está avisando lojistas, empresas de pagamento e autoridades. A Sansec confirmou o arquivo limpo em 27/10, às 13h08 (UTC).

Comprei com cartão em loja online desde 24/10: o que fazer

As fontes dão uma orientação direta a quem pagou com cartão numa loja brasileira desde 24 de outubro e viu "checkout.convertr" no endereço da página de pagamento:

• peça ao banco o bloqueio e a troca do cartão;
• acompanhe possíveis fraudes com o seu CPF.

O navegador pode guardar uma cópia do arquivo infectado por até 24 horas depois da correção. Por isso, quem comprou logo após a limpeza ainda pode ter sido exposto, segundo as duas fontes.

Se você tem loja virtual

As recomendações das fontes dependem do seu caso:

• Lojista que usa a Convertr: peça à plataforma a confirmação de que o arquivo foi corrigido e avise a empresa de pagamentos.
• Quem administra o próprio Plausible: atualize para a versão 3.2.1 ou posterior e procure acessos a "/storybook" nos registros (logs) de acesso. Se achar, a Sansec manda reconstruir o servidor, trocar as senhas e as chaves e comparar os arquivos do script com os da versão oficial.

Uma lição vale para quem tem site ou loja, e ela é nossa, não das fontes: os componentes de terceiros que a página de pagamento carrega, como estatística, chat e pixels, também precisam de atualização. Neste caso, uma ferramenta esquecida sem atualização é suspeita de ter sido a porta de entrada. Se o seu site tem WordPress, veja o guia WordPress hackeado: o que fazer, passo a passo. Se você mantém um servidor próprio, o guia Atualizar Ubuntu Server: guia seguro para a sua VPS mostra como manter o sistema em dia.

Para quem está montando o próprio negócio online

Quem está montando uma loja ou um site pode precisar de um endereço e de um servidor. As opções abaixo são um ponto de partida.

Já pensou no endereço do seu negócio? Registre o seu domínio na Eleven Host. Registrar domínio

Está pensando em um servidor? Os planos de VPS saem a partir de R$ 17,00/mês, no Plano Bronze; confira na loja o que cada plano inclui. Ver planos de VPS

Perguntas frequentes

Quais dados foram copiados no ataque hacker em lojas online?

Número do cartão, validade, código de segurança (CVV), nome do titular e CPF do comprador, segundo o Olhar Digital e a Sansec.

Como sei se comprei numa loja afetada?

O sinal citado é o endereço da página de pagamento com "checkout.convertr", em compra feita desde 24 de outubro.

A falha do Plausible foi a causa do ataque?

É uma suspeita. A Sansec diz que não viu os registros do servidor da Convertr e não pode confirmar que aquela foi a porta de entrada.

O ataque já foi corrigido?

A Convertr informou que removeu o código e atualizou o Plausible, e a Sansec confirmou o arquivo limpo em 27/10.