Criminosos esconderam um código malicioso em um arquivo da ferramenta de análise Plausible e passaram a capturar dados de cartão e CPF de quem comprava em lojas de moda online no Brasil. O ataque ficou ativo desde sábado, 24 de outubro, e a remoção do código foi confirmada na terça-feira, 27, segundo a cobertura do Canaltech.
O golpe atingiu a Convertr, plataforma usada por dezenas de marcas de moda brasileiras. A empresa de segurança Sansec identificou e acompanhou a ação. As lojas afetadas e o número de compradores atingidos não foram divulgados até agora.
Índice
COMO O ATAQUE FUNCIONAVA
Os invasores inseriram um skimmer, programa que copia informações digitadas em formulários de pagamento, dentro de um arquivo do Plausible. As lojas carregavam esse arquivo normalmente para medir visitas, o que fez o código malicioso chegar ao navegador dos clientes sem levantar suspeita.
O código estava ofuscado e só entrava em ação em páginas cujo endereço continha a expressão checkout.convertr. Nessas telas, ele capturava número do cartão, validade, CVV, nome do titular e CPF, e enviava tudo para servidores controlados pelos criminosos.
Esse tipo de golpe é chamado de ataque à cadeia de fornecimento. Em vez de invadir cada loja, os criminosos comprometem um componente que várias lojas usam e ganham alcance de uma só vez.
O QUE SE SABE SOBRE A ORIGEM
A Sansec suspeita que os invasores exploraram uma versão desatualizada do Plausible. A hipótese não foi confirmada, porque a empresa não teve acesso aos registros do servidor da Convertr.
Sem esses registros, não é possível dizer com precisão como o arquivo foi alterado, nem se outros componentes também foram tocados.
O QUE A CONVERTR DIZ
A Convertr informou que removeu o código malicioso e atualizou o Plausible. Segundo a empresa, nenhum dado sensível de lojistas ou de clientes foi acessado.
Há um detalhe prático importante. O cache do navegador pode manter a versão contaminada do arquivo por até 24 horas, o que significa que a limpeza no servidor não encerra o risco no mesmo instante para quem já tinha visitado o site.
COMO SE PROTEGER
Quem pagou com cartão de crédito em páginas do checkout da Convertr desde 24 de outubro deve pedir ao banco o bloqueio e a substituição do cartão. Como as lojas não foram divulgadas, vale revisar qualquer compra de moda online feita nesse período.
Também é recomendável acompanhar a fatura com atenção, ativar alertas de compra no aplicativo do banco e contestar cobranças que não foram reconhecidas. Guarde extratos, e-mails e protocolos de atendimento. Em caso de fraude, registre boletim de ocorrência.
Como o CPF também foi exposto, o Registrato, sistema do Banco Central, permite verificar contas e empréstimos ligados ao documento. O CERT.br orienta usar cartão virtual em compras online, já que o número gerado pode ser descartado depois do uso.
Outro cuidado envolve contatos telefônicos. O Banco Central classifica como falsa central de atendimento o golpe em que o criminoso pede operações bancárias para supostamente impedir uma cobrança. Dados roubados em ataques como este costumam alimentar esse tipo de abordagem.
POR QUE ATAQUES À CADEIA DE FORNECIMENTO PREOCUPAM
O caso mostra como uma ferramenta aparentemente inofensiva, como um serviço de análise de visitas, pode virar porta de entrada para fraude financeira. O comprador não tem como identificar o problema olhando a página, e o lojista muitas vezes nem sabe que um script de terceiros foi alterado.
Para as empresas, a lição é manter componentes atualizados, revisar quais scripts rodam nas páginas de pagamento e monitorar mudanças em arquivos carregados de fora. Para o consumidor, o melhor recurso continua sendo o cartão virtual e o monitoramento constante da fatura.
PERGUNTAS FREQUENTES
Quais lojas foram afetadas?
As lojas não foram divulgadas. Sabe-se apenas que a plataforma Convertr atende dezenas de marcas de moda brasileiras.
Quem comprou antes de 24 de outubro corre risco?
Pelas informações divulgadas, o código esteve ativo a partir de 24 de outubro. Compras anteriores não aparecem como afetadas.
O que devo fazer se comprei no período?
Peça ao banco o bloqueio e a troca do cartão, acompanhe a fatura e conteste qualquer cobrança desconhecida.
Os dados de CPF também foram roubados?
Sim. O código capturava, além dos dados do cartão, o CPF informado no checkout.
