Один JavaScript-файл — и карты покупателей уплывают к хакерам. Через Convertr прошло $373,7 млн продаж

Ciberdelincuentes lograron interceptar tarjetas bancarias de clientes en decenas de tiendas virtuales en Brasil al comprometer un archivo JavaScript de la plataforma Convertr. El código malicioso, conocido como skimmer (un programa que captura datos de tarjetas), se ocultó en un script de analítica que se cargaba automáticamente al momento de realizar un pago.

El ataque no afectó a cada tienda de forma individual, sino que los atacantes modificaron un archivo común en el servidor de Convertr. Esto permitió que el código infectado llegara a todas las páginas de pago de los vendedores conectados. El malware extraía el número de la tarjeta, fecha de vencimiento, código CVV, nombre del titular y el identificador fiscal brasileño (CPF), enviando la información al dominio 1x0.is.

Según investigadores de Sansec, la vulnerabilidad aprovechada fue la CVE-2026-8467 en el software de analítica de código abierto Plausible Community Edition (versiones 3.0.0 a 3.2.0). Aunque el error permitía la ejecución de comandos en el servidor y tenía un parche disponible desde mayo de 2026, la plataforma Convertr seguía utilizando una versión antigua y vulnerable.

La empresa Convertr eliminó el código malicioso y actualizó su sistema el 27 de octubre. Sin embargo, se advirtió que los navegadores podrían mantener el script infectado en su memoria caché (almacenamiento temporal) hasta 24 horas después de la limpieza.

Qué significa para una pyme colombiana y cucuteña: Si usted utiliza plataformas de pago o herramientas de analítica web de terceros, debe verificar que sus proveedores mantengan sus sistemas actualizados. En este caso, el riesgo no fue de la tienda directamente, sino de un componente que el proveedor no parcheó a tiempo. Si su negocio procesa pagos y utiliza servicios similares, revise hoy mismo que no tenga scripts antiguos cargados y asegúrese de que sus proveedores de software cumplan con los ciclos de actualización de seguridad para evitar que sus clientes sufran fraudes con sus tarjetas.