REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Une ressource commune à plusieurs boutiques peut devenir un point de collecte malveillant. Sansec décrit l’ajout d’un skimmer au script d’analytics auto-hébergé de Convertr, chargé par ses pages de paiement et capable de lire des données bancaires et fiscales.
Déroulement décrit par la source
- Selon Sansec, des pages de paiement Convertr envoient des données de carte et des numéros CPF vers un serveur hostile à partir du 24 octobre 2026.
- L’attaquant ajoute le code au fichier du serveur Plausible exploité par Convertr, ressource chargée par les pages de paiement de la plateforme.
- Le skimmer lit les champs de carte et CPF du formulaire et des requêtes vers l’API de paiement ; il transmet les données lors de la commande.
Comprendre les mécanismes et les enseignements
- Un composant de mesure d’audience possède des capacités de lecture importantes lorsqu’il s’exécute dans une page de paiement. Son origine approuvée n’empêche pas une modification ultérieure ; l’intégrité de la ressource et la portée de son accès restent déterminantes.
- Le partage d’une même ressource amplifie l’incident au-delà d’une boutique. Les équipes doivent connaître les dépendances communes de leurs parcours sensibles pour coordonner une suspension, une investigation et une remise en service avec le prestataire concerné.
Les vérifications défensives utiles
- Inventorier les scripts chargés sur les pages de paiement et leur justification. Mettre sous contrôle les changements de contenu et de destination ; conserver les versions observées et les réponses réseau avant de désactiver un composant suspect dans un environnement de production.
- Avec la plateforme et le prestataire de paiement, établir les boutiques, périodes et données potentiellement exposées. Préserver les journaux utiles sans recopier inutilement les données bancaires ; déclencher la procédure de gestion d’incident et les évaluations réglementaires applicables au périmètre confirmé.
- Revoir les droits d’administration du serveur d’analytics et son circuit de publication. Après reconstruction ou nettoyage, vérifier les ressources effectivement servies et les destinations de sortie du navigateur ; maintenir une surveillance renforcée du parcours d’achat pendant la reprise.
Portée et limites
Les constats publiés concernent la situation observée les 24 et 26 octobre, pas un état actuel vérifié. L’usage d’une instance auto-hébergée ne prouve pas une faille du projet Plausible. Le nombre exact de paiements exposés et la voie d’accès initiale restent à établir.
Rapport original
Notorious Brazilian Magecart group hijacks Convertr checkouts via Plausible analytics — sansec.io.