Un écumeur de cartes caché dans le script d’analytique de la plateforme brésilienne Convertr

Convertr fait fonctionner les boutiques en ligne et les pages de paiement de dizaines de marques de mode brésiliennes. Des chercheurs en sécurité disent que quelqu’un a glissé un écumeur de cartes dans un fichier d’analytique que toutes ces pages de paiement chargeaient. Convertr conteste qu’une boutique ait réellement été touchée. Si vous magasinez dans des boutiques en ligne brésiliennes, voici ce que dit chaque partie et quoi faire.

Ce qui s’est passé

Sansec, une entreprise qui étudie les attaques contre les boutiques en ligne, a indiqué le 26 octobre 2026 qu’un groupe brésilien d’écumage de cartes avait ajouté du code malveillant au script de suivi servi par le propre serveur d’analytique Plausible de Convertr. Plausible est une solution libre qui remplace Google Analytics. Selon Sansec, le code ne s’activait que sur les pages checkout.convertr et envoyait aux attaquants le numéro de carte, la date d’expiration, le code de sécurité, le nom du titulaire et le CPF (le numéro de contribuable brésilien), d’après son analyse (en anglais).

Sansec dit avoir repéré l’écumeur le 24 octobre et que les attaquants l’ont mis à jour deux jours plus tard pour viser les champs de paiement de Convertr. L’entreprise soupçonne une vieille installation de Plausible jamais corrigée, qui comportait une faille connue, mais dit ne pas pouvoir le confirmer sans les journaux du serveur de Convertr. Le 27 octobre, Sansec a confirmé que le script était de nouveau propre, et BleepingComputer a rapporté (en anglais) que Convertr avait retiré le code et mis le logiciel à jour.

Dans sa déclaration officielle (en portugais) du 27 octobre, Convertr affirme que son enquête n’a trouvé aucune boutique touchée. Elle dit que le code ne pouvait s’exécuter que sur une adresse technique précise qu’aucune boutique n’a jamais utilisée comme page de paiement, puisque la page de paiement de chaque boutique se charge sur le propre domaine de celle-ci. Convertr dit avoir retiré le code et mis à jour le composant d’analytique par précaution.

Personne n’a publié de nombre de boutiques ou de cartes touchées, alors on ne sait pas encore si des données de carte ont réellement été volées.

Ce que ça veut dire pour vous

Un écumeur copie ce que vous tapez dans un formulaire de paiement au moment où vous le tapez, alors la boutique peut avoir l’air tout à fait normale. Sansec et Convertr ne s’entendent pas sur la question de savoir si de vraies pages de paiement ont été exposées. D’ici à ce que ce soit tranché, la prudence consiste à considérer un paiement récent par carte sur une page touchée comme possiblement exposé.

Ce que vous pouvez faire

1. Regardez l’adresse de la page de paiement si vous avez payé par carte dans une boutique en ligne brésilienne depuis le 24 octobre. Si elle contenait checkout.convertr, Sansec suggère de demander à votre banque de bloquer et de remplacer la carte.
2. Vérifiez vos relevés de carte pour repérer des achats que vous ne reconnaissez pas, et activez les alertes d’achat dans votre application bancaire.
3. Surveillez toute utilisation abusive de votre CPF, comme des comptes ou des demandes de crédit que vous n’avez pas faits.
4. Utilisez une carte virtuelle pour magasiner en ligne si votre banque en offre une, pour qu’un numéro écumé puisse être désactivé sans toucher à votre carte principale.
5. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Les alias de courriel de Frame vous permettent aussi de donner à chaque boutique sa propre adresse, ce qui fait d’un message reçu à la mauvaise adresse un signe facile de fraude. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• Sansec, Notorious Brazilian Magecart group hijacks Convertr checkouts via outdated Plausible install (en anglais), 26 octobre 2026, mis à jour le 27 octobre 2026
• BleepingComputer, Hackers hijack Convertr analytics script to steal payment card data (en anglais), 27 octobre 2026
• Convertr, Nota oficial - Incidente de segurança no checkout da Convertr (en portugais), 27 octobre 2026