Hackare kapar Convertrs analysskript för att stjäla betalningsuppgifter

En grupp som uppges stjäla betalkortsuppgifter komprometterade ett analysskript som används av den brasilianska e-handelsplattformen Convertr för att stjäla kunders betalningsuppgifter i kassan, enligt BleepingComputer.

Säkerhetsföretaget Sansec uppger att angriparna ändrade en Plausible-spårare på en server som Convertr själv hanterar. Skriptet laddas på kassasidor hos handlare som använder plattformen. Sansec misstänker att angriparna utnyttjade CVE-2026-8467, en sårbarhet för kommandokörning utan autentisering i Convertrs föråldrade installation av Plausible Community Edition, men säger att detta inte har bekräftats.

Kampanjen upptäcktes den 24 oktober. Sansec kopplade den till en brasiliansk grupp som varit aktiv sedan åtminstone juli 2024 och riktar in sig på nätbutiker som använder Magento, OpenCart och WooCommerce. Den 26 oktober hade skadekoden uppdaterats för att rikta in sig på Convertrs specifika fältnamn i betalnings-API:t, enligt Sansec.

Convertr driver nätbutiker och kassasystem åt dussintals stora modemärken i Brasilien och hanterar försäljning på R$2 miljarder (370 miljoner dollar). Sansec bekräftade senare att Convertr tog bort skadekoden och uppgraderade Plausible till en uppdaterad version. Företaget uppgav att det informerade berörda handlare och betaltjänstleverantörer.

Sansec varnade för att webbläsarens cache kan hålla skriptet aktivt på berörda webbplatser i upp till 24 timmar efter att det rensats bort. BleepingComputer uppgav att tidningen hade kontaktat Convertr för en kommentar men ännu inte fått svar.