Nach Angaben der auf E-Commerce-Sicherheit spezialisierten Firma Sansec veränderten die Angreifer die Tracker-Datei von Plausible – einer quelloffenen Alternative zu Google Analytics – auf einem selbst verwalteten Server von Convertr. Der manipulierte Tracker wird auf den Kassenseiten sämtlicher Händler geladen, die die Plattform einsetzen.

Als wahrscheinlichen Einstiegspunkt vermutet Sansec CVE-2026-8467, eine Schwachstelle zur Befehlsausführung ohne Authentifizierung in der veralteten Installation der Plausible Community Edition bei Convertr. Bestätigt ist das bislang nicht.

Zugeschrieben wird die Kampagne einer brasilianischen Bande, die seit mindestens Juli 2024 aktiv ist und sich auf Onlineshops mit Magento, OpenCart und WooCommerce konzentriert. Frühere Fassungen des Skimmers nutzten laut Sansec allgemeine Muster für Zahlungsfelder; bis zum 26. Oktober brachten die Angreifer eine verfeinerte Version aus, die gezielt auf die exakten Feldnamen der Zahlungs-API von Convertr abgestimmt war.

Der eingeschleuste Code war darauf ausgelegt, folgende Daten von den Kassenseiten abzugreifen:

  • Kartennummer
  • Ablaufdatum
  • CVV-Code
  • Name des Karteninhabers
  • CPF-Steueridentifikationsnummer

Wer seit dem 24. Oktober in einem brasilianischen Shop mit Karte bezahlt hat, dessen Kassenseite die Zeichenfolge „checkout.convertr“ in der Adresse enthielt, sollte sich nach Einschätzung der Forscher umgehend an seine Bank wenden und die Karte sperren lassen.

In einer Aktualisierung bestätigte Sansec, dass Convertr „den Skimmer entfernt und Plausible auf eine gepatchte Version aktualisiert“ habe. Das Unternehmen habe angekündigt, betroffene Händler und Zahlungsdienstleister zu benachrichtigen.

Sansec weist darauf hin, dass das schädliche Skript durch Browser-Caching noch bis zu 24 Stunden nach der Bereinigung auf betroffenen Seiten aktiv bleiben kann. Kunden sollten daher ihren Cache leeren, bevor sie neue Bestellungen aufgeben. Eine Möglichkeit, Kartendaten beim Onlinekauf zu schützen, sind virtuelle Einwegkarten, die unmittelbar nach der Transaktion verfallen.

Eine Stellungnahme von Convertr zu dem Vorfall liegt bislang nicht vor.