Convertr-Analytics-Skript missbraucht: Zahlungsdaten von Onlinekäufern gefährdet
Angreifer haben ein gemeinsam genutztes Analytics-Skript der brasilianischen E-Commerce-Plattform Convertr manipuliert und damit Zahlungsdaten während des Bezahlvorgangs abgegriffen. Die Kampagne wurde am 24. Oktober identifiziert; betroffen sein können Käufer brasilianischer Shops, deren Checkout-Adresse die Zeichenfolge „checkout.convertr“ enthielt. Für Unternehmen ist besonders relevant, dass der Schadcode nicht zwingend in jedem einzelnen Shop installiert werden musste: Das kompromittierte Skript wurde auf Checkout-Seiten der angeschlossenen Händler geladen.
Nach Angaben des Sicherheitsunternehmens Sansec wurde die Plausible-Tracker-Datei auf einem von Convertr betriebenen, selbst verwalteten Server verändert. Plausible ist dabei die von Convertr eingesetzte Open-Source-Alternative zu Google Analytics. Der Angreifer fügte anschließend Schadcode in den legitimen Tracker ein, der von der Convertr-Infrastruktur auf den Checkout-Seiten aller Plattformkunden geladen wurde. Damit lag der kritische Kontrollpunkt bei einer gemeinsam verwendeten Plattformkomponente und nicht nur bei einem einzelnen Händler.
Sansec vermutet als ersten Zugang die Ausnutzung von CVE-2026-8467, einer nicht authentifizierten Schwachstelle zur Befehlsausführung in einer veralteten Installation der Plausible Community Edition. Diese Zuordnung ist jedoch nicht bestätigt. Betreiber sollten die CVE deshalb nicht als abschließend geklärte Ursache behandeln, sondern die von Convertr gemeldete Aktualisierung der Plausible-Installation und die Entfernung des Skimmers als zentrale bisher belegte Abhilfemaßnahmen einordnen.
Die Angreifer passten den Skimmer bis zum 26. Oktober an die konkreten Namen der Zahlungs-API-Felder von Convertr an. In den vorliegenden Angaben wird als erfasster Datentyp die brasilianische Steueridentifikationsnummer CPF genannt. Convertr entfernte den Skimmer laut Sansec und aktualisierte Plausible auf eine gepatchte Version; außerdem sollte das Unternehmen betroffene Händler und Zahlungsdienstleister informieren.
Wer seit dem 24. Oktober mit Karte in einem betroffenen brasilianischen Shop bezahlt hat, sollte die Bank kontaktieren und um eine Sperrung der Karte bitten. Vor einer weiteren Bestellung empfiehlt die vorliegende Warnung außerdem, den Browser-Cache zu löschen: Zwischengespeicherte Skripte könnten nach der Bereinigung noch bis zu 24 Stunden aktiv bleiben. Händler sollten ihre Einbindung des Convertr-Checkouts sowie Hinweise ihres Plattformbetreibers prüfen; weitergehende Aussagen zum Umfang der abgeflossenen Daten sind anhand der vorliegenden Informationen nicht möglich.