Au moment de valider leur commande, les clients de dizaines de marques de mode brésiliennes ont livré leur numéro de carte et leur cryptogramme à des pirates. Pour piéger toutes ces caisses d'un coup, les attaquants ont modifié le script de statistiques que chacune chargeait.
Ces marques confient leur boutique en ligne et leur page de paiement à la plateforme brésilienne Convertr. L'entreprise annonce plus de 2 milliards de reais de ventes réalisées par ses marchands, soit environ 320 millions d'euros. Convertr intègre à chacune de ses boutiques un petit programme de mesure d'audience, hébergé sur un serveur Plausible qu'elle administre. Plausible est une alternative open source à Google Analytics. Les pirates ont glissé un code malveillant dans ce programme, et récupéraient à chaque commande les informations de carte saisies dans le formulaire, avec le CPF du client. Les banques brésiliennes identifient leurs clients grâce à ce numéro fiscal. L'entreprise néerlandaise de sécurité Sansec a repéré le code malveillant le 24 octobre, et Convertr ne l'a retiré qu'hier. Les victimes sont brésiliennes, mais n'importe quel commerçant qui ajoute un script extérieur à sa page de paiement court ce risque.
Le serveur de statistiques de Convertr, jamais mis à jour depuis 2025
Convertr a installé en 2025 la version auto-hébergée de Plausible, sans jamais la mettre à jour par la suite. Les versions 3.0.0 à 3.2.0 de ce logiciel contiennent une faille critique référencée CVE-2026-8467. Avec cette faille, n'importe qui peut exécuter des commandes sur le serveur sans se connecter, en passant par une bibliothèque de composants que Plausible laissait ouverte à l'adresse /storybook. L'éditeur a corrigé le problème en mai, et Sansec soupçonne les pirates d'être entrés par cette brèche, sans pouvoir le confirmer faute d'accès aux journaux du serveur de Convertr.
Plausible sert ce script directement depuis un fichier stocké sur le serveur. En modifiant ce seul fichier, un attaquant infecte tous les sites qui l'intègrent, explique Sansec. Chaque page de paiement de Convertr chargeait donc le skimmer. Les pirates l'ont retouché deux jours après l'avoir posé, pour lire exactement les champs de l'interface de paiement de la plateforme.
Sansec suit ce groupe brésilien depuis juillet 2024. Ses membres avaient jusqu'ici infecté des dizaines de boutiques en ligne, presque toutes au Brésil, en les piratant une par une, et certaines ont été infectées pendant près de deux ans. « Convertr est la première attaque de la chaîne d'approvisionnement que nous voyons de leur part », relève l'équipe d'investigation de Sansec.
En France, des numéros volés freinés par le 3-D Secure
Ce groupe attaque aussi directement des boutiques WooCommerce, et 47,4 % des boutiques en ligne françaises fonctionnent sous ce logiciel, d'après une étude de mars 2026 que nous citions à propos d'un skimmer glissé par une extension WooCommerce. Pour payer en Europe avec un numéro de carte française volé, un fraudeur doit toutefois, en général, passer le 3-D Secure et sa validation dans l'application bancaire du titulaire. Les principales banques françaises rejettent même, depuis janvier, les paiements sans 3-D Secure dès qu'ils dépassent un centime en 24 heures chez un même commerçant, quand celui-ci encaisse par un prestataire européen, selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement.
D'après l'Observatoire, les fraudeurs utilisent d'ailleurs surtout les cartes copiées sur des terminaux piégés pour payer sur des sites marchands hors d'Europe qui n'exigent pas d'authentification forte. Sur ces paiements internationaux hors Espace économique européen, le taux de fraude est de 0,376 %, contre 0,026 % sur les opérations nationales.
Si vous avez payé une commande sur une boutique brésilienne depuis le 24 octobre, avec « checkout.convertr » dans l'adresse de la page de paiement, Sansec vous conseille de faire bloquer et remplacer votre carte. Le script infecté est conservé jusqu'à 24 heures dans le cache des navigateurs, et un client de Convertr peut donc encore tomber sur le skimmer une journée après le nettoyage. Pour vos achats ailleurs, avec une carte virtuelle à usage unique, vous gardez votre vrai numéro hors de portée d'un site piégé. Nous vous la suggérions contre des skimmers cachés dans Google Tag Manager. Et si un fraudeur réussit malgré tout un paiement sans authentification forte, votre banque doit vous rembourser sans délai, y compris en cas de négligence grave de votre part, rappelle l'Observatoire.
Sansec invite les commerçants qui hébergent Plausible sur leurs serveurs à installer la version 3.2.1 et à chercher dans leurs journaux des requêtes vers /storybook. Convertr indique de son côté prévenir les marchands touchés et les autorités, sans avoir publié le nombre de cartes saisies sur ses caisses pendant ces trois jours.
