Un script de analítica manipulado robó datos de tarjetas en tiendas online de Brasil

Qué ha pasado

La empresa de seguridad Sansec ha detectado una campaña de robo de datos de tarjetas que se coló en las páginas de pago de tiendas online brasileñas. Según cuenta BleepingComputer, se identificó el 24 de octubre y se atribuye a un grupo brasileño que, al menos desde julio de 2024, infecta tiendas montadas con Magento, OpenCart y WooCommerce.

La puerta de entrada fue una herramienta de estadísticas web: Plausible, una alternativa de código abierto a Google Analytics. Convertr, plataforma brasileña que da servicio de tienda y pago a decenas de grandes marcas de moda del país, la tenía instalada en un servidor propio. Los atacantes modificaron el archivo del rastreador y le añadieron código malicioso, que se cargaba en la página de pago de todos los comercios de la plataforma.

Sansec sospecha que accedieron aprovechando el fallo CVE-2026-8467, que permite ejecutar órdenes sin necesidad de identificarse en una versión desactualizada de Plausible, aunque esto no está confirmado. El 26 de octubre ya circulaba una versión más afinada, adaptada a los nombres exactos de los campos de pago de Convertr. El código copiaba número de tarjeta, caducidad, CVV, nombre del titular y CPF, el identificador fiscal brasileño.

Según Sansec, Convertr ya ha retirado el código malicioso, ha actualizado Plausible y está avisando a comercios y proveedores de pago.

Por qué le importa a tu empresa

Es poco probable que tu tienda use Convertr, pero el mecanismo puede repetirse en cualquier comercio. Todo script que se carga en tu página de pago, sea de analítica, publicidad, chat o medición, tiene prácticamente el mismo acceso a lo que escribe el cliente que tu propio código. Si ese script depende de un servidor ajeno con software sin actualizar, tu seguridad depende también de ese servidor.

Hay además una consecuencia legal. Los datos de pago de tus clientes son datos personales, y una fuga a través de un proveedor sigue siendo un problema tuyo ante el cliente y ante la normativa de protección de datos.

Otro detalle práctico: limpiar el origen no corta el problema al instante. Sansec advierte de que el navegador puede conservar el script malicioso en caché hasta 24 horas después de la limpieza.

Mi opinión

Lo que más me llama la atención es lo corriente del punto de entrada. No se trata de un ataque sofisticado contra una tienda concreta, sino de una herramienta de estadísticas con una versión antigua, olvidada en un servidor. Es el tipo de cosa que en una pyme se queda sin revisar durante años porque «no es la tienda, es solo el contador de visitas».

También conviene ser prudentes: el fallo concreto que se menciona es una sospecha, no un hecho confirmado, y el análisis procede de una única firma de seguridad. Aun así, la lección no depende de ese detalle. En XEVIA solemos revisar qué scripts externos se cargan en las páginas sensibles de una web, y casi siempre aparece alguno que nadie recuerda haber puesto.

Qué hacer hoy

• Haz inventario de todo lo que se carga en tu carrito y tu página de pago, y elimina lo que no sea imprescindible.
• Actualiza las herramientas que alojes tú, incluidas las de analítica, y comprueba que no queda ninguna versión antigua olvidada.
• Pregunta a tu pasarela de pago si ofrece un formulario alojado por ellos, de modo que los datos de tarjeta no pasen por tu página.
• Valora restringir qué puede cargar tu web con una política de seguridad de contenidos y comprobar la integridad de los scripts externos.
• Prepara un plan de aviso: quién decide y a quién se comunica (clientes, banco, autoridad de protección de datos) si un proveedor te notifica un incidente.

Fuente: BleepingComputer.