Panorama: Hackers escondem código que rouba cartão e CPF de quem compra em lojas de moda no Brasil

Prefira o CT no Google Reprodução/Sora Shimazaki/Pexels Criminosos inseriram um código que captura dados de cartão e CPF em um serviço da Convertr, plataforma usada por dezenas de marcas de moda brasileiras. Segundo a empresa de segurança Sansec, o ataque estava ativo desde sábado (24) e atingia páginas de pagamento das lojas.

O programa copiava número do cartão, validade, código de segurança (CVV), nome do titular e CPF. A análise não informa o número de compradores afetados nem apresenta uma relação das lojas atingidas.

A Sansec confirmou a remoção do código nesta terça-feira (27), mas alertou que cópias do arquivo armazenadas pelos navegadores podem prolongar o risco.

Os criminosos acrescentaram um programa de captura de dados, conhecido como skimmer, ao arquivo legítimo. O trecho malicioso usava ofuscação, técnica que dificulta a leitura do código e ajuda a esconder sua função.

Esse programa só era ativado em páginas cujo endereço continha "checkout.convertr". Ele lia os campos do formulário e os dados enviados pela página ao sistema de pagamentos, capturando número do cartão, validade, código de segurança, nome e CPF. Ao finalizar o pedido, as informações eram transmitidas a um servidor dos invasores.

Como várias lojas carregavam o mesmo arquivo, uma única alteração permitiu distribuir o código entre elas. Esse tipo de comprometimento de um fornecedor compartilhado é chamado de ataque à cadeia de fornecimento.

A Sansec suspeita que os invasores exploraram uma falha em uma versão desatualizada do Plausible. A hipótese ainda não foi confirmada, pois os pesquisadores não tiveram acesso aos registros do servidor da Convertr.

Segundo a atualização da Sansec, a Convertr removeu o código e atualizou o sistema de análise de visitas Plausible. A plataforma também informou aos pesquisadores que está notificando lojistas, empresas de pagamento e autoridades.

A ressalva envolve o cache, recurso que guarda arquivos para acelerar o carregamento de páginas.

Conforme a Sansec, o navegador pode conservar a versão contaminada por até 24 horas após a limpeza. A retirada também não recupera informações já enviadas aos invasores.

O Canaltech procurou a Convertr para confirmar as medidas adotadas e solicitar orientações aos consumidores. A reportagem aguarda retorno.

Para quem pagou com cartão desde 24 de outubro em uma página cujo endereço continha "checkout.convertr", a Sansec recomenda solicitar ao banco o bloqueio e a substituição do cartão.

Confira a fatura e ative os avisos de compras. O Banco Central recomenda verificar as transações e habilitar notificações para identificar cobranças desconhecidas.

Conteste compras que não reconhece. Entre em contato com o banco pelos canais oficiais e informe quais transações são suspeitas. O Ministério da Justiça orienta solicitar o bloqueio do cartão e o cancelamento das cobranças indevidas.

Guarde comprovantes e registre a ocorrência se houver fraude. Preserve extratos, e-mails e protocolos de atendimento para apresentar ao banco e à polícia.

Monitore o uso do CPF. O Ministério da Justiça recomenda consultar o Registrato ( bcb.gov.br/meubc/registrato ), do Banco Central, para verificar contas e empréstimos vinculados ao documento. Caso encontre algo desconhecido, procure a instituição responsável.

Uma medida recomendada pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) é usar cartão virtual nas compras pela internet. Ele permite realizar pagamentos com dados diferentes dos impressos no cartão físico.

Desconfie também de contatos que alegam precisar de alguma operação bancária para impedir uma cobrança.

Segundo o Banco Central, pedidos para realizar procedimentos no aplicativo ou no caixa eletrônico com essa justificativa são característicos do golpe da falsa central de atendimento.

Veja também: O que é phishing e como se proteger?