// CLUBIC — CYBERSECURITY
Des pirates ont trouvé comment voler vos données bancaires au moment de payer en ligne
Au moment de valider leur commande, les clients de dizaines de marques de mode brésiliennes ont livré leur numéro de carte et leur cryptogramme à des pirates. Pour piéger toutes ces caisses d'un coup, les attaquants ont modifié le script de statistiques que chacune chargeait.
Ces marques confient leur boutique en ligne et leur page de paiement à la plateforme brésilienne Convertr. L'entreprise annonce plus de 2 milliards de reais de ventes réalisées par ses marchands, soit environ 320 millions d'euros. Convertr intègre à chacune de ses boutiques un petit programme de mesure d'audience, hébergé sur un serveur Plausible qu'elle administre. Plausible est une alternative open source à Google Analytics. Les pirates ont glissé un code malveillant dans ce programme, et récupéraient à chaque commande les informations de carte saisies dans le formulaire, avec le CPF du client. Les banques brésiliennes identifient leurs clients grâce à ce numéro fiscal. L'entreprise néerlandaise de sécurité Sansec a repéré le code malveillant le 24 octobre, et Convertr ne l'a retiré qu'hier. Les victimes sont brésiliennes, mais n'importe quel commerçant qui ajoute un script extérieur à sa page de paiement court ce risque.
Convertr a installé en 2025 la version auto-hébergée de Plausible, sans jamais la mettre à jour par la suite. Les versions 3.0.0 à 3.2.0 de ce logiciel contiennent une faille critique référencée CVE-2026-8467. Avec cette faille, n'importe qui peut exécuter des commandes sur le serveur sans se connecter, en passant par une bibliothèque de composants que Plausible laissait ouverte à l'adresse /storybook. L'éditeur a corrigé le problème en mai, et Sansec soupçonne les pirates d'être entrés par cette brèche, sans pouvoir le confirmer faute d'accès aux journaux du serveur de Convertr.
Plausible sert ce script directement depuis un fichier stocké sur le serveur. En modifiant ce seul fichier, un attaquant infecte tous les sites qui l'intègrent, explique Sansec. Chaque page de paiement de Convertr chargeait donc le skimmer. Les pirates l'ont retouché deux jours après l'avoir posé, pour lire exactement les champs de l'interface de paiement de la plateforme.
Sansec suit ce groupe brésilien depuis juillet 2024. Ses membres avaient jusqu'ici infecté des dizaines de boutiques en ligne, presque toutes au Brésil, en les piratant une par une, et certaines ont été infectées pendant près de deux ans. « Convertr est la première attaque de la chaîne d'approvisionnement que nous voyons de leur part », relève l'équipe d'investigation de Sansec.
Ce groupe attaque aussi directement des boutiques WooCommerce, et 47,4 % des boutiques en ligne françaises fonctionnent sous ce logiciel, d'après une étude de mars 2026 que nous citions à propos d'un skimmer glissé par une extension WooCommerce. Pour payer en Europe avec un numéro de carte française volé, un fraudeur doit toutefois, en général, passer le 3-D Secure et sa validation dans l'application bancaire du titulaire. Les principales banques françaises rejettent même, depuis janvier, les paiements sans 3-D Secure dès qu'ils dépassent un centime en 24 heures chez un même commerçant, quand celui-ci encaisse par un prestataire européen, selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement.
D'après l'Observatoire, les fraudeurs utilisent d'ailleurs surtout les cartes copiées sur des terminaux piégés pour payer sur des sites marchands hors d'Europe qui n'exigent pas d'authentification forte. Sur ces paiements internationaux hors Espace économique européen, le taux de fraude est de 0,376 %, contre 0,026 % sur les opérations nationales.
Si vous avez payé une commande sur une boutique brésilienne depuis le 24 octobre, avec « checkout.convertr » dans l'adresse de la page de paiement, Sansec vous conseille de faire bloquer et remplacer votre carte. Le script infecté est conservé jusqu'à 24 heures dans le cache des navigateurs, et un client de Convertr peut donc encore tomber sur le skimmer