Взлом одного сервера аналитики превратил страницы оплаты магазинов Convertr в сборщики карточных данных. По отчёту Sansec от 26 октября, вредоносный код обнаружили 24 октября в общем файле, который загружали страницы оформления заказов платформы. Convertr обслуживает десятки бразильских модных брендов; число пострадавших покупателей не установлено.

Компания размещала Plausible Community Edition на собственном сервере. Атакующий дописал код к штатному скрипту статистики. На страницах оплаты тот считывал номер карты, срок действия, CVV, имя и бразильский налоговый номер CPF, отправляя их постороннему серверу при оформлении заказа. К 26 октября код доработали под точные поля платёжного интерфейса Convertr: для распространения кражи между магазинами достаточно оказалось изменить общий файл.

Sansec предполагает вход через старую уязвимость Plausible, но журналов сервера у исследователей нет. Разработчики Plausible подтверждают, что версии от 3.0 до 3.2.0 позволяли выполнять код без авторизации; исправление — 3.2.1. Это подтверждает существование уязвимости, а не её использование в данном взломе.

27 октября Sansec проверила удаление вредоносного кода. По переданному исследователям сообщению Convertr, платформа также обновила Plausible и уведомляет магазины, платёжные компании и власти. Однако браузер мог сохранить заражённый файл на срок до суток: очистка сервера не означает немедленного исчезновения всех его копий у покупателей.