Hacker Bajak Script Analytics Convertr untuk Mencuri Data Kartu Kredit Pelanggan
Kelompok hacker berhasil membajak script analytics milik platform e-commerce Convertr untuk mencuri informasi kartu pembayaran pelanggan saat melakukan transaksi online. Serangan ini memanfaatkan komponen JavaScript yang digunakan bersama oleh sejumlah toko online, sehingga berpotensi memengaruhi banyak merchant sekaligus.
Kampanye pencurian data tersebut terdeteksi pada 24 Oktober 2026 dan dikaitkan dengan kelompok kejahatan siber asal Brasil yang telah aktif setidaknya sejak Juli 2024.
Menurut temuan perusahaan keamanan e-commerce Sansec, penyerang berhasil menyisipkan kode berbahaya ke dalam script pelacakan Plausible Analytics yang dihosting pada infrastruktur Convertr.
Convertr merupakan platform e-commerce asal Brasil yang menyediakan layanan toko online dan sistem checkout bagi puluhan merek fashion besar di negara tersebut. Berdasarkan informasi perusahaan, merchant yang menggunakan platform ini telah mencatat total transaksi lebih dari R$2 miliar atau sekitar US$370 juta.
Serangan tersebut menjadi perhatian karena penyerang tidak perlu membobol setiap toko online secara terpisah. Cukup dengan memodifikasi satu script analytics yang digunakan bersama, kode berbahaya dapat dimuat secara otomatis pada halaman checkout seluruh merchant yang terintegrasi dengan layanan tersebut.
Script Plausible Analytics Disusupi Kode Pencuri Data
Investigasi Sansec menemukan bahwa hacker memodifikasi file tracker milik Plausible Analytics yang dijalankan melalui server yang dikelola sendiri oleh Convertr.
Plausible merupakan platform web analytics open-source yang sering digunakan sebagai alternatif Google Analytics. Dalam implementasi Convertr, layanan tersebut digunakan untuk memantau aktivitas pengguna pada sistem e-commerce.
Penyerang menyisipkan kode JavaScript berbahaya ke dalam file tracker resmi Plausible. Karena script tersebut merupakan bagian dari komponen analytics yang secara rutin dimuat oleh halaman checkout, pengunjung tidak melihat adanya perubahan mencurigakan ketika melakukan transaksi.
Kode berbahaya tersebut bekerja sebagai web skimmer, yaitu script yang dirancang untuk mengumpulkan informasi sensitif dari formulir pembayaran sebelum data dikirimkan ke payment gateway.
Teknik serangan ini dikenal sebagai Magecart, istilah yang digunakan untuk menggambarkan berbagai kampanye pencurian data kartu pembayaran melalui injeksi JavaScript pada situs e-commerce.
Dalam kasus Convertr, skimmer hanya aktif ketika mendeteksi halaman pembayaran dengan alamat yang mengandung checkout.convertr.
Ketika pelanggan memasukkan informasi kartu dan menyelesaikan transaksi, script tersebut mengumpulkan data pembayaran lalu mengirimkannya ke server yang dikendalikan penyerang melalui domain 1x0.is.
Nomor Kartu Kredit, CVV, dan Identitas Pelanggan Jadi Target
Berdasarkan analisis terhadap kode berbahaya, skimmer tersebut dirancang untuk mencuri nomor kartu pembayaran, tanggal kedaluwarsa, kode keamanan CVV, nama pemegang kartu, serta nomor identifikasi wajib pajak Brasil yang dikenal sebagai CPF (Cadastro de Pessoas Físicas).
CPF merupakan identitas perpajakan yang umum digunakan dalam berbagai transaksi finansial di Brasil, termasuk proses pembayaran pada toko online.
Kombinasi informasi tersebut meningkatkan risiko penyalahgunaan karena penyerang tidak hanya memperoleh data kartu pembayaran, tetapi juga informasi identitas yang dapat digunakan dalam aktivitas penipuan lanjutan.
Sansec menemukan bahwa kelompok hacker terus menyempurnakan skimmer selama serangan berlangsung.
Pada versi awal yang ditemukan pada 24 Oktober, script menggunakan pola umum untuk mengidentifikasi field pembayaran. Namun, pada 26 Oktober, penyerang memperbarui payload agar secara khusus menargetkan nama field yang digunakan oleh payment API Convertr.
Perubahan ini memungkinkan skimmer membaca informasi pembayaran dengan lebih tepat, baik langsung dari formulir checkout maupun dari request yang dikirimkan ke API pembayaran.
Data yang dikumpulkan kemudian dikodekan dan dikirimkan melalui request HTTP ke infrastruktur penyerang.
Kerentanan CVE-2026-8467 Diduga Menjadi Pintu Masuk
Sansec menduga penyerang memperoleh akses awal dengan mengeksploitasi kerentanan keamanan pada instalasi Plausible Community Edition yang digunakan Convertr.
Kerentanan tersebut dilacak sebagai CVE-2026-8467, sebuah celah unauthenticated remote code execution yang memungkinkan pihak tidak berwenang menjalankan perintah pada server tanpa memerlukan autentikasi.
Celah ini memengaruhi Plausible Community Edition versi 3.0.0 hingga 3.2.0 dan berkaitan dengan komponen library yang mengekspos endpoint /storybook.
Plausible telah memperbaiki masalah tersebut melalui pembaruan versi 3.2.1 yang dirilis pada 15 Mei 2026.
Namun, berdasarkan analisis Sansec, Convertr masih menjalankan Plausible Community Edition 3.0 yang dipasang pada 2025 dan belum diperbarui ketika insiden berlangsung.
Kondisi tersebut diduga memberikan peluang bagi penyerang untuk memperoleh akses ke server analytics, kemudian memodifikasi file JavaScript yang didistribusikan ke halaman checkout merchant.
Meski demikian, Sansec menegaskan bahwa CVE-2026-8467 masih merupakan dugaan sebagai jalur masuk serangan.
Peneliti belum memperoleh akses terhadap server logs Convertr sehingga belum dapat memastikan secara definitif bagaimana penyerang berhasil mengompromikan infrastruktur analytics tersebut.
Kelompok Magecart Brasil Telah Aktif Sejak 2024
Serangan terhadap Convertr dikaitkan dengan kelompok Magecart asal Brasil yang telah dipantau Sansec sejak Juli 2024.
Kelompok ini sebelumnya diketahui menginfeksi puluhan toko online yang menggunakan Magento, OpenCart, dan WooCommerce, dengan sebagian besar target berada di Brasil.
Bahkan, beberapa toko dilaporkan menjalankan skimmer milik kelompok tersebut selama hampir dua tahun sebelum aktivitas berbahaya teridentifikasi.
Dalam operasi sebelumnya, kelompok ini biasanya menyerang toko online secara individual dengan menyisipkan script pencuri data langsung ke website korban.
Namun, serangan terhadap Convertr menunjukkan perubahan pendekatan yang lebih luas melalui supply chain attack.
Alih-alih mengompromikan puluhan toko secara terpisah, pelaku menargetkan satu komponen bersama yang dipercaya dan digunakan oleh banyak merchant.
Sansec juga menemukan kesamaan karakteristik antara skimmer Convertr dan malware yang digunakan dalam kampanye sebelumnya, termasuk struktur data hasil pencurian serta penggunaan domain berukuran pendek dengan ekstensi .is sebagai tujuan pengiriman informasi.
Kelompok tersebut diketahui memiliki kemampuan menyesuaikan skimmer dengan berbagai metode pembayaran Brasil, termasuk e.Rede, PagSeguro, Pagar.me, dan Mercado Pago.
Dalam kampanye lain, mereka bahkan pernah menggunakan varian malware yang mengganti QR code pembayaran PIX dengan QR code milik penyerang untuk mengalihkan dana transaksi.
Convertr Hapus Script Berbahaya dan Perbarui Plausible
Dalam pembaruan investigasi pada 27 Oktober 2026, Sansec mengonfirmasi bahwa Convertr telah menghapus skimmer dari infrastruktur analytics dan memperbarui Plausible ke versi yang telah mendapatkan security patch.
Sansec juga telah memverifikasi bahwa file tracker yang sebelumnya terinfeksi kini kembali bersih.
Convertr menyatakan sedang memberikan pemberitahuan kepada merchant terdampak, penyedia layanan pembayaran, serta otoritas terkait.
Meski kode berbahaya telah dihapus dari server, Sansec mengingatkan bahwa risiko belum tentu langsung hilang pada seluruh perangkat pengguna.
Hal ini disebabkan oleh mekanisme browser caching yang memungkinkan file JavaScript lama tetap tersimpan dan digunakan kembali hingga 24 jam setelah proses pembersihan.
Akibatnya, pelanggan yang mengakses halaman pembayaran menggunakan script dari cache berpotensi tetap menjalankan kode berbahaya meskipun file pada server sudah diperbaiki.
Pengguna disarankan membersihkan cache browser sebelum kembali melakukan transaksi pada website yang sebelumnya terdampak.
Pelanggan yang Bertransaksi Sejak 24 Oktober Diminta Menghubungi Bank
Sansec menyarankan pelanggan yang melakukan pembayaran menggunakan kartu pada toko online di Brasil sejak 24 Oktober 2026 untuk memeriksa alamat halaman checkout yang digunakan saat transaksi.
Apabila halaman pembayaran tersebut mengandung checkout.convertr, pelanggan disarankan segera menghubungi bank penerbit kartu untuk melakukan pemblokiran dan meminta penggantian kartu.
Langkah ini diperlukan karena informasi yang dikumpulkan skimmer dapat digunakan untuk melakukan transaksi tidak sah.
Pelanggan juga perlu memantau riwayat transaksi dan mewaspadai kemungkinan penyalahgunaan informasi CPF.
Sebagai langkah pencegahan tambahan, penggunaan virtual card dengan nomor sementara atau kartu sekali pakai dapat membantu membatasi dampak pencurian informasi pembayaran pada transaksi online berikutnya.
Sementara itu, merchant yang menggunakan Convertr disarankan memastikan script analytics sudah bersih, berkoordinasi dengan penyedia pembayaran, serta mengevaluasi kemungkinan adanya pelanggan terdampak selama periode serangan.
Bagi administrator yang menggunakan Plausible Community Edition secara mandiri, pembaruan ke versi 3.2.1 atau lebih baru menjadi langkah penting untuk mengatasi kerentanan CVE-2026-8467.
Administrator juga disarankan memeriksa access logs terhadap request mencurigakan menuju endpoint /storybook dan melakukan pemeriksaan integritas file tracker.
Insiden Convertr memperlihatkan bagaimana satu komponen JavaScript pihak ketiga dapat menjadi titik serangan yang berdampak luas ketika digunakan oleh banyak website.
Kasus ini sekaligus menegaskan pentingnya menjaga pembaruan software, membatasi akses terhadap infrastruktur analytics, serta memantau perubahan pada script eksternal yang memiliki akses langsung ke halaman pembayaran pelanggan.
Sumber: Notorious Brazilian Magecart Group Hijacks Convertr Checkouts via Plausible Analytics
