Convertr : un script d’analyse piraté vole les cartes sur la page de paiement
Une boutique en ligne peut être piratée sans que personne ne touche à la boutique. C’est ce qui est arrivé cette semaine à Convertr, une plateforme brésilienne qui gère la boutique et la page de paiement de dizaines de marques de mode. Le code malveillant n’était pas dans le site : il était dans le script d’analyse du trafic, chargé sur chaque page de paiement.
Selon la firme Sansec, qui a découvert l’attaque, ce script a envoyé les données de cartes des clients à un pirate à partir du 24 octobre 2026. Convertr l’a retiré le 27 octobre. La leçon dépasse le Brésil : chaque script ajouté à votre page de paiement est une porte de plus.
Page de paiement piratée par un script d’analyse : ce qui s’est passé
Convertr hébergeait sa propre installation de Plausible, un outil d’analyse libre qui sert d’alternative à Google Analytics. Toutes les boutiques de la plateforme chargeaient le même fichier de suivi depuis ce serveur. Le pirate a ajouté un bloc de code masqué à la fin de ce fichier, et chaque client qui passait à la caisse l’a reçu.
Selon Sansec, le code ne s’activait que sur les pages de paiement de Convertr. Il lisait le numéro de carte, la date d’expiration, le CVV, le nom du titulaire et le CPF (le numéro de contribuable brésilien), puis les envoyait à un domaine contrôlé par le pirate. Deux jours plus tard, une nouvelle version visait précisément les noms de champs de l’interface de paiement de Convertr.
Convertr affirme que ses marchands ont vendu plus de 2 milliards de réais sur la plateforme. Le nombre de cartes touchées n’a pas été publié.
Le parcours, étape par étape
Sansec suit ce groupe depuis juillet 2024. Jusqu’ici, il piratait les boutiques une à une, surtout sous Magento, OpenCart et WooCommerce. Convertr est la première attaque de sa part contre un fournisseur commun à plusieurs boutiques que Sansec ait observée. Nous avions décrit le scénario classique dans notre article sur la faille Magento BlockStrap.
La porte d’entrée soupçonnée : un outil jamais mis à jour
Convertr avait installé Plausible Community Edition 3.0 en 2025 et ne l’avait jamais mis à jour. Les versions 3.0.0 à 3.2.0 contiennent une faille critique, CVE-2026-8467, qui permet à n’importe qui d’exécuter des commandes sur le serveur. Plausible l’a corrigée en mai 2026, dans la version 3.2.1. Sansec précise qu’elle n’a pas vu les journaux du serveur et ne peut donc pas confirmer que c’est par là que le pirate est entré.
C’est le point qui concerne directement les PME : on met à jour WordPress et ses extensions, mais l’outil d’analyse, le formulaire ou le clavardage installé « à côté » sur un autre serveur est souvent oublié. On l’a vu aussi avec les clés UpdraftCentral volées : l’outil de gestion autour du site devient la cible.
Combien de temps la page était piratée
La fenêtre d’exposition, d’après la chronologie de Sansec (heures UTC)
Le moment exact de l’injection, entre 05 h 03 et 23 h 22 le 24 octobre, n’est pas connu.
Convertr indique avoir retiré le code, mis à jour Plausible, changé ses identifiants et avisé les marchands, les fournisseurs de paiement et les autorités. Sansec a confirmé le 27 octobre que le fichier était propre.
Ce que votre propre page de paiement charge
Ouvrez le code source de votre page de paiement et vous trouverez probablement plusieurs lignes comme celles-ci. Voici un exemple fictif annoté.
// Page de paiement d’une boutique fictive : les scripts qu’elle charge
Ce que chaque ligne veut dire
- 1Votre outil d’analyse auto-hébergé. Si son serveur est piraté, ce fichier peut changer sans que votre site change. C’est le scénario Convertr.
- 2Un clavardage chargé depuis un autre domaine. Utile sur les fiches produits, rarement nécessaire au moment de payer.
- 3Un pixel publicitaire. Il a sa place sur la page de confirmation, pas sur le formulaire de carte.
- 4Les champs de carte hébergés par le processeur de paiement, dans un cadre séparé. Les scripts de la page ne peuvent normalement pas les lire.
Exemple fictif : les noms de domaine sont inventés. Le vrai code du pirate n’est pas reproduit ici.
Et voici la même boutique fictive vue page par page. Le but n’est pas de tout retirer du site, mais de vider la page où la carte est saisie.
| Script (boutique fictive) | Accueil | Fiche produit | Panier | Paiement | Confirmation |
|---|---|---|---|---|---|
| Analyse du trafic | ✔ | ✔ | ✔ | ⚠️ | ✔ |
| Clavardage | ✔ | ✔ | ✔ | ✖ | |
| Pixel publicitaire | ✔ | ✔ | ✔ | ||
| Avis clients | ✔ | ||||
| Champs de carte du processeur | ✔ |
✔ chargé et justifié · ⚠️ à justifier ou à retirer · ✖ à retirer de la page de paiement. L’objectif : le moins de scripts possible là où la carte est saisie.
Huit vérifications pour votre page de paiement
Pour votre boutique en ligne (WooCommerce, Shopify ou autre) : 8 vérifications
- ☐ Faites la liste des scripts chargés sur la page de paiement, avec le nom de la personne qui en est responsable.
- ☐ Retirez de la page de paiement tout script qui n’est pas nécessaire pour payer : clavardage, pixels, cartes de chaleur.
- ☐ Utilisez des champs de carte hébergés par votre processeur (cadre séparé ou page de paiement externe) plutôt qu’un formulaire de votre site.
- ☐ Mettez à jour vos outils auto-hébergés (analyse, formulaires, clavardage) aussi sérieusement que WordPress lui-même. Convertr n’avait pas mis à jour Plausible depuis 2025.
- ☐ Ajoutez une politique de sécurité du contenu (CSP) qui limite les domaines autorisés à recevoir des données depuis la page de paiement.
- ☐ Pour les scripts externes qui ne changent pas, ajoutez un contrôle d’intégrité (SRI) : le navigateur refuse un fichier modifié.
- ☐ Mettez en place une alerte quand un script de la page de paiement change, comme le demande la norme PCI DSS 4.0 pour les marchands visés.
- ☐ Gardez les coordonnées de votre processeur de paiement à portée de main : c’est lui qu’on appelle en premier si une fuite est soupçonnée.
Une précision sur le contrôle d’intégrité (SRI) : il fonctionne bien pour un fichier fixe, mais un outil qui met à jour son script lui-même le casse. Dans ce cas, la politique de sécurité du contenu et l’alerte en cas de changement prennent le relais.
Vous avez acheté sur une boutique brésilienne dont l’adresse de paiement contenait « checkout.convertr » depuis le 24 octobre? Sansec recommande de demander à votre banque de bloquer et remplacer la carte.
Ces vérifications demandent de savoir ce qui tourne autour de votre site, pas seulement sur le site. Quand on crée un site Web, on garde la page de paiement aussi légère que possible. Nos services de cybersécurité incluent l’inventaire des scripts tiers et des outils auto-hébergés, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les changements inattendus sur les serveurs et les sites surveillés.
Réservez votre Bilan cyber gratuit
Vous vendez en ligne et vous ne savez pas combien de scripts tiers se chargent sur votre page de paiement? Le Bilan cyber gratuit fait l’inventaire de ce qui tourne autour de votre boutique et des mises à jour en retard.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Sansec, « Notorious Brazilian Magecart group hijacks Convertr checkouts via outdated Plausible install » (26 et 27 octobre 2026) (en anglais)
- BleepingComputer, Bill Toulas (27 octobre 2026) (en anglais)
- Convertr, communiqué sur l’incident de sécurité (27 octobre 2026) (en portugais)
Photo : Mikhail Nilov, Pexels (licence Pexels).