Fuite Convertr : cartes bancaires volées au paiement
Au moment de valider leur commande, des clients de dizaines de marques de mode brésiliennes ont transmis leur numéro de carte et leur cryptogramme à des pirates. L'astuce n'a pas consisté à pirater chaque boutique une par une. Les attaquants ont modifié le script de statistiques que toutes ces caisses chargeaient ensemble.
Cet article va aussi vous intéresser : Yves Rocher : une fuite de données mettant à nu les informations personnelles des clients
Ces enseignes confient leur boutique et leur page de paiement à la plateforme brésilienne Convertr. L'entreprise annonce plus de 2 milliards de reais de ventes réalisées par ses marchands, soit environ 320 millions d'euros. Ce chiffre mesure l'activité des boutiques, pas une somme dérobée : Convertr n'a pas publié le nombre de cartes saisies. Le code malveillant a été repéré le 24 octobre 2026 par la société néerlandaise Sansec, et retiré le 27 octobre 2026.
Les victimes identifiées sont brésiliennes. Le même schéma concerne pourtant tout commerçant qui ajoute un script extérieur à sa page de paiement. Si vous avez payé depuis le 24 octobre sur une page dont l'adresse contenait checkout.convertr, le geste utile est de faire bloquer et remplacer la carte.
Ce qui s'est passé sur les pages de paiement Convertr
Convertr intègre à chaque boutique un programme de mesure d'audience, hébergé sur un serveur Plausible que la plateforme administre elle-même. Plausible est une alternative open source à Google Analytics. Les pirates ont glissé un code malveillant dans ce programme. À chaque commande, il récupérait les informations de carte saisies dans le formulaire, ainsi que le CPF du client, le numéro fiscal qui sert aux banques brésiliennes à identifier leurs clients.
Ce script est servi depuis un seul fichier stocké sur le serveur. Le modifier suffit à toucher tous les sites qui l'intègrent, explique Sansec. Chaque page de paiement Convertr chargeait donc le même dispositif. Deux jours après l'avoir déposé, les attaquants l'ont ajusté pour qu'il corresponde au formulaire de paiement de la plateforme.
Convertr a installé en 2025 la version auto-hébergée de Plausible, puis ne l'a plus mise à jour. Les versions 3.0.0 à 3.2.0 contiennent la faille critique CVE-2026-8467, corrigée par l'éditeur en mai 2026. Sansec soupçonne une entrée par cette faille, sans pouvoir le confirmer : elle n'a pas eu accès aux journaux du serveur. La façon d'exploiter cette faille n'est pas établie publiquement dans cette affaire, et le correctif utile pour les hébergeurs du logiciel est la version 3.2.1.
Sansec suit ce groupe brésilien depuis juillet 2024. Jusque-là, il infectait des boutiques en ligne une par une, presque toutes au Brésil, et certaines l'étaient restées pendant près de deux ans. L'équipe indique que Convertr est la première attaque de la chaîne d'approvisionnement qu'elle observe de la part de ce groupe.
Qui est touché par ce vol de cartes
Les personnes concernées sont les clients qui ont payé par carte sur une caisse Convertr pendant que le script était en place, du 24 au 27 octobre 2026. Le script infecté peut rester jusqu'à 24 heures dans le cache du navigateur. Un client peut donc encore le charger une journée après le nettoyage, s'il rouvre une page déjà visitée.
Les données exposées sont celles saisies au paiement : le numéro de carte, le cryptogramme, et le CPF. Convertr indique prévenir les marchands touchés et les autorités. Elle n'a pas donné le nombre de cartes captées pendant ces trois jours. Il n'existe donc pas, à ce stade, de total public de préjudice.
Ce groupe vise aussi directement des boutiques WooCommerce. Selon une étude de mars 2026 citée dans le récit de l'affaire, 47,4 % des boutiques en ligne françaises fonctionnent sous ce logiciel. Ce pourcentage décrit le parc des boutiques, pas une part de clients français déjà touchés par l'incident Convertr.
La réaction de Convertr et de Sansec
Convertr a retiré le code malveillant le 27 octobre 2026. L'entreprise dit informer les marchands concernés et les autorités. Sansec, de son côté, invite les commerçants qui hébergent eux-mêmes Plausible à installer la version 3.2.1, celle qui corrige la faille présente dans les versions laissées sans mise à jour.
Le délai entre la détection, le 24 octobre, et le retrait, le 27 octobre, laisse trois jours pendant lesquels les pages de paiement chargeaient le script piégé. Le cache des navigateurs prolonge encore cette fenêtre d'un jour pour les clients qui reviendraient sur une page déjà ouverte.
Pourquoi c'est grave, y compris hors du Brésil
Le numéro de carte et le cryptogramme suffisent, sur certains sites, à tenter un paiement. Le CPF ajoute un identifiant fiscal brésilien, utile pour relier la carte à une personne. Réunis au moment du paiement, ces éléments sortent du cadre d'une simple mesure d'audience.
En Europe, réutiliser un numéro de carte française volé se heurte en général au 3-D Secure et à la validation dans l'application bancaire du titulaire. Depuis janvier, les principales banques françaises rejettent les paiements sans 3-D Secure dès qu'ils dépassent un centime en 24 heures chez un même commerçant, lorsque celui-ci encaisse par un prestataire européen. C'est ce qu'indique le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement.
D'après le même Observatoire, les fraudeurs utilisent surtout des cartes copiées sur des terminaux piégés pour payer sur des sites hors d'Europe qui n'exigent pas d'authentification forte. Sur ces paiements internationaux hors Espace économique européen, le taux de fraude est de 0,376 %, contre 0,026 % sur les opérations nationales. Une carte volée au Brésil n'est donc pas automatiquement rejouée chez un commerçant français, mais elle reste exploitable là où l'authentification forte n'est pas demandée.
Comment protéger sa carte
1. Faire bloquer la carte si la page contenait checkout.convertr
Sansec conseille de faire bloquer et remplacer la carte à toute personne qui a payé une commande sur une boutique brésilienne depuis le 24 octobre 2026, lorsque l'adresse de la page de paiement contenait checkout.convertr. Contactez votre banque avec la date et le nom de la boutique, et demandez le remplacement du support, pas seulement une opposition temporaire si la banque peut émettre un nouveau numéro.
2. Ne pas revalider un paiement sur une page déjà ouverte
Le script infecté peut rester 24 heures dans le cache. Après le retrait du 27 octobre, un onglet ou une page déjà chargée peut encore contenir l'ancienne version. Fermez cette page, rouvrez la boutique depuis une adresse tapée par vous, et ne ressaisissez pas la carte sur un formulaire resté affiché.
3. Réserver une carte virtuelle à usage unique aux achats en ligne
Pour les prochains paiements, une carte virtuelle à usage unique laisse le vrai numéro hors de portée d'un site piégé. Le conseil vaut pour n'importe quelle caisse qui charge des scripts extérieurs, pas seulement pour les boutiques brésiliennes visées ici.
4. Surveiller les débits et demander le remboursement prévu
Passez en revue les opérations des cartes utilisées en ligne depuis le 24 octobre. Si un paiement sans authentification forte aboutit quand même, la banque doit vous rembourser sans délai, y compris en cas de négligence grave de votre part. C'est le rappel de l'Observatoire de la sécurité des moyens de paiement, pas une démarche à inventer auprès d'un intermédiaire.
Côté marchands, la leçon est simple : un outil de statistiques n'a pas sa place sur la page où le client saisit sa carte, surtout s'il n'est plus mis à jour. Ceux qui hébergent Plausible eux-mêmes doivent passer à la version 3.2.1.
FAQ : paiement Convertr et cartes bancaires
Qu'est-ce que Convertr dans cette affaire ?
Convertr est la plateforme brésilienne qui fournit la boutique en ligne et la page de paiement de dizaines de marques de mode. C'est son script de statistiques, commun à ces caisses, qui a été modifié.
Quelles données ont été prises ?
Les informations de carte saisies dans le formulaire, dont le numéro et le cryptogramme, ainsi que le CPF du client. Le nombre de cartes concernées n'a pas été publié.
Les 320 millions d'euros sont-ils une somme volée ?
Non. Ce montant correspond à environ 2 milliards de reais de ventes annoncées par les marchands de Convertr. Ce n'est pas un total de fraude.
Que faire si j'ai payé sur une page checkout.convertr ?
Si le paiement date du 24 octobre 2026 ou d'après, demandez à votre banque de bloquer et de remplacer la carte, puis surveillez les débits. Le script a pu rester en cache jusqu'à 24 heures après le nettoyage du 27 octobre.
À retenir
- Un script de statistiques partagé a capté des cartes au moment du paiement sur des caisses Convertr, du 24 au 27 octobre 2026.
- Les données prises sont les informations de carte du formulaire et le CPF. Le nombre de cartes n'est pas public.
- Les 2 milliards de reais, soit environ 320 millions d'euros, décrivent les ventes des marchands, pas un butin.
- Si l'adresse de paiement contenait checkout.convertr, faites bloquer et remplacer la carte. Le script pouvait rester 24 heures en cache.
- En Europe, le 3-D Secure freine la réutilisation d'une carte française. Les marchands qui hébergent Plausible doivent installer la version 3.2.1.
Cette affaire rappelle qu'une page de paiement ne devrait charger que ce qui sert à encaisser. Un compteur de visites partagé, laissé sans mise à jour, a suffi à exposer des cartes sur des dizaines de boutiques à la fois. Si vous avez payé sur une de ces caisses, le remplacement de la carte reste le geste le plus sûr, pendant que les banques surveillent les paiements sans authentification forte.
