Cartões de brasileiros vazam em dezenas de lojas de moda online

Quem fez compras em lojas de moda pela internet nos últimos dias deve ficar atento à fatura do cartão. Dezenas de lojas virtuais de marcas brasileiras tiveram dados de pagamento de clientes roubados por um código escondido na página de finalização da compra. Segundo o TecMundo, que repercutiu um relatório da empresa de segurança Sansec, foram capturados números de cartão, datas de validade, códigos de segurança e até o CPF dos compradores.

O caso chama atenção porque o cliente não fez nada de errado: entrou no site da loja, colocou os dados no lugar certo e, mesmo assim, as informações foram parar nas mãos de criminosos.

O que aconteceu

As lojas afetadas usam a Convertr, uma plataforma que cuida da etapa de pagamento (o chamado checkout) de vários e-commerces. De acordo com a Sansec, um grupo criminoso especializado em fraudes de comércio eletrônico conseguiu invadir um servidor da empresa e inserir um código malicioso do tipo "skimmer".

O nome vem dos antigos aparelhos instalados em caixas eletrônicos para copiar cartões. A versão digital faz o mesmo: fica escondida na página, observa o que o cliente digita nos campos de pagamento e envia tudo para um servidor dos criminosos, que, segundo a investigação, estava registrado na Islândia.

Pelo relatório, o código ficou ativo por três dias, a partir de 24 de outubro. Durante esse tempo, os criminosos ainda ajustaram o programa para capturar exatamente os campos usados pelo sistema de pagamento da Convertr.

Como os criminosos entraram

A porta de entrada foi uma ferramenta de medição de audiência chamada Plausible, que a Convertr usava em uma versão desatualizada. Essa versão tinha uma falha que permitia rodar comandos no servidor sem precisar de senha.

Como todas as páginas de pagamento das lojas carregavam um arquivo desse servidor de estatísticas, bastou alterar esse arquivo para que o skimmer aparecesse no checkout de todos os lojistas ao mesmo tempo. É um exemplo clássico de por que manter sistemas atualizados é tão importante: uma única peça esquecida comprometeu dezenas de lojas.

O que a empresa fez

Segundo o TecMundo, depois do alerta a Convertr removeu o código malicioso e atualizou a ferramenta para uma versão corrigida. A empresa afirmou que está notificando os lojistas afetados, as empresas de meios de pagamento e as autoridades.

Mas há um detalhe importante: os pesquisadores lembram que os navegadores guardam cópias de arquivos (o cache) por até 24 horas. Na prática, o risco pode ter continuado por cerca de um dia depois da limpeza para quem estava com a versão infectada salva no navegador.

Comprei em loja de moda online. O que fazer?

A reportagem não divulgou a lista completa de marcas atingidas. Por isso, se você comprou roupas, calçados ou acessórios pela internet entre o fim de semana de 24 de outubro e os dias seguintes, vale tomar alguns cuidados:

• Revise a fatura e o app do cartão com atenção nas próximas semanas, procurando compras que você não reconhece.
• Fale com o banco se a compra foi em loja de moda nesse período. A recomendação da Sansec é pedir o bloqueio e a troca do cartão.
• Ative alertas de compra no aplicativo do banco, para ser avisado na hora de cada transação.
• Fique de olho no seu CPF. Como o documento também vazou, consulte com frequência se alguém abriu contas ou pediu crédito em seu nome. Serviços como o Registrato, do Banco Central, mostram empréstimos e contas ligadas ao seu CPF.
• Desconfie de contatos "do banco" nos próximos dias. Vazamentos costumam ser seguidos de golpes por telefone ou WhatsApp que usam os dados roubados para parecer verdadeiros.

Como reduzir o risco nas próximas compras

Nenhuma dica elimina totalmente o risco quando a falha está no sistema da loja, mas algumas práticas ajudam a limitar o estrago:

• Prefira o cartão virtual. A maioria dos bancos permite gerar um número temporário pelo app. Se ele vazar, basta apagá-lo, sem trocar o cartão físico.
• Considere o Pix ou carteiras digitais, que não exigem digitar os dados do cartão no site.
• Mantenha um limite baixo no cartão usado para compras online.

Por que isso importa

O caso mostra que a segurança de uma compra não depende só do cuidado do consumidor, mas também de toda a cadeia de empresas por trás da loja. Para o cliente, a melhor defesa é acompanhar de perto a fatura e usar ferramentas, como o cartão virtual, que diminuem o prejuízo quando um vazamento acontece.