Convertrの共通解析スクリプトを改ざん、決済情報を窃取―Sansecが除去を確認

Sansecは2026年10月26日、ブラジルのEC基盤Convertrが配信する解析スクリプトの改ざんを公表しました。24日から決済ページのカード番号、有効期限、セキュリティコード、氏名、納税者番号CPFを盗むコードを観測。27日の追記で不正コードの除去を確認しています。

攻撃者が変更したのは、Convertrが自社運用するPlausible解析サーバー上の1ファイルです。各店舗の決済ページが同じファイルを読み込むため、個別店舗を改ざんしなくても影響が及びます。26日には、決済APIの項目名に合わせた版へ書き換えられていました。

Sansecは未更新のPlausible CEの脆弱性を侵入口として疑っていますが、サーバーログを確認できず断定していません。27日にはConvertrによる更新と関係先への通知を報告しました。被害件数は示されていません。

Sansecは、24日以降に該当する決済ページでカードを使った人へ発行元への連絡を案内しています。店舗側にはスクリプトの正常性確認と決済事業者への連絡を推奨。除去後もキャッシュが最大24時間残り得るため、サーバー側の復旧だけで影響が即座に消えるとは限りません。