Negación plausible: el analytics ético que nadie parcheó y acabó robando tarjetas

La firma de ciberseguridad Sansec ha publicado esta semana los detalles de un ataque de cadena de suministro que convirtió el script de analytics de la plataforma brasileña Convertr en un skimmer de tarjetas de crédito. El arma del crimen: una instalación de Plausible Analytics que llevaba cinco meses sin actualizar.

El bisturí que se infectó

Hay una ironía casi literaria en todo este asunto. Plausible Analytics nació como la respuesta ética a Google Analytics: sin cookies, sin datos personales, respetuoso con la privacidad. El analytics que podías instalar en tu servidor y mirar al RGPD a los ojos sin pestañear. El bisturí limpio del quirófano digital.

Y sin embargo, ese mismo bisturí acaba de cortar donde no debía. Desde el 24 de octubre, el script de Plausible alojado en los servidores de Convertr —una plataforma ecommerce brasileña que procesa más de 2.000 millones de reales al año— dejó de rastrear visitas para empezar a rastrear tarjetas de crédito. Números, fechas de expiración, CVV, nombres completos y hasta el CPF (el equivalente brasileño del DNI fiscal) de cada comprador que pasaba por caja.

Cinco meses con la puerta abierta

El punto de entrada fue una vulnerabilidad crítica con nota de 9,5 sobre 10 en la escala CVSS: la CVE-2026-8467. En las versiones 3.0 a 3.2.0 de Plausible Community Edition, existía un endpoint llamado /storybook —una biblioteca de componentes de desarrollo— que quedó expuesto al público sin autenticación. Cualquiera podía ejecutar comandos en el servidor a través de él.

Plausible publicó el parche en mayo de 2026. Convertr nunca actualizó. Instalaron la versión 3.0 en 2025 y ahí se quedó, como ese extintor caducado que todos ven en la pared de la oficina pero nadie cambia. Cinco meses de ventana abierta es una eternidad en ciberseguridad. Suficiente para que un grupo brasileño de Magecart, activo desde 2024, encontrara la cerradura, entrara y redecorase el salón a su gusto.

El chef que envenena el buffet

Lo que hace especialmente peligroso este tipo de ataque es su mecánica de distribución. Plausible sirve su script de rastreo directamente desde un archivo en disco. Si alguien modifica ese archivo, cada sitio web que cargue el script queda infectado automáticamente. Es el equivalente digital de envenenar el depósito de agua de una ciudad: no hace falta ir puerta a puerta.

Convertr gestiona las tiendas online de decenas de marcas de moda brasileñas. Todas ellas cargan el tracker desde analytics.convertr.app.br. Así que el grupo Magecart no necesitó comprometer treinta tiendas: le bastó con comprometer una sola instalación de Plausible para tener acceso a todos los checkouts de la red.

Un atacante que modifica un archivo en el servidor de analytics infecta automáticamente cada sitio que integre ese rastreador. No hace falta acceder a las tiendas individualmente. — Sansec, en su análisis técnico del incidente.

Y aquí viene el detalle que revela profesionalismo: en apenas 48 horas, los atacantes refinaron su skimmer para apuntar específicamente a los nombres de campo de la API de pago de Convertr. No era un ataque genérico lanzado con los ojos cerrados. Era cirugía con guantes.

Self-hosting no es sinónimo de seguridad

Existe una narrativa seductora en el mundo tech: si lo alojas tú, lo controlas tú. Es el mantra del self-hosting, la filosofía que impulsa a empresas y desarrolladores a instalar sus propias herramientas en lugar de depender de servicios cloud. Plausible, con su modelo Community Edition, encaja perfectamente en esa narrativa.

Pero el caso Convertr desmonta esa fantasía con la elegancia de un martillazo. Auto-alojar software no te libera de la responsabilidad de mantenerlo. Al contrario: te la transfiere por completo. Cada CVE sin parchear, cada versión sin actualizar, cada log sin revisar es tu problema. No hay un equipo de operaciones en la nube cubriéndote las espaldas a las tres de la madrugada.

Es como comprar un coche y negarse a pasar la ITV. El coche funciona, sí. Hasta que no funciona. Y entonces no solo te quedas tirado: te quedas tirado con las tarjetas de crédito de tus clientes esparcidas por el asfalto.

El eslabón más débil de la cadena

Este incidente es un caso de libro de lo que en ciberseguridad llaman supply chain attack: atacar un componente compartido para alcanzar a todos los que dependen de él. No es nuevo. Los ataques Magecart llevan años explotando scripts de terceros en tiendas online, desde British Airways hasta Ticketmaster. Pero cada nuevo caso subraya la misma pregunta incómoda: ¿cuántos scripts de terceros carga tu web y hace cuánto que nadie revisa su integridad?

Si gestionas un ecommerce, la respuesta probablemente te haría sudar. Entre el pixel de Meta, el tag de Google, el chat de Zendesk, el tracker de Hotjar y el script de tu plataforma de email marketing, una página de checkout media puede cargar entre ocho y quince scripts externos. Cada uno es una puerta. Y el atacante solo necesita encontrar una que esté abierta.

El grupo brasileño detrás de este ataque lo tenía claro. Llevaban desde 2024 atacando tiendas individuales con Magento, OpenCart y WooCommerce. Con Convertr dieron el salto a las grandes ligas: un solo punto de compromiso, decenas de víctimas. La eficiencia industrial aplicada al cibercrimen.

La lección que nadie quiere escuchar

El 27 de octubre, tres días después del inicio del ataque, Convertr eliminó el skimmer, actualizó Plausible y comenzó a notificar a los merchants afectados. El daño, sin embargo, ya estaba hecho. Y lo peor: incluso después de la limpieza, los compradores cuyos navegadores habían cacheado el script malicioso siguieron expuestos durante horas.

La lección aquí no es técnica. Es de cultura organizacional. No basta con elegir la herramienta correcta; hay que seguir eligiéndola cada día, con cada actualización, con cada parche. Plausible hizo su trabajo: detectó la vulnerabilidad, publicó el parche, documentó el problema. Convertr simplemente no estaba escuchando.

El intervalo de cinco meses entre el parche disponible y el ataque consumado debería ser inaceptable para cualquier plataforma que procese pagos. — Análisis de Sansec sobre el incidente Convertr.

En un ecosistema donde todos dependemos de las piezas de los demás, la seguridad no es un estado: es un verbo. Y a Convertr se le olvidó conjugarlo.