# Киберпреступники взломали скрипты Convertr для хищения платежных данных в интернет-магазинах

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/cybercriminals-compromise-convertr-analytics-scripts-to-sipho-2026-10-28-morn-ru
Section: Fintech (https://technewslist.com/ru/fintech)
Author: TechNewsList
Language: ru
Published: 2026-10-28T07:20:05.776+00:00
Updated: 2026-10-28T07:20:05.779202+00:00

> Эксперты по безопасности выявили атаку на цепочку поставок скриптов аналитики Convertr, в которые был внедрен вредоносный код для скимминга карт.

## TL;DR
- Злоумышленники взломали скрипты аналитики Convertr для внедрения цифровых скиммеров.
- Вредоносный скрипт перехватывал номера карт, CVV и платежные данные при оформлении заказа.
- Эксперты призывают внедрять Content Security Policy и проводить регулярный аудит скриптов.

## Key points
- Хакеры в стиле Magecart скомпрометировали размещенные скрипты, поставляемые платформой Convertr.
- Скимминговый код исполнялся прямо в браузерах покупателей в обход серверных брандмауэров.
- Украденные платежные реквизиты шифровались и передавались на замаскированные серверы.
- Стандарты PCI DSS v4.0 требуют строгого учета и контроля авторизации всех платежных скриптов.
- Web Application Firewalls и хеши Subresource Integrity снижают клиентские риски безопасности.

## Что произошло

Специалисты по кибербезопасности выявили серьезную атаку на цепочку поставок на стороне клиента, направленную против платформы цифрового маркетинга и аналитики Convertr. Злоумышленникам удалось скомпрометировать библиотеки JavaScript, распространяемые через инфраструктуру доставки контента Convertr, и незаметно внедрить обфусцированный вредоносный код для скимминга банковских карт на страницах онлайн-оплаты интернет-магазинов.

Вредоносная кампания, подробно описанная в техническом отчете издания BleepingComputer, проводилась в классическом стиле атак Magecart. Вместо попыток взлома защищенных серверных баз данных или облачных платежных шлюзов злоумышленники перехватывали платежные данные непосредственно в веб-браузерах пользователей, когда те вводили реквизиты при оформлении заказа.

Поскольку скомпрометированный скрипт аналитики легально использовался десятками крупных торговых площадок, внедренный скиммер успешно обошел стандартные брандмауэры и системы сканирования безопасности. Скрипт в режиме реального времени отслеживал формы ввода, перехватывая номера кредитных карт, сроки их действия, CVV-коды и платежные адреса клиентов перед отправкой на серверы злоумышленников.

## Почему это важно

Этот инцидент подчеркивает сохраняющиеся структурные уязвимости современных веб-архитектур на стороне клиента. Платформы электронной коммерции регулярно внедряют десятки сторонних библиотек JavaScript для веб-аналитики, отслеживания аудитории, оптимизации конверсий, чатов поддержки и интеграции с социальными сетями. Хотя эти скрипты выполняют важные бизнес-задачи, они обычно исполняются с полным доступом к объектной модели документа (DOM) в браузере клиента.

Когда поставщик аналитики уровня Convertr подвергается взлому, каждый интернет-магазин, использующий данный скрипт, мгновенно становится уязвимым. Поскольку скимминговый код выполняется локально в браузере покупателя, журналы серверов магазина фиксируют обычный транзакционный трафик, что позволяет подобным атакам оставаться незамеченными на протяжении недель или месяцев.

Для финтех-компаний, платежных операторов и онлайн-ритейлеров компрометация цепочки поставок на стороне клиента оборачивается катастрофическими финансовыми и регуляторными последствиями. Помимо прямых штрафов за возвратные платежи и блокировки торговых счетов, затронутые компании сталкиваются с масштабными проверками и крупными штрафами за нарушение стандартов безопасности данных индустрии платежных карт (PCI DSS v4.0).

## Технические детали

![Security terminal interface showing analytical disassembly of malicious web script code.](https://technewslist.com/storage/v1/object/public/media/api/1793170625873-for25q-cybercriminals-compromise-convertr-analytics-scripts-to-sipho-2026-10-28-morning-inside-1-d79b225d20.webp)

Криминалистический анализ внедренного скрипта показал сложную многоэтапную цепочку выполнения. Злоумышленники получили доступ к исходному репозиторию ресурсов, отвечающему за распространение основных библиотек отслеживания Convertr, и добавили обфусцированную полезную нагрузку, замаскированную под внутреннюю утилиту учета событий. Скрипт проверял параметры User-Agent браузера и флаги отладчика, предотвращая запуск при попытке анализа.

После загрузки на активной странице оформления заказа скрипт подключал обработчики событий для перехвата стандартных событий отправки форм и потери фокуса в полях ввода HTML. С помощью регулярных выражений код определял форматы номеров банковских карт, динамически извлекая платежные данные вместе с именами плательщиков и почтовыми индексами.

Для скрытной передачи украденные данные шифровались по алгоритму AES-CBC, кодировались в формат base64 и отправлялись асинхронными запросами HTTP POST на удаленные командные серверы, замаскированные под конечные точки сбора аналитики. Маскировка утечки данных под легитимный маркетинговый трафик позволила вредоносному коду эффективно обходить сетевой мониторинг.

![Server code architecture graphic representing backend web service script hosting environments.](https://technewslist.com/storage/v1/object/public/media/api/1793170626103-y50m5e-cybercriminals-compromise-convertr-analytics-scripts-to-sipho-2026-10-28-morning-inside-2-37f0ef313a.webp)

## Влияние на рынок и отрасль

Инцидент с Convertr усиливает необходимость внедрения строгих механизмов защиты на стороне клиента и современных архитектур Web Application Firewall. Организации с высоким объемом транзакций больше не могут считать сторонние маркетинговые теги безопасными зависимостями. Корпоративные службы безопасности активно пересматривают профили рисков внешних скриптов.

Крупнейшие провайдеры сетевой безопасности и CDN, включая Cloudflare, активно развивают решения для полной проверки транзакций и защиты на стороне клиента. Такие продвинутые WAF-системы в реальном времени отслеживают поведение элементов DOM, предупреждая администраторов безопасности при попытках сторонних скриптов получить доступ к платежным полям или открыть несанкционированные сетевые соединения.

Кроме того, стандарты соответствия платежной индустрии, в особенности требование 6.4.3 стандарта PCI DSS, теперь законодательно обязывают торговые предприятия вести строгий учет всех скриптов на платежных страницах, подтверждать их бизнес-необходимость и проверять целостность с помощью хешей Subresource Integrity (SRI) или аналогичных средств контроля.

## За чем следить дальше

В ближайшие недели специалисты по цифровой криминалистике и платежные системы продолжат анализ масштабов утечки данных владельцев карт, чтобы уведомить затронутые финансовые институты. Итоговые отчеты позволят определить точный объем транзакционных убытков в банковских сетях.

Ожидается, что руководители служб безопасности в секторе электронной коммерции проведут комплексный аудит сторонних скриптов, удалят второстепенные маркетинговые теги со страниц оплаты и введут строгие правила Content Security Policy (CSP), блокирующие несанкционированное выполнение кода.

Наконец, корпоративный сектор будет следить за реакцией центров сертификации на компрометацию доверенной инфраструктуры. Как показали недавние отзывы ненадежных цифровых сертификатов, криптографическая проверка целостности остается ключевым фактором защиты электронной коммерции от атак на цепочки поставок.

## Источники

- BleepingComputer Security Research: https://www.bleepingcomputer.com/news/security/hackers-hijack-convertr-analytics-script-to-steal-payment-card-data/
- Cloudflare Application Security Analysis: https://blog.cloudflare.com/full-transaction-waf/
- BleepingComputer Cryptographic Infrastructure Coverage: https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-oob-updates-to-distrust-emudhra-certificates/

Mentions: Convertr, Payment Security, Digital Skimming, Magecart, Credit Card Fraud

## Sources
- [BleepingComputer Security Research](https://www.bleepingcomputer.com/news/security/hackers-hijack-convertr-analytics-script-to-steal-payment-card-data/)
- [Cloudflare Application Security Analysis](https://blog.cloudflare.com/full-transaction-waf/)
- [BleepingComputer Cryptographic Infrastructure Coverage](https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-oob-updates-to-distrust-emudhra-certificates/)