Piratage des paiements en ligne : un script d'analytics tiers a permis de voler des numéros de carte

Le 24 octobre 2026 à 23h22, la société de sécurité Sansec détecte un skimmer caché dans un script d'analyse de trafic utilisé par des milliers de boutiques en ligne. Le coupable : une faille dans Plausible Analytics, exploitée par un groupe Magecart brésilien actif depuis 2024, qui aspirait numéro de carte, date d'expiration, CVV et nom du porteur au moment même du paiement.

La plateforme de paiement brésilienne Convertr, qui revendique environ 2 milliards de reais de ventes traitées (soit environ 320 millions d'euros selon Clubic), a confirmé avoir retiré le script malveillant et mis à jour Plausible vers une version corrigée. Elle dit notifier les marchands concernés, les prestataires de paiement et les autorités compétentes.

01Un script d'analyse de trafic transformé en voleur de cartes

L'attaque ne vise pas directement les boutiques en ligne, mais un outil qu'elles utilisent toutes sans y penser : l'analytics. Plausible est un outil open source de mesure d'audience, réputé plus léger et plus respectueux de la vie privée que Google Analytics. Convertr, la plateforme de paiement brésilienne, l'intégrait pour suivre le trafic de ses pages de checkout, celles où les clients saisissent leurs coordonnées bancaires.

La faille exploitée : un composant exposé sans connexion

Selon Sansec, les attaquants ont profité d'une faille référencée CVE-2026-8467 : « anyone can run commands on the server through a component library that Plausible exposed at /storybook without a login ». En clair, une bibliothèque de composants techniques de Plausible était accessible publiquement, sans authentification, et permettait d'exécuter des commandes directement sur le serveur. D'après SecurityOnline.info, cette faille touche les versions 3.0.0 à 3.2.0 de Plausible Community Edition et avait pourtant déjà été corrigée par l'éditeur en mai 2026, plusieurs mois avant l'attaque.

02Ce que le skimmer récupérait exactement

Une fois le serveur compromis, les pirates ont modifié le script Plausible lui-même, celui que chaque boutique cliente de Convertr chargeait sur ses pages de paiement. Sansec décrit précisément son comportement : « It reads the card number, expiry, CVV, card holder name and CPF from the payment form ». Le CPF est l'équivalent brésilien du numéro de sécurité sociale, ce qui permettait aux pirates de collecter un jeu de données suffisant pour usurper une identité complète, pas seulement pour faire un achat frauduleux.

Un script tiers mal surveillé peut faire tomber tout un écosystème de sites en quelques heures.

C'est le mécanisme classique du Magecart : au lieu d'attaquer chaque boutique une par une, les pirates compromettent un seul fournisseur partagé par des milliers de sites, et récupèrent les données de tous ses clients d'un coup. Ce type d'attaque de la chaîne d'approvisionnement logicielle (supply-chain attack) touche régulièrement des sites qui n'ont eux-mêmes commis aucune erreur de sécurité : ils ont simplement fait confiance à un prestataire externe.

03Pourquoi ce piratage concerne aussi le référencement

Un site e-commerce victime de ce type d'injection ne risque pas seulement une sanction réglementaire ou une perte de confiance client. Google et les navigateurs surveillent activement les sites compromis via Google Safe Browsing. Un domaine identifié comme diffusant un script de vol de données peut être signalé « site trompeur » dans Chrome, avec un écran d'avertissement en plein écran avant chaque visite, et voir son trafic organique s'effondrer du jour au lendemain. La Search Console affiche de son côté une alerte « problème de sécurité » dès qu'elle détecte ce genre d'injection, ce qui peut aussi affecter la confiance accordée au site par Google dans ses classements.

Cette affaire illustre une réalité que beaucoup de gestionnaires de sites sous-estiment : la sécurité technique n'est pas qu'un sujet IT isolé du référencement. Nous avions déjà documenté ce type de bascule, où des failles massivement exploitées sur le web (comme les vulnérabilités PHP2Shell) deviennent un sujet de visibilité à part entière dès qu'elles touchent des milliers de sites d'un coup. Pour le contexte, voir notre article sur l'ampleur mondiale de ces attaques PHP2Shell.

04Les chiffres de la fraude au paiement en ligne

Ce genre d'attaque reste rare comparé au volume total des transactions, mais elle pèse lourd dans les statistiques. Selon le rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, cité par Clubic, le taux de fraude sur les paiements en ligne nationaux s'établit à 0,026 %, contre 0,376 % pour les transactions réalisées hors Union européenne, soit presque 15 fois plus. Les attaques de type skimming, qui ciblent directement le formulaire de paiement plutôt que la carte physique, concentrent une grande partie de ce différentiel : elles permettent de récupérer des données valides sans jamais passer par un terminal de paiement.

05Les réflexes à adopter si vous gérez un site e-commerce

Première règle : faire l'inventaire de tous les scripts tiers chargés sur les pages de paiement, analytics compris. Un script d'audience n'a techniquement aucune raison de pouvoir lire un formulaire de carte bancaire : une Content Security Policy (CSP) bien configurée peut empêcher un script compromis d'exfiltrer des données vers un domaine extérieur, même s'il a été modifié à l'insu du site.

Deuxième règle : si vous auto-hébergez un outil comme Plausible, vérifiez que les mises à jour de sécurité sont réellement appliquées, pas seulement publiées. La faille exploitée ici était corrigée depuis mai 2026, mais l'attaque n'a eu lieu qu'en octobre : c'est l'écart entre un patch disponible et un patch installé qui a permis l'intrusion. Enfin, surveillez régulièrement votre Search Console : une alerte de sécurité qui traîne plusieurs jours avant d'être traitée peut coûter bien plus cher en visibilité qu'en remédiation technique.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo