Skimming Kartu di Toko Online

Skimming Kartu di Toko Online – Serangan siber terhadap toko online tidak selalu dilakukan dengan meretas setiap situs secara terpisah. Penjahat siber dapat menyusup ke satu komponen yang digunakan bersama oleh banyak toko, lalu memanfaatkannya untuk mencuri data pelanggan dari halaman pembayaran.

Modus ini dilaporkan menimpa Convertr, platform e-commerce asal Brasil yang menyediakan teknologi toko online dan sistem pembayaran bagi sejumlah merek fesyen.

Menurut peneliti keamanan e-commerce, penyerang memodifikasi skrip analitik Plausible yang dihosting pada server Convertr. Skrip tersebut kemudian digunakan untuk menyisipkan kode berbahaya ke halaman pembayaran toko-toko yang menggunakan platform tersebut.

Kampanye ini teridentifikasi pada 24 Oktober 2026. Peneliti mengaitkannya dengan kelompok penjahat siber asal Brasil yang dilaporkan aktif setidaknya sejak Juli 2024 dan menargetkan toko online berbasis Magento, OpenCart, serta WooCommerce.

Insiden ini menunjukkan bahwa komponen pendukung yang terlihat tidak berbahaya, seperti skrip analitik untuk mengukur aktivitas pengunjung, dapat menjadi pintu masuk pencurian data ketika berhasil dikuasai penyerang.

Bagaimana Serangan Magecart Bekerja?

Serangan ini termasuk dalam kategori Magecart, yaitu serangan yang menyisipkan kode berbahaya pada situs belanja untuk mencuri informasi yang dimasukkan pelanggan, terutama saat melakukan pembayaran.

Dalam kasus Convertr, penyerang diduga tidak perlu membobol setiap toko online satu per satu. Mereka memodifikasi skrip pelacak Plausible yang dihosting pada infrastruktur Convertr.

Karena skrip tersebut dimuat pada halaman pembayaran sejumlah toko yang menggunakan platform itu, satu komponen yang disusupi berpotensi membuka jalan bagi pencurian data dari banyak situs sekaligus.

Plausible sendiri merupakan perangkat analitik web sumber terbuka yang dapat digunakan sebagai alternatif Google Analytics. Fungsinya adalah membantu pemilik situs memahami aktivitas pengunjung. Namun, ketika skrip yang sah telah dimodifikasi oleh penyerang, fungsi tersebut dapat disalahgunakan untuk menjalankan kode pencuri data.

Peneliti menduga penyerang memanfaatkan CVE-2026-8467, kerentanan yang memungkinkan eksekusi perintah tanpa autentikasi pada instalasi Plausible Community Edition milik Convertr yang sudah usang. Meski demikian, dugaan tersebut belum dikonfirmasi sebagai jalur masuk yang benar-benar digunakan dalam insiden ini.

Setelah memperoleh akses, penyerang menyisipkan kode pencuri data atau skimmer ke dalam skrip analitik. Kode itu dirancang untuk mengambil informasi yang dimasukkan pelanggan pada halaman pembayaran.

Data Apa Saja yang Menjadi Sasaran?

Menurut peneliti, versi awal kode pencuri tersebut menggunakan pola umum untuk mengenali kolom pembayaran. Pada 26 Oktober, penyerang dilaporkan memperbarui kode agar secara khusus mengenali nama kolom API pembayaran yang digunakan Convertr.

Data yang menjadi sasaran meliputi:

Nomor kartu pembayaran.
Tanggal kedaluwarsa kartu.
Kode keamanan kartu atau CVV.
Nama pemegang kartu.
Nomor identifikasi wajib pajak Brasil atau CPF.

Data tersebut dapat disalahgunakan untuk percobaan transaksi tanpa izin, penipuan finansial, atau kejahatan lain yang melibatkan identitas korban. Namun, pencurian data tidak otomatis berarti setiap kartu yang terdampak pasti akan digunakan untuk transaksi ilegal.

karena itu disarankan pelanggan yang melakukan pembayaran menggunakan kartu pada toko di Brasil dengan alamat halaman pembayaran yang memuat teks checkout.convertr sejak 24 Oktober agar segera menghubungi bank dan meminta pemblokiran kartu.

Saran tersebut secara khusus ditujukan kepada pelanggan yang bertransaksi pada toko terdampak di Brasil. Konsumen di negara lain tidak seharusnya menganggap dirinya terdampak hanya karena berbelanja online atau menggunakan kartu pembayaran.

Serangan melalui Satu Komponen Berdampak Luas

Banyak toko online menggunakan layanan pihak ketiga untuk menjalankan berbagai fungsi, seperti:

Analitik.
Iklan.
Pemrosesan pembayaran.
Dan dukungan pelanggan.

Penggunaan layanan tersebut dapat mempermudah pengelolaan situs, tetapi juga menimbulkan ketergantungan terhadap keamanan penyedia layanan.

Jika satu penyedia melayani banyak toko, kompromi terhadap infrastrukturnya dapat memperluas dampak serangan. Penyerang tidak harus menargetkan setiap toko secara terpisah apabila skrip yang telah disusupi otomatis dimuat pada halaman milik banyak pelanggan.

Risiko ini berkaitan dengan keamanan rantai pasok digital atau digital supply chain security. Keamanan sebuah toko online tidak hanya bergantung pada sistem yang dikelola sendiri, tetapi juga pada:

Perangkat lunak.
Layanan.
Komponen eksternal yang digunakannya.

Bagi pengelola toko online di Indonesia, kasus ini menjadi pengingat untuk memeriksa seluruh skrip pihak ketiga yang berjalan pada halaman pembayaran. Skrip yang berasal dari penyedia tepercaya tetap perlu diawasi karena reputasi penyedia tidak menjamin bahwa setiap berkasnya selalu aman.

Baca juga: Malware Pencuri OTP via Phone Link

Apa yang Dilakukan Pengelola Platform?

Peneliti mengonfirmasi bahwa Convertr telah menghapus kode pencuri data dan memperbarui Plausible ke versi yang telah diperbaiki. Convertr juga dilaporkan sedang memberi tahu pedagang dan penyedia layanan pembayaran yang terdampak.

Meski kode berbahaya telah dihapus, peneliti memperingatkan bahwa mekanisme cache pada peramban dapat membuat skrip berbahaya tetap aktif pada situs terdampak hingga 24 jam setelah pembersihan. Karena itu, pelanggan disarankan membersihkan cache sebelum melakukan pemesanan baru pada situs yang terdampak.

Pembersihan cache bukan pengganti perbaikan di sisi server. Pengelola platform tetap perlu memastikan bahwa skrip berbahaya telah dihapus dari sumbernya dan versi yang aman telah diterapkan.

Langkah Pencegahan bagi Pengelola Toko Online

Pengelola toko online dapat mengurangi risiko serangan serupa melalui beberapa langkah berikut.

Pantau pembaruan keamanan untuk platform e-commerce, sistem analitik, ekstensi, dan komponen lain yang digunakan.
Identifikasi skrip yang dimuat pada halaman pembayaran dan pastikan setiap komponen masih diperlukan serta berasal dari sumber tepercaya.
Terapkan prinsip hak akses minimum, autentikasi yang kuat, dan pemantauan terhadap perubahan berkas yang tidak biasa.
Periksa perubahan kode, permintaan jaringan yang mencurigakan, serta aktivitas yang tidak sesuai dengan fungsi normal situs.
Pertimbangkan kebijakan keamanan konten atau Content Security Policy (CSP) dan mekanisme seperti Subresource Integrity (SRI) jika sesuai dengan arsitektur situs. Efektivitasnya bergantung pada konfigurasi dan jenis sumber daya yang digunakan.
Jika ditemukan skrip berbahaya, isolasi komponen terdampak, hapus akses penyerang, perbaiki kerentanan, dan koordinasikan pemberitahuan kepada pelanggan serta penyedia pembayaran.

Apa yang Harus Dilakukan Konsumen?

Konsumen juga dapat mengambil langkah untuk mengurangi risiko ketika berbelanja online.

Aktifkan notifikasi transaksi kartu atau rekening agar pembayaran yang tidak dikenal dapat segera diketahui.
Periksa mutasi rekening dan tagihan kartu setelah melakukan transaksi.
Jangan menyimpan data kartu pada situs yang tidak benar-benar diperlukan.
Gunakan autentikasi tambahan atau fitur pengamanan transaksi yang disediakan bank jika tersedia.
Jika ada transaksi mencurigakan, segera hubungi bank atau penerbit kartu melalui kanal resminya untuk meminta pemblokiran kartu dan menanyakan prosedur sanggahan transaksi.

Perlu diingat, serangan Magecart dapat berlangsung di halaman pembayaran yang terlihat normal. Karena itu, tampilan situs yang meyakinkan tidak selalu menjamin bahwa seluruh komponen yang berjalan di baliknya aman.

Tanggung Jawab Bersama

Insiden Convertr memperlihatkan bagaimana satu skrip analitik yang disusupi dapat menjadi sarana pencurian data pembayaran pada toko online yang menggunakan layanan bersama. Ancaman ini tidak hanya berkaitan dengan keamanan satu situs, tetapi juga dengan keamanan seluruh rantai pasok digital yang menopangnya.

Bagi pelaku usaha, perlindungan toko online perlu mencakup pemantauan skrip pihak ketiga, pembaruan perangkat lunak, pembatasan akses, dan kesiapan menangani insiden. Sementara itu, konsumen sebaiknya memantau transaksi keuangan dan segera menghubungi bank jika menemukan aktivitas yang tidak dikenal.

Keamanan belanja online merupakan tanggung jawab bersama. Pengelola platform harus menjaga integritas sistem yang disediakan, sedangkan pedagang dan konsumen perlu memahami bahwa ancaman dapat muncul dari komponen yang tidak terlihat secara langsung oleh pengguna.

Baca artikel lainnya: