Magecart transforma a infraestrutura da Stripe em um ataque de clonagem de cartões perfeitamente camuflado

Uma campanha revelada pela Sansec e pelo BleepingComputer em junho de 2026 mostra atores do Magecart reaproveitando a própria infraestrutura da Stripe como uma plataforma de comando e controle descartável e um ponto de exfiltração de dados . O ataque nunca carrega código de um domínio malicioso. Em vez disso, o carregador, o payload do skimmer e os dados de pagamento roubados trafegam todos por googletagmanager.com e api.stripe.com — dois domínios tão essenciais para o e-commerce moderno que praticamente nenhuma loja bloqueia ou inspeciona de perto . Junto com essa campanha, uma vulnerabilidade crítica separada no plugin Everest Forms Pro para WordPress (CVE-2026-3300) está sendo explorada ativamente, permitindo que invasores não autenticados executem código PHP arbitrário e assumam o controle de sites vulneráveis .

Como funciona o ataque Magecart da Stripe em três estágios

A campanha encadeia três estágios, cada um abusando de um serviço legítimo para evitar a detecção .

Estágio 1: Injetar o carregador pelo Google Tag Manager

Primeiro, os invasores comprometem um contêiner do Google Tag Manager na loja alvo. Eles inserem uma tag maliciosa que carrega em cada página. Como o script se origina de googletagmanager.com, um domínio confiável de análise, ele ignora as Políticas de Segurança de Conteúdo (CSP) e bloqueadores de anúncios típicos sem levantar alertas . O GTM se torna o mecanismo de entrega impossível de bloquear.

Estágio 2: Buscar o skimmer na API da Stripe

Em vez de chamar um servidor suspeito de terceiros, a tag do GTM solicita o payload do skimmer de api.stripe.com. Os invasores armazenam o skimmer JavaScript completo dentro de um campo de metadados do Cliente em sua própria conta Stripe, usando uma chave secreta de modo teste (sk_test_...) para gravá-lo e recuperá-lo . O skimmer chega de um domínio em que os operadores de loja confiam implicitamente como parte de sua pilha de pagamentos, então o monitoramento de rede e as regras de CSP raramente sinalizam a chamada da API.

Estágio 3: Exfiltrar dados roubados de volta para a mesma conta Stripe

Quando um comprador insere os dados do cartão de crédito, informações pessoais e endereço de cobrança no checkout, o skimmer injetado captura os dados e os envia de volta para a conta Stripe dos invasores. Ele grava as informações como registros falsos de Cliente ou entradas de metadados usando a mesma API da Stripe . Como o tráfego de exfiltração é roteado de volta para api.stripe.com, ele se mistura perfeitamente com as chamadas legítimas da API de pagamento, tornando o roubo essencialmente invisível para logs de firewall e ferramentas de detecção de anomalias .

Toda a operação está ativa desde, pelo menos, 24 de dezembro de 2025, de acordo com os indicadores vistos pelos pesquisadores .

Por que as chaves secretas de modo teste são tão perigosas aqui

As chaves secretas do modo teste da Stripe (sk_test_...) concedem acesso total de leitura e gravação dentro do ambiente sandbox e permitem a criação ilimitada de clientes falsos e campos de metadados sem nenhum custo . Como as chaves de teste nunca acionam cobranças reais, o abuso delas é fácil de ser ignorado. Os invasores contam com o fato de que muitas organizações tratam as chaves de teste como de baixo risco e não auditam a atividade do sandbox com o mesmo rigor que aplicam ao tráfego de produção.

Uma ameaça relacionada, mas separada, é a exposição de chaves secretas de produção, o que daria ao invasor acesso direto a dados transacionais reais e a capacidade de emitir reembolsos ou transferir fundos . Embora esta campanha use chaves de modo teste para furtividade, o princípio subjacente é o mesmo: chaves de API da Stripe, em qualquer modo, são credenciais poderosas que nunca devem aparecer em código do lado do cliente ou em contêineres do Google Tag Manager .

CVE-2026-3300: RCE crítica no Everest Forms Pro

Enquanto a campanha da Stripe mira fluxos de checkout de e-commerce, os proprietários de sites WordPress enfrentam uma ameaça igualmente urgente de uma vulnerabilidade de plugin que está sendo explorada ativamente desde 13 de abril de 2026 .

CVE-2026-3300 é uma falha de execução remota de código (RCE) não autenticada no plugin Everest Forms Pro, que tem cerca de 4.000 instalações ativas . A vulnerabilidade tem pontuação 9.8 na escala CVSS e afeta todas as versões até a 1.9.12 inclusive .

O bug reside na função process_filter() dentro do complemento Calculation. Quando o recurso "Cálculo Complexo" está habilitado, o plugin pega os valores fornecidos pelo usuário em campos de formulário do tipo string, concatena-os diretamente em uma string de código PHP e passa o resultado para eval() sem o escape adequado . A função sanitize_text_field() aplicada à entrada não neutraliza aspas simples ou outros caracteres que têm significado especial em um contexto de código PHP, permitindo que um invasor saia da string pretendida e injete comandos arbitrários .

A Wordfence bloqueou mais de 29.300 tentativas de exploração e relata que os invasores estão criando contas de administrador não autorizadas como parte do processo pós-exploração . Os proprietários de sites devem procurar por indicadores de comprometimento, como novos usuários administradores com nomes inesperados, arquivos incomuns no servidor ou conexões de saída suspeitas .

Medidas defensivas para ambas as ameaças

Bloquear a cadeia de ataque Magecart da Stripe

• Travar o Google Tag Manager. Restrinja os contêineres do GTM apenas a tags aprovadas e auditadas e exija um processo rigoroso de aprovação de gerenciamento de mudanças antes de publicar .
• Reforce sua Política de Segurança de Conteúdo. Não liste api.stripe.com como um script-src, a menos que seja estritamente necessário. Se for preciso incluí-lo, imponha hashes de Subresource Integrity (SRI). Bloquear scripts inline fornece outra camada de defesa .
• Audite a atividade do sandbox da Stripe. Monitore seu painel da Stripe em busca de volumes incomuns de criação de objetos Customer ou gravações de metadados sob chaves de modo teste. Trate anomalias do sandbox com a mesma seriedade que anomalias do modo de produção.
• Rotacione e proteja as chaves de API. Nunca incorpore chaves secretas da Stripe — de teste ou produção — em JavaScript do lado do cliente, variáveis do GTM ou repositórios públicos . Rotacione qualquer chave que possa ter sido exposta .
• Implante monitoramento do lado do cliente. Use verificações de integridade no navegador que detectam a manipulação do DOM nas páginas de checkout por scripts não autorizados .

Corrigir a vulnerabilidade do Everest Forms Pro

• Atualize imediatamente. Atualize para a versão 1.9.13 ou posterior do Everest Forms Pro, que contém a correção .
• Desabilite o recurso arriscado se a correção for adiada. Como uma solução temporária, desative o recurso "Cálculo Complexo" nas configurações do plugin para evitar a exploração por meio da entrada não escapada do eval() .
• Verifique sinais de comprometimento. Procure por contas de administrador desconhecidas, arquivos inesperados, chamadas eval() suspeitas e conexões de rede de saída para IPs desconhecidos. Uma verificação completa de integridade do WordPress nos checksums do núcleo, tema e arquivos de plugin é essencial após a remediação .