¿Tu plugin de WooCommerce está robando datos? El caso de FunnelKit que nadie vio venir
El robo silencioso que ocurre en el checkout
Piensa en un ladrón que no fuerza ninguna puerta. Simplemente se cuela por una ventana abierta, observa cómo los clientes introducen sus datos de pago y se marcha con la información sin que nadie se entere. Así es como funcionaba una vulnerabilidad en más de 40.000 tiendas WooCommerce que usaban una versión antigua del plugin FunnelKit.
Entre el momento en que se descubrió el fallo y su corrección en mayo de 2026, los atacantes estuvieron capturando datos de pago en tiempo real. Tarjetas de crédito, códigos CVV, direcciones de facturación y toda la información de los clientes viajaban hacia servidores controlados por los atacantes. Ni los dueños de las tiendas ni los compradores tenían forma de saberlo.
Cómo funciona el ataque y por qué es tan peligroso
La clave está en la camuflaje. El código malicioso se disfrazaba de script de analítica habitual, de esos que aparecen en prácticamente todas las tiendas online. Desde el panel de administración, todo parecía normal. El proceso de compra para el cliente también continuaba siendo fluido.
Sin embargo, en segundo plano, el código interceptaba cada campo del formulario de pago. Cada vez que alguien escribía su número de tarjeta o el CVV, esos datos se enviaban automáticamente a servidores externos. Los sistemas habituales de monitorización no lo detectaban. La mayoría de las tiendas afectadas no vio ningún indicio de lo que ocurría.
Justo por eso las vulnerabilidades en plugins populares son tan preocupantes: afectan a miles de tiendas al mismo tiempo y involucran datos especialmente sensibles.
Hasta dónde llegó el daño
Los números hablan por sí mismos:
- Más de 40.000 tiendas WooCommerce estaban expuestas
- Cualquier tienda sin actualizar podría haber perdido datos
- Todas las transacciones realizadas mientras existía el fallo podrían haber sido interceptadas
- Las versiones anteriores a 3.15.0.3 eran vulnerables
Si tu tienda procesó pagos con tarjeta durante ese periodo y no actualizaste FunnelKit, debes asumir que los datos de tus clientes fueron comprometidos. Esto no is