Quando o Plugin WooCommerce Vira um Ladrão de Dados: Entenda a Falha do FunnelKit
O Roubo Silencioso que Acontece no Checkout
Pense em um invasor que não precisa arrombar portas ou quebrar janelas. Ele entra por uma porta lateral que ficou aberta, observa os clientes digitando os dados do cartão de crédito e sai com uma cópia dessas informações. Sem alarme. Sem bagunça. Sem deixar rastro.
Foi exatamente isso que aconteceu em mais de 40 mil lojas WooCommerce que usavam uma versão desatualizada do plugin FunnelKit. Entre o momento em que a falha foi descoberta e a correção liberada em maio de 2026, os atacantes conseguiram capturar dados de pagamento em tempo real. Números de cartão, códigos CVV, endereços de cobrança e informações dos clientes foram interceptados durante o processo de checkout, sem que ninguém percebesse.
Como o Ataque Funcionava e Por que Era Tão Difícil de Detectar
O código malicioso se disfarçava como um script de análise comum, do tipo que aparece em praticamente todas as lojas virtuais. O painel da loja parecia normal. A experiência de checkout dos clientes era tranquila. Mas, por trás disso, o script monitorava cada tecla digitada nos campos de pagamento e enviava essas informações para servidores controlados pelos atacantes.
Essa invisibilidade é o que torna essas brechas tão especialmente problemáticas. Elas atingem milhares de lojas ao mesmo tempo,同时因为涉及支付数据而使攻击面变得巨大。
O Alcance do Dano
- Mais de 40 mil lojas WooCommerce estavam expostas
- Qualquer loja que não atualizou está potencialmente comprometida
- Cada transação realizada durante o período da vulnerabilidade pode ter exposto dados dos clientes
- Todas as versões antes da 3.15.0.3 estavam vulneráveis
Se sua loja aceitou pagamentos com cartão de crédito durante de