共通で読み込む自前運用の解析スクリプトがカードスキマーの配信元になる（Convertr / Plausible CE）
EC 基盤 Convertr が自社運用する Plausible Community Edition の共通スクリプトの末尾にスキマーが足され、全加盟店の決済画面でカード情報が盗まれた。全テナントが読み込む「1 ファイル」は最大の急所なので、解析基盤の更新・公開範囲の制限・決済ページでの読み込み制限をセットで行う。
何が起きたか
- 攻撃者は Plausible の標準スクリプトの末尾に、難読化したスキマーを追加した。10-24 に確認され、2 日後には決済 API の項目名に合わせて更新された。
- 注文確定時にカード番号、有効期限、CVV、名義、ブラジルの納税者番号 CPF を外部へ送信した。ブラジルのファッションブランド数十社に波及。
- Sansec は、未更新だった Plausible CE 3.0 の CVE-2026-8467 の悪用を侵入経路の候補としている（サーバーログ未取得のため確定していない）。Plausible の勧告では CE 3.0.0〜3.2.0 が対象、3.2.1 で修正。公開された
/storybookから認証なしでコンテナ内のコード実行ができる問題。
自社で解析基盤を運用している場合
- Plausible CE を 3.2.1 以降に更新する。
/storybookへのアクセス履歴を確認する。不審なアクセスがあれば、コンテナから参照できる認証情報（DB、メール、API キーなど）を更新する。- 管理画面や開発用のパス（
/storybookのようなもの）を外部に出さない。配信するのは計測スクリプトと受信エンドポイントだけにする。 - 配信しているスクリプトのハッシュを定期的に取り、公式リリースの同じ版と比べて差分を検知する。
決済ページ側の対策
- 決済ページで読み込む第三者スクリプト（自社運用の共通基盤を含む）を最小にする。解析タグは決済ページから外すのが一番効く。
- 残す場合は版を固定したファイル名で読み込み、
integrity（SRI）を付ける。内容が変われば読み込まれない。 - CSP の
script-srcで読み込み元を絞り、connect-srcで送信先を絞ると、スキマーが動いても外部送信を止めやすい。CSP の違反レポートで未知の送信先を検知する。 - カード入力は決済代行のホスト型フォームや iframe に任せ、自社ページの JavaScript からカード番号に触れられない構成にする。