Hackers Mira Sites de Caridade da Caritas

Um ataque cibernético atingiu 17 sites da Caritas Espanha, uma grande instituição de caridade católica, comprometendo os dados dos cartões dos doadores por mais de um ano sem detecção.

Os agressores utilizaram um método chamado web skimming, onde um código malicioso é inserido em um site para roubar informações sensíveis dos usuários. Neste caso, o skimmer criou um falso formulário de doação que imitava o verdadeiro e capturava silenciosamente dados pessoais e de pagamento, incluindo nomes, endereços, números de cartão, CVV e mais.

“Esta campanha reforça uma tendência mais ampla que tem sido observada: as infecções por esquemas de web estão sendo cada vez mais impulsionadas por kits modulares”, escreveram pesquisadores da Jscrambler que sinalizaram o ataque escreveram. Esses kits permitem que os hackers misturem facilmente diferentes ferramentas e canais para entregar e coletar dados roubados.

Os pesquisadores dizem que os sites infectados eram todos alimentados pelo WooCommerce, um plugin popular para pagamentos online no WordPress. O ataque teve duas partes: primeiro, um pequeno pedaço de código oculto foi injetado na página inicial do site para entrar em contato com o servidor dos hackers.

Então, o script de segunda etapa adicionou um falso botão de “Continuar” sobre o verdadeiro. Uma vez que os usuários clicavam nele, era apresentado a eles um falso formulário de pagamento online, projetado para parecer o gateway oficial do banco Santander.

Após capturar os dados, o formulário mostrava brevemente um spinner de carregamento antes de redirecionar o doador para o site de pagamento legítimo, tornando o golpe mais difícil de ser percebido.

“É especialmente preocupante, dada a vítima”, observou a Jscrambler. “A Caritas é uma organização sem fins lucrativos dedicada a ajudar comunidades vulneráveis. Ainda assim, os atacantes ficaram felizes em manter sua operação de clonagem […] por mais de um ano.”

A infecção foi descoberta pela primeira vez em 16 de março de 2025, e os sites afetados foram eventualmente retirados do ar para manutenção no início de abril, após a Jscrambler entrar em contato.

Até 11 de abril, o código malicioso finalmente foi removido. No entanto, os hackers mudaram de tática nesse meio tempo, alterando o script para evitar detecção.

Os pesquisadores também encontraram indícios de que este grupo visou outros sites também, usando mais de 60 domínios falsos para distribuir e coletar dados. Muitos destes foram hospedados sob o mesmo IP, apontando para uma configuração centralizada. Jscrambler relata que a Caritas não emitiu uma declaração oficial sobre a violação.