تطبيقات Shopify مخترقة حوّلت المتسوقين إلى صفحات دفع مزيفة

الخبر

منذ 10 تشرين الأول 2026 غيّر مهاجمون إعدادات ثلاثة تطبيقات على الأقل من متجر تطبيقات Shopify، فصارت بعض المتاجر توجّه المتسوقين إلى صفحات دفع مزيفة. كانت الصفحات تشبه صفحة الدفع في Shopify وتطلب بيانات البطاقة. ووجد المطوّر Roman Zipp، الذي كشف حالة HulkApps، أن الصفحة المزيفة كانت تعيد المتسوق بعد ذلك إلى صفحة الدفع الحقيقية، حيث يمكنه إتمام طلبه.

وأكدت ثلاث شركات تطبيقات وقوع حوادث. قالت HulkApps إن ثغرة أضافت إعدادات غير مصرّح بها إلى تطبيق Hulk Product Options. وقالت Logbase إن شخصًا وصل إلى أداة داخلية لتطبيق البيع الإضافي Selleasy وأضاف شيفرة إلى إعدادات بعض المتاجر في 13 تشرين الأول، بين الساعة 07:47 و15:00 بالتوقيت العالمي، وتقول إن أكثر من 49,000 متجر يستخدم التطبيق. وقالت Swym إن تغييرًا غير مصرّح به في Wishlist Plus حمّل شيفرة على بعض واجهات المتاجر في 14 تشرين الأول، وإن الشيفرة أُزيلت منذ ذلك الحين من كل واجهات المتاجر.

لا يقول أيٌّ من المطورين إن صفحة الدفع في Shopify نفسها اختُرقت، ولم يذكر أحد عدد المتاجر أو المتسوقين المتأثرين. وقالت Shopify لموقع iTnews الأسترالي في 17 تشرين الأول إنها تتحرك عندما يقصّر تطبيق ما، وقد يصل ذلك إلى إزالته من متجر التطبيقات، وإن التاجر يستطيع مراجعة نشاط أي تطبيق وصلاحياته في أي وقت.

وفي 20 تشرين الأول طلبت Shopify من كل مطوري التطبيقات التحرك خلال ذلك الأسبوع: تشغيل فحصها الأمني، والانتقال إلى رموز وصول تنتهي صلاحيتها، وتفعيل التحقق بخطوتين في حساباتهم.