Die Meldung
Seit dem 10. Oktober 2026 haben Angreifer die Einstellungen von mindestens drei Apps aus dem Shopify App Store so verändert, dass einige Shops Käufer auf gefälschte Zahlungsseiten schickten. Die Seiten sahen aus wie der Shopify-Checkout und fragten Kartendaten ab. Der Entwickler Roman Zipp, der den HulkApps-Fall aufdeckte, stellte fest, dass die falsche Seite die Käufer danach zum echten Checkout weiterleitete, wo sie ihre Bestellung trotzdem abschließen konnten.
Drei App-Anbieter haben Vorfälle bestätigt. HulkApps erklärte, eine Sicherheitslücke habe unerlaubte Einstellungen in Hulk Product Options eingeschleust. Logbase erklärte, jemand habe sich Zugang zu einem internen Werkzeug seiner Upselling-App Selleasy verschafft und am 13. Oktober zwischen 07:47 und 15:00 Uhr UTC ein Skript in die Einstellungen einiger Shops eingefügt. Nach Angaben des Unternehmens nutzen mehr als 49.000 Shops die App. Swym erklärte, eine unerlaubte Änderung an Wishlist Plus habe am 14. Oktober ein Skript in einige Shops geladen, und das Skript sei inzwischen aus allen Shops entfernt.
Keiner der Entwickler sagt, dass der Checkout von Shopify selbst geknackt wurde, und niemand hat genannt, wie viele Shops oder Käufer betroffen sind. Shopify sagte der australischen Nachrichtenseite iTnews am 17. Oktober, man greife ein, wenn eine App nicht genügt, bis hin zur Entfernung aus dem App Store. Händler könnten Aktivität und Berechtigungen jeder App jederzeit prüfen.
Am 20. Oktober forderte Shopify alle App-Entwickler auf, noch in derselben Woche zu handeln: die eigene Sicherheitsprüfung laufen lassen, auf ablaufende Zugriffstokens umsteigen und die Zwei-Faktor-Anmeldung für ihre Konten einschalten.
Was das für Sie bedeutet
- Eine App, die Sie vor Monaten installiert haben, kann ändern, was Käufer in Ihrem Shop sehen, ohne dass Sie etwas bearbeiten.
- Käufer, die ihre Kartennummer auf einer falschen Seite eingegeben haben, können Opfer von Betrug werden, und Sie müssen unter Umständen sie, Ihren Zahlungsanbieter oder eine Behörde informieren.
- Käufer wurden danach zum echten Checkout weitergeleitet. Bestellungen konnten also weiter eingehen, und die Umsatzzahlen allein zeigen das Problem womöglich nicht.
Was Sie jetzt tun können
- Öffnen Sie im Shopify-Adminbereich die Liste der installierten Apps und entfernen Sie die, die Sie nicht mehr nutzen.
- Öffnen Sie im Theme-Editor die App-Einbettungen und schalten Sie jede ab, die Sie nicht kennen.
- Öffnen Sie Ihren Shop in einem privaten Browserfenster, legen Sie ein Produkt in den Warenkorb und gehen Sie zur Kasse. Prüfen Sie, ob sich die Zahlungsseite unter der Adresse Ihres eigenen Shops öffnet.
- Meldet ein Käufer eine seltsame Zahlungsseite, notieren Sie Adresse und Uhrzeit und wenden Sie sich an den Shopify-Support und an den Entwickler der App.
Wie Didset Ihnen helfen kann
Wir bauen individuelle Shopify-Apps, die Ihnen gehören und die Sie kontrollieren, für Funktionen wie Wunschlisten, Produktoptionen oder Zusatzverkäufe.
Sprechen Sie mit uns
