La noticia
Desde el 10 de octubre de 2026, unos atacantes cambiaron los ajustes de al menos tres apps de la Shopify App Store para que algunas tiendas enviaran a los compradores a páginas de pago falsas. Las páginas imitaban el checkout de Shopify y pedían los datos de la tarjeta. El desarrollador Roman Zipp, que destapó el caso de HulkApps, comprobó que después la página falsa devolvía al comprador al checkout real, donde aún podía completar su pedido.
Tres desarrolladores de apps han confirmado incidentes. HulkApps dijo que un fallo de seguridad permitió añadir ajustes no autorizados a Hulk Product Options. Logbase dijo que alguien accedió a una herramienta interna de su app de ventas adicionales Selleasy y añadió un script a los ajustes de algunas tiendas el 13 de octubre, entre las 07:47 y las 15:00 UTC. Según la empresa, más de 49.000 tiendas usan la app. Swym dijo que un cambio no autorizado en Wishlist Plus cargó un script en algunas tiendas el 14 de octubre, y que el script ya se ha eliminado de todas las tiendas.
Ninguno de los desarrolladores dice que se vulnerara el checkout de Shopify, y nadie ha dicho cuántas tiendas o compradores se vieron afectados. Shopify dijo el 17 de octubre a la web australiana iTnews que actúa cuando una app no está a la altura, lo que puede incluir retirarla de la App Store, y que los comerciantes pueden revisar en cualquier momento la actividad y los permisos de cada app.
El 20 de octubre, Shopify pidió a todos los desarrolladores de apps que actuaran esa misma semana: ejecutar su revisión de seguridad, pasar a tokens de acceso que caducan y activar la verificación en dos pasos en sus cuentas.
Qué significa para ti
- Una app que instalaste hace meses puede cambiar lo que ven tus compradores sin que tú toques nada.
- Los compradores que escribieron su tarjeta en una página falsa pueden sufrir fraude, y quizá tengas que avisarles a ellos, a tu proveedor de pagos o a la autoridad competente.
- Después, el comprador pasaba al checkout real, así que los pedidos podían seguir llegando y las cifras de ventas por sí solas quizá no muestren el problema.
Qué hacer ahora
- En tu panel de Shopify, abre la lista de apps instaladas y elimina las que ya no uses.
- En el editor de temas, abre las incrustaciones de apps y desactiva las que no reconozcas.
- Abre tu tienda en una ventana privada, añade un producto y ve al pago, y comprueba que la página de pago se abre en la dirección de tu propia tienda.
- Si un comprador te cuenta que vio una página de pago extraña, anota la dirección y la hora y contacta con el soporte de Shopify y con el desarrollador de la app.
Cómo puede ayudarte Didset
Creamos apps de Shopify a medida que son tuyas y controlas tú, para funciones como listas de deseos, opciones de producto o ventas adicionales.
Habla con nosotros
