L’info
Depuis le 10 octobre 2026, des pirates ont modifié les réglages d'au moins trois applications du Shopify App Store pour que certaines boutiques envoient les acheteurs vers de fausses pages de paiement. Ces pages imitaient le paiement de Shopify et demandaient les données de carte. Le développeur Roman Zipp, qui a mis au jour le cas HulkApps, a constaté que la fausse page renvoyait ensuite l'acheteur vers le vrai paiement, où il pouvait encore passer sa commande.
Trois éditeurs d'applications ont confirmé des incidents. HulkApps a indiqué qu'une faille avait introduit des réglages non autorisés dans Hulk Product Options. Logbase a indiqué qu'une personne avait accédé à un outil interne de son application de ventes additionnelles Selleasy et ajouté un script aux réglages de certaines boutiques le 13 octobre, entre 7 h 47 et 15 h (UTC). Selon l'éditeur, plus de 49 000 boutiques utilisent l'application. Swym a indiqué qu'une modification non autorisée de Wishlist Plus avait chargé un script sur certaines boutiques le 14 octobre, et que le script a depuis été retiré de toutes les boutiques.
Aucun des éditeurs n'affirme que le paiement de Shopify lui-même a été compromis, et personne n'a dit combien de boutiques ou d'acheteurs ont été touchés. Shopify a déclaré le 17 octobre au site australien iTnews qu'il agit lorsqu'une application ne fait pas le nécessaire, ce qui peut aller jusqu'à la retirer de l'App Store, et que les marchands peuvent examiner à tout moment l'activité et les autorisations de chaque application.
Le 20 octobre, Shopify a demandé à tous les développeurs d'applications d'agir dans la semaine : lancer son contrôle de sécurité, passer à des jetons d'accès qui expirent et activer la validation en deux étapes sur leurs comptes.
Ce que cela change pour vous
- Une application installée il y a des mois peut changer ce que voient vos clients sans aucune modification de votre part.
- Les clients qui ont saisi leur numéro de carte sur une fausse page risquent une fraude, et vous pourriez devoir les prévenir, ainsi que votre prestataire de paiement ou l'autorité compétente.
- L'acheteur était ensuite renvoyé vers le vrai paiement, donc les commandes pouvaient continuer d'arriver et les chiffres de vente seuls pourraient ne pas révéler le problème.
Ce qu’il faut faire
- Dans votre interface Shopify, ouvrez la liste des applications installées et supprimez celles que vous n'utilisez plus.
- Dans l'éditeur de thème, ouvrez les intégrations d'applications et désactivez celles que vous ne reconnaissez pas.
- Ouvrez votre boutique dans une fenêtre de navigation privée, ajoutez un produit et passez au paiement, puis vérifiez que la page de paiement s'ouvre bien à l'adresse de votre boutique.
- Si un client signale une page de paiement inhabituelle, notez l'adresse et l'heure, puis contactez l'assistance Shopify et l'éditeur de l'application.
Comment Didset peut vous aider
Nous développons des applications Shopify sur mesure que vous possédez et contrôlez, pour des fonctions comme les listes de souhaits, les options de produit ou les ventes additionnelles.
Parlons-en
