В октябре 2026 года злоумышленники взломали несколько сторонних приложений Shopify и использовали их для перенаправления покупателей на поддельные страницы оплаты, где собирались данные их банковских карт. Подтвержденные инциденты затронули Hulk Product Options, Selleasy и Swym Wishlist Plus. Злоумышленники обошли собственный процесс оформления заказа Shopify, а не взломали его.
Представьте покупателя, который находит то, что ему нравится в вашем магазине, нажимает кнопку оформления заказа и вводит данные карты на странице, которая выглядит абсолютно аутентично. Заказ проходит. В панели администратора все выглядит нормально.
Именно это делало данную атаку столь тревожной: мошенник на короткое время перехватывал процесс оформления заказа, похищал данные карты, а затем позволял заказу пройти как обычно.
До Черной пятницы осталось три недели, поэтому вот что произошло и что стоит проверить в собственном магазине.
Как работала поддельная страница оплаты?
Разработчик Роман Зипп обнаружил это случайно 10 октября. Он совершал покупки в магазине на базе Shopify, нажал кнопку оформления заказа и попал на страницу оплаты на незнакомом домене.
Вот как работала эта атака:
- Некоторые приложения витрины загружают настройки с серверов разработчика при каждой загрузке страницы.
- Злоумышленники получили доступ к этим настройкам и внедрили вредоносный код.
- Когда покупатель нажимал кнопку оформления заказа, код перенаправлял его на похожую платежную страницу, где отображалась его реальная корзина.
- После того как покупатель вводил данные карты, поддельная страница перенаправляла его на настоящий чек-аут магазина, и заказ проходил.
Атака не нарушала процесс покупки. Ей нужно было лишь находиться между корзиной и оформлением заказа в течение нескольких секунд. Именно поэтому пострадавшие заказы выглядели абсолютно нормально со стороны продавца.
Какие приложения Shopify взломали злоумышленники?
Три разработчика приложений подтвердили, что посторонние лица изменили содержимое, загружаемое их приложениями в некоторых магазинах:
Использование одного из этих приложений не означает, что злоумышленники получили доступ к вашему магазину. Каждая атака затронула лишь часть магазинов, и ничто не указывает на то, что сами разработчики написали вредоносный код.
Последствия оказались гораздо шире, чем три приложения. В конце октября Shopify волнами удалила из своего App Store сотни приложений. Некоторые были связаны с перехватом, а другие Shopify удалила за использование неподдерживаемой версии API. Один независимый трекер зафиксировал 563 удаления в период с 14 по 27 октября.
Пострадала ли от атаки система Ordoro?
Нет. Перехват оформления заказа в Shopify в октябре 2026 года не затронул Ordoro. Клиентам Ordoro не нужно предпринимать каких-либо действий в связи с этим инцидентом.
Тем не менее, сейчас самое время проверить каждое приложение, подключенное к вашему магазину. Атака осуществлялась через приложения, которые добавляют код на страницы, видимые покупателям, такие как параметры товаров, списки желаний и всплывающие окна с предложениями. Эти приложения находятся непосредственно там, где клиенты вводят платежные данные, поэтому они заслуживают самого пристального внимания.
20- минутная проверка приложений сейчас окупится перед самой загруженной неделей в году:
- Составьте список всех установленных приложений. В панели администратора Shopify перейдите в раздел «Настройки» > «Приложения». Найдите три упомянутых выше приложения, а также все, что вам незнакомо.
- Удалите то, чем вы не пользуетесь. Приложение, которое вы тестировали полгода назад, все еще может иметь доступ к вашей витрине.
- Следите за уведомлениями разработчиков. Если вы используете затронутое приложение, следуйте последним инструкциям разработчика, а не гадайте.
- Протестируйте оформление заказа, но не полагайтесь только на это. Перейдите к оформлению заказа и следите за веб-адресом. Эту атаку было трудно обнаружить таким способом: код срабатывал только при реальном клике на оформление заказа, а иногда не срабатывал вовсе.
- Серьезно относись к жалобам клиентов. В нескольких случаях именно покупатель первым замечал неладное.
Если вы обнаружили подозрительное перенаправление
- Сохраните скриншоты и, если возможно, HAR-файл (запись активности страницы в браузере).
- Отключите подозрительное приложение.
- Уведомьте разработчика приложения, службу поддержки Shopify и вашего платежного шлюза.
Часто задаваемые вопросы
Взломали ли хакеры процесс оформления заказа в Shopify?
Взломали ли хакеры процесс оформления заказа в Shopify?Нет. Ничто не указывает на то, что злоумышленники проникли в собственные системы оформления заказа или платежные системы Shopify. Поддельные страницы оплаты работали на сторонних сайтах, а вредоносный код доставлялся через сторонние приложения.
Какие приложения Shopify были замешаны в перехвате оформления заказа?
Разработчики Hulk Product Options, Selleasy: Upsell & Cross Sell и Swym Wishlist Plus подтвердили инциденты в октябре 2026 года. Использование одного из этих приложений автоматически не означает, что магазин пострадал.
Затронула ли атака магазины на WooCommerce или BigCommerce?
Подтвержденные инциденты октября 2026 года затронули только приложения Shopify. Подобные риски могут существовать на любой платформе, где сторонние приложения добавляют код на страницы витрины.
Пострадала ли Ordoro от перехвата чекаута в Shopify?
Нет. Ordoro не пострадала, и клиентам Ordoro не нужно предпринимать никаких действий в связи с этим инцидентом.
Как узнать, пострадал ли мой магазин Shopify?
Сравните установленные приложения с уведомлениями разработчиков, следите за жалобами клиентов на странные страницы оплаты и протестируйте свой чек-аут. Тестирование само по себе может пропустить эту атаку, поэтому следуйте инструкциям разработчика, если вы используете затронутое приложение.
Итог
Сторонние приложения — это часть того, что заставляет магазин Shopify работать, и этот инцидент не является поводом удалять их все. Это напоминание о том, что каждый подключенный инструмент является частью опыта вашего клиента, включая те, которые вы настроили один раз и забыли.
По мере добавления каналов и инструментов следить за тем, что подключено, становится все сложнее. Наше руководство по многоканальным продажам рассказывает о том, как растущие компании поддерживают порядок в операционной деятельности по мере расширения.
Готовитесь к BFCM? Пообщайтесь со специалистом Ordoro о том, как обеспечить бесперебойную работу запасов, заказов и доставки в течение вашей самой загруженной недели.
