Przejęcie procesu płatności w Shopify: jak sprawdzić swój sklep w 10 minut

Przejęcie procesu płatności w Shopify: jak sprawdzić swój sklep w 10 minut

W październiku 2026 roku atakujący przejęli kilka popularnych aplikacji Shopify i wykorzystali je do przekierowywania klientów, którzy kliknęli przycisk Checkout, na fałszywe strony płatności. Fałszywa strona zbierała dane kart płatniczych, a następnie przekazywała klienta do prawdziwej strony płatności sklepu, dzięki czemu zamówienie zostawało zrealizowane i nikt niczego nie zauważył.

Ten poradnik wyjaśnia, co wydarzyło się podczas przejęcia kasy w sklepach Shopify, i przeprowadza Pana/Panią przez kontrolę, którą każdy właściciel sklepu może wykonać w około 10 minut. Wyjaśnia również, co zrobić w przypadku wykrycia przekierowania i które aplikacje Shopify mogą pomóc.

Przeskanuj swój sklep za pomocą PCrisk Website Scanner

Spis treści:

• Wprowadzenie
• Co wydarzyło się podczas przejęcia kasy w sklepach Shopify
• Jak działała fałszywa kasa
• Krok 1: Przetestuj kasę w oknie prywatnym (3 minuty)
• Krok 2: Przejrzyj zainstalowane aplikacje (2 minuty)
• Krok 3: Sprawdź, które osadzenia aplikacji są włączone (1 minuta)
• Krok 4: Zajrzyj do pól z niestandardowym kodem (1 minuta)
• Krok 5: Przeszukaj kod szablonu (1 minuta)
• Krok 6: Zabezpiecz hasła i dostęp (1 minuta)
• Krok 7: Przeskanuj sklep z zewnątrz (1 minuta)
• Aplikacje zabezpieczające Shopify, które mogą pomóc
• Monitorowanie sklepu za pomocą PCrisk Trust Badge
• Podsumowanie
• Najczęściej zadawane pytania (FAQ)

Co wydarzyło się podczas przejęcia kasy w sklepach Shopify

10 października 2026 r. programista Roman Zipp kliknął przycisk przejścia do kasy w sklepie Shopify i został przekierowany na stronę płatności w nieznanej domenie. Ustalił, że źródłem była aplikacja Hulk Product Options, i udokumentował atak. W ciągu kilku dni dwóch kolejnych twórców aplikacji potwierdziło podobne incydenty.

Sprzedawcy wymieniali w publicznych komentarzach również inne aplikacje, jednak ich twórcy nie potwierdzili żadnego związku, dlatego nie umieszczamy ich na tej liście.

Czy włamano się do samego Shopify? Nie ma publicznych dowodów, że tak było. Atak działał na stronach sklepów i przekierowywał kupujących, zanim załadowała się kasa Shopify. Shopify usunął kod ze wszystkich zaatakowanych sklepów, a jak rzecznik firmy powiedział serwisowi iTnews, Shopify podejmuje działania, gdy aplikacja nie spełnia jego standardów.

Co zmienia Shopify. 20 października Shopify zwrócił się do wszystkich twórców aplikacji o wykonanie w ciągu tego tygodnia listy kroków bezpieczeństwa, takich jak włączenie uwierzytelniania dwuetapowego dla wszystkich kont i przejście na krótkotrwałe tokeny dostępu. Zapowiedział również ograniczenie możliwości aplikacji w witrynach sklepów, wymóg, aby klucze aplikacji działały wyłącznie z serwerów twórcy, oraz zaostrzenie wymagań bezpieczeństwa w App Store.

[Wróć do Spisu treści]

Jak działała fałszywa kasa

Każda aplikacja dodaje skrypt do witryny sklepu za pomocą osadzenia aplikacji. Sam skrypt był czysty, ale ładował ustawienia aplikacji z serwera twórcy, a atakujący umieścili w tych ustawieniach dodatkowy kod JavaScript. Kod ten czekał na kliknięcie przycisku przejścia do kasy, otwierał łudząco podobną stronę płatności w domenie kończącej się na .top, a po wprowadzeniu przez kupującego danych karty przekierowywał go do prawdziwej kasy.

Trzy czynniki utrudniały wykrycie ataku:

• Uruchamiał się tylko raz na sesję przeglądarki, więc drugi test mógł wyglądać na czysty.
• Pliki szablonu zazwyczaj się nie zmieniały, ponieważ kod pochodził z serwera twórcy aplikacji.
• Zamówienia wyglądały normalnie, ponieważ kupujący i tak płacił w prawdziwej kasie.

Zgłoszone domeny to m.in. biliing[.]top, checkout-confirm[.]top, order-confirm[.]top, account-confirm[.]top, billing-confirm[.]top, checkout-guard[.]top i checkout-secure[.]top. Prosimy ich nie odwiedzać.

[Wróć do Spisu treści]

Krok 1: Przetestuj kasę w oknie prywatnym (3 minuty)

To najważniejsza kontrola, ponieważ tylko ona pokazuje to, co widzi kupujący. Nie trzeba za nic płacić.

1. Otwórz nowe okno prywatne. Zamknij wszystkie otwarte okna prywatne, a następnie otwórz nowe (tryb incognito w Chrome, okno prywatne w Safari lub przeglądanie prywatne w Firefox).

2. Dodaj produkt do koszyka i naciśnij zwykły przycisk przejścia do kasy. Użyj standardowego przycisku kasy, a nie Shop Pay, PayPal ani żadnego innego przycisku szybkiej płatności.

3. Zanim cokolwiek wpiszesz, sprawdź pasek adresu. Prawdziwa kasa Shopify otwiera się w Pana/Pani własnej domenie lub w domenie your-store.myshopify.com i wyświetla nazwę sklepu.

4. Powtórz test dla każdego przycisku kasy. Przetestuj ponownie w nowym oknie prywatnym z wysuwanego koszyka, strony koszyka i każdego przycisku  „Kup teraz ”, a następnie raz na telefonie.

Shop Pay może otworzyć się w domenie shop.app, a PayPal lub weryfikacja bezpieczeństwa banku mogą otwierać własne strony - to normalne. Sygnałem ostrzegawczym jest nieznana domena, zwłaszcza kończąca się na .top, która prosi o dane karty zaraz po kliknięciu przycisku kasy.

[Wróć do Spisu treści]

Krok 2: Przejrzyj zainstalowane aplikacje (2 minuty)

1. Otwórz listę aplikacji. W panelu administracyjnym Shopify przejdź do  „Ustawienia”, a następnie  „Aplikacje”.

2. Poszukaj wymienionych wyżej aplikacji oraz wszystkiego, czego nie rozpoznajesz. Jeśli korzysta Pan/Pani z jednej z zaatakowanych aplikacji (Hulk Product Options, Selleasy (Upsell & Cross Sell), Swym Wishlist Plus), należy postępować zgodnie z najnowszym komunikatem twórcy.

3. Sprawdź, do czego ma dostęp każda aplikacja. Kliknij trzy kropki obok aplikacji i wybierz „Wyświetl szczegóły”. Sekcja aktywności i uprawnień pokazuje, co aplikacja może wyświetlać lub edytować. Aplikacja z uprawnieniem  „Dostęp do edycji sklepu internetowego” może zmieniać szablon.

4. Odinstaluj to, czego już nie używasz. Każda usunięta aplikacja to kod, którego nikt nie będzie mógł wykorzystać przeciwko Panu/Pani.

5. Zapytaj twórców aplikacji działających w witrynie sklepu, co zrobili. Napisz krótką wiadomość e-mail z pytaniem, czy wykonali kroki bezpieczeństwa zalecone przez Shopify 20 października. Shopify nakłada na twórców obowiązek powiadamiania sprzedawców, których dotyczy problem z bezpieczeństwem, dlatego warto czytać również ich wiadomości.

Sklep można też sprawdzić z zewnątrz za pomocą Koala Inspector - rozszerzenia Chrome, które pokazuje, jakiego szablonu i aplikacji używa dany sklep Shopify. Otwórz witrynę sklepu z włączonym rozszerzeniem i porównaj jego listę z zainstalowanymi aplikacjami: aplikacja, której nie rozpoznajesz, lub taka, którą uważałeś/uważałaś za usuniętą, zasługuje na dokładniejsze sprawdzenie.

[Wróć do Spisu treści]

Krok 3: Sprawdź, które osadzenia aplikacji są włączone (1 minuta)

Osadzenia aplikacji to sposób, w jaki aplikacje dodają skrypty do każdej strony sklepu, i to właśnie tą drogą przeprowadzono atak.

1. Otwórz edytor szablonu. Przejdź do  „Sklep internetowy”, a następnie  „Szablony” i kliknij  „Edytuj szablon” obok aktywnego szablonu.

2. Otwórz panel osadzeń aplikacji. Kliknij ikonę „Osadzenia aplikacji” na lewym pasku bocznym, aby zobaczyć wszystkie aplikacje, które mogą uruchamiać kod w witrynie sklepu.

3. Wyłącz to, czego nie potrzebujesz. Wyłącz osadzenia aplikacji, których już nie używasz, nie rozpoznajesz lub które zostały wymienione w komunikacie bezpieczeństwa, a następnie naciśnij „Zapisz”.

[Wróć do Spisu treści]

Krok 4: Zajrzyj do pól z niestandardowym kodem (1 minuta)

Złośliwy kod znajdował się w ustawieniach aplikacji, które akceptują niestandardowy kod JavaScript lub HTML. Otwórz każdą aplikację, która wyświetla coś w witrynie sklepu, np. opcje produktów, oferty dodatkowe, listy życzeń lub wyskakujące okienka, i poszukaj pól o nazwach takich jak niestandardowy kod, niestandardowy JavaScript lub niestandardowy HTML. Jeśli pole zawiera kod, którego nikt z Pana/Pani zespołu nie dodał, zrób zrzut ekranu i skontaktuj się z twórcą aplikacji.

[Wróć do Spisu treści]

Krok 5: Przeszukaj kod szablonu (1 minuta)

Podczas drugiego incydentu w Swym skrypty zostały dodane do plików szablonu, dlatego Swym prosi sprzedawców o przeszukanie szablonów pod kątem określonego znacznika.

1. Otwórz edytor kodu. Przejdź do „Sklep internetowy”, a następnie „Szablony”, kliknij trzy kropki obok aktywnego szablonu i wybierz „Edytuj kod”.

2. Przeszukaj wszystkie pliki. Kliknij ikonę wyszukiwania na lewym pasku bocznym i wyszukaj checkout-guard oraz każdą z wymienionych wyżej domen, wpisując ją bez nawiasów kwadratowych.

Brak wyników to dobra wiadomość, ale dotyczy wyłącznie szablonu. Kod ładowany przez aplikację z jej własnego serwera nigdy się tu nie pojawi, dlatego kroki 1-4 są tak ważne.

[Wróć do Spisu treści]

Krok 6: Zabezpiecz hasła i dostęp (1 minuta)

1. Włącz uwierzytelnianie dwuetapowe. Otwórz swój profil w panelu administracyjnym Shopify, przejdź do „Bezpieczeństwo” i włącz tę funkcję, a następnie ustaw ją jako wymaganą dla każdego konta pracownika (poradnik Shopify).

2. Przejrzyj listę pracowników i współpracowników. Przejdź do „Ustawienia”, a następnie „Użytkownicy”. Usuń wszystkie osoby, które nie potrzebują już dostępu, i sprawdź dziennik aktywności użytkowników na stronie „Bezpieczeństwo”.

3. Zmień hasła do paneli aplikacji. Wiele aplikacji ma własne logowanie na stronie internetowej. Zmień te hasła, a także hasło do Shopify.

[Wróć do Spisu treści]

Krok 7: Przeskanuj sklep z zewnątrz (1 minuta)

Na koniec sprawdź, jak sklep jest postrzegany przez usługi bezpieczeństwa, na których polegają przeglądarki i dostawcy poczty e-mail. Jeśli Pana/Pani domena została oznaczona jako związana z malware lub phishingiem, lepiej dowiedzieć się o tym przed klientami.

1. Otwórz PCrisk Website Scanner. Przejdź do scanner.pcrisk.com. Skanowanie jest bezpłatne i nie wymaga zakładania konta.

2. Wprowadź adres sklepu i kliknij „Sprawdź witrynę”.

3. Przeczytaj raport. Pokazuje on, czy ponad 90 silników bezpieczeństwa i 10 baz danych zagrożeń oznacza Pana/Pani domenę, co wykazało skanowanie plików strony głównej, oraz ocenę wiarygodności w skali od 0 do 100.

Skanowanie zewnętrzne nie klika przycisku kasy, dlatego uzupełnia test w oknie prywatnym z kroku 1, a nie go zastępuje.

Jeśli kasa przekierowuje

1. Zabezpiecz dowody. Zrób zrzut ekranu pokazujący pasek adresu i zanotuj godzinę oraz kliknięty przycisk.

2. Uniemożliw nowym kupującym dotarcie do fałszywej strony. Przejdź do „Sklep internetowy”, a następnie „Preferencje” i włącz „Tryb prywatny” w sekcji „Dostęp do sklepu” (poradnik Shopify).

3. Wyłącz podejrzaną aplikację. Wyłącz jej osadzenie aplikacji lub ją odinstaluj, a następnie przetestuj ponownie w nowym oknie prywatnym.

4. Skontaktuj się z twórcą aplikacji, Shopify i operatorem płatności. Skontaktuj się z Shopify za pośrednictwem Shopify Help Center i poproś twórcę aplikacji o dokładne godziny, w których kod działał w Pana/Pani sklepie.

5. Zgłoś fałszywą domenę do Google Safe Browsing, zmień hasła zgodnie z krokiem 6 i zapytaj doradcę prawnego, czy musisz powiadomić poszkodowanych klientów.

[Wróć do Spisu treści]

Aplikacje zabezpieczające Shopify, które mogą pomóc

Żadna aplikacja w Shopify App Store nie wykrywa w niezawodny sposób ataków takich jak ten, dlatego test w oknie prywatnym pozostaje najważniejszą kontrolą. Aplikacje mogą jednak pomóc zauważyć ingerencję, sprawdzić, kto co zmienił, i przywrócić poprzednią wersję szablonu. Sprawdziliśmy poniższe pozycje 21 października 2026 r.

Kopie zapasowe niczego nie wykrywają, ale pozwalają przywrócić czysty szablon w ciągu kilku minut. Skanery szablonów i dzienniki zmian widzą tylko pliki szablonu, więc przeoczyłyby większą część tego ataku. CartShark to jedyna znaleziona przez nas aplikacja w App Store, która monitoruje skrypty w przeglądarkach rzeczywistych kupujących, jednak jest nowa w Shopify, dlatego warto przetestować ją w okresie próbnym. Oceny i ceny się zmieniają, więc przed instalacją należy sprawdzić każdą pozycję.

[Wróć do Spisu treści]

Monitorowanie sklepu za pomocą PCrisk Trust Badge

PCrisk Trust Badge sprawdza Pana/Pani sklep z zewnątrz co 24 godziny - tak, jak widzą go usługi bezpieczeństwa i kupujący.

• Co sprawdza: usługa skanuje sklep przy użyciu ponad 90 silników bezpieczeństwa i 10 baz danych zagrożeń oraz skanuje pliki ładowane przez strony, a wyniki podsumowuje w postaci oceny wiarygodności w panelu administracyjnym Shopify.
• Jak często: plan darmowy skanuje raz w miesiącu i wysyła wiadomość e-mail, jeśli sklep zostanie oznaczony. Plan Premium za $19/miesiąc, z 14-dniowym okresem próbnym, skanuje codziennie.
• Co widzą kupujący: plan Premium dodaje odznakę, która po kliknięciu otwiera aktualny, opatrzony datą raport ze skanowania, i ukrywa się, jeśli skanowanie kiedykolwiek wypadnie negatywnie.

Po takim incydencie kupujący ostrożniej podchodzą do tego, gdzie wprowadzają dane karty. Odznaka poparta niezależnym, datowanym raportem daje im coś, co mogą samodzielnie sprawdzić.

[Wróć do Spisu treści]

Podsumowanie

Przejęcie kasy w sklepach Shopify w październiku 2026 r. nie złamało zabezpieczeń kasy Shopify. Zamiast tego zaufane aplikacje zostały obrócone przeciwko sklepom, które je zainstalowały. Zalecamy właścicielom sklepów internetowych ograniczenie liczby aplikacji, pozostawianie pustych pól na niestandardowy kod, korzystanie z uwierzytelniania dwuetapowego oraz testowanie kasy w oknie prywatnym już dziś, po każdej nowej aplikacji lub aktualizacji, a następnie raz w miesiącu.

Zdobądź PCrisk Trust Badge dla Shopify

[Wróć do Spisu treści]

Najczęściej zadawane pytania (FAQ)

Czy w październiku 2026 r. włamano się do Shopify?

Nie ma publicznych dowodów na to, że włamano się do samego Shopify. Atakujący zmienili ustawienia aplikacji firm zewnętrznych dostępnych na platformie Shopify, a kod tych aplikacji przekierowywał kupujących, zanim załadowała się kasa Shopify.

Których aplikacji Shopify dotyczyło przejęcie kasy?

Na dzień 21 października 2026 r. incydenty potwierdzili twórcy aplikacji Hulk Product Options, Selleasy i Swym Wishlist Plus. Inne aplikacje były wymieniane przez sprzedawców, ale nie zostały potwierdzone.

Test kasy wyglądał normalnie. Czy mój sklep jest bezpieczny?

Oznacza to, że podczas tego testu niczego nie wykryto. Należy powtórzyć go w nowych oknach prywatnych, z wysuwanego koszyka i na telefonie, a także zapytać twórców aplikacji, czy sklep nie został zaatakowany wcześniej.

Czy muszę odinstalować Hulk Product Options, Selleasy lub Swym Wishlist Plus?

Należy postępować zgodnie z najnowszym komunikatem każdego twórcy. Jeśli aplikacja nie jest potrzebna, jej odinstalowanie to najprostszy sposób na wyeliminowanie ryzyka.

Co powinni zrobić klienci, którzy wprowadzili dane karty w fałszywej kasie?

Powinni niezwłocznie zadzwonić do wydawcy karty, zablokować ją i zamówić nową, a także sprawdzić wyciągi pod kątem nieznanych płatności.

Co robi Shopify, aby zapobiec ponownemu wystąpieniu takiej sytuacji?

Shopify zwrócił się do wszystkich twórców aplikacji o podjęcie kroków bezpieczeństwa w tygodniu od 20 października 2026 r. i zapowiedział ograniczenie możliwości kodu aplikacji w witrynach sklepów, ograniczenie miejsc, z których działają klucze aplikacji, oraz zaostrzenie wymagań bezpieczeństwa w App Store - harmonogram ma zostać podany później.

Jak sprawdzić, czy moje konto Shopify zostało zhakowane?

Sygnały ostrzegawcze to m.in. nierozpoznane powiadomienia o logowaniu, pracownicy lub współpracownicy, których Pan/Pani nie dodał(a), zmienione konto do wypłat oraz zmiany w szablonie, których nie wprowadził nikt z zespołu. W przypadku zauważenia któregokolwiek z nich należy włączyć uwierzytelnianie dwuetapowe, zmienić hasło i skontaktować się z pomocą techniczną Shopify.

[Początek strony]