Shopify checkout hijack: kaip per 5 minutes patikrinti, ar jūsų parduotuvė nesiunčia pirkėjų į netikrą apmokėjimą

2026 m. spalį kelios populiarios Shopify programėlės buvo panaudotos nukreipti pirkėjus į netikrą apmokėjimo puslapį, kuris surinkdavo kortelės duomenis ir tik tada permesdavo žmogų į tikrąjį checkout. Pati Shopify platforma pažeista nebuvo - problema buvo programėlių pusėje.

Trys programėlės jau grąžintos į App Store, bet oficialaus Shopify pareiškimo apie šį incidentą iki šiol nėra. Todėl patikrinti savo parduotuvę tenka pačiam savininkui - ir tai užima maždaug penkias minutes.

Kas yra Shopify checkout hijack ataka?

Shopify checkout hijack - ataka, kurios metu teisėtai įdiegta programėlė per savo nustatymus gauna svetimą JavaScript kodą ir nukreipia pirkėją į netikrą apmokėjimo puslapį. Pirmasis atvejis viešai aprašytas 2026 m. spalio 10 d.

Mechanika čia svarbi, nes ji paaiškina, kodėl įprasti patikrinimai nieko nerodė. Tai programėlių tiekimo grandinės ataka (supply chain attack): pati programėlės byla buvo nepakitusi ir krovėsi iš Shopify CDN, tad nei temos kodo peržiūra, nei programėlės atnaujinimų istorija problemos neparodė.

Kodas atkeliaudavo vėliau - programėlei užsikrovus ir paprašius savo nustatymų iš pardavėjo serverio. Atsakyme sėdėjo apie 22 KB svetimo kodo lauke, skirtame parduotuvės savininko „custom JavaScript" (detalią techninę atakos analizę paskelbė saugumo tyrėjai). Jis perimdavo paspaudimą ant „Checkout" mygtuko, nuvesdavo pirkėją į labai panašų puslapį svetimame domene, nuskaitydavo kortelės ir asmens duomenis, o tada permesdavo į tikrąjį apmokėjimą.

Dėl to pirkėjas dažniausiai net nesuprasdavo, kad kažkas ne taip: užsakymas galų gale įvykdavo normaliai. O savininkas nematydavo nieko, nes nukreipimas vienoje sesijoje suveikdavo tik vieną kartą - antrą kartą tikrinant jis tiesiog nepasikartodavo.

Kurios Shopify programėlės buvo paveiktos?

Viešai patvirtintos trys programėlės: Hulk Product Options (HulkApps) - 2026 m. spalio 10 d., Selleasy (Logbase) - spalio 13 d., ir Swym Wishlist Plus (Swym) - spalio 14 d. Visos trys programėlės turi dešimtis tūkstančių įdiegimų.

Logbase buvo konkrečiausias aprašydamas, kas nutiko:

„An unauthorized party gained access to an internal Selleasy tool" - Logbase, incidentas 2026 m. spalio 13 d. 07:47-15:00 UTC (pardavėjų pareiškimų suvestinė)

HulkApps savo pareiškime kalba apie „an exploit" ir tvirtina, kad programėlė dabar „fully functional and safe to use". Swym mini „an unauthorized change to the app's configuration" ir tęsiamą tyrimą. Nė vienas pardavėjas nepaskelbė, kiek parduotuvių buvo paveikta.

Anksčiau tais pačiais metais buvo du atskiri, jau išspręsti incidentai su panašiu braižu: Qikify programėlės (Sticky Add to Cart, Mega Menu) liepos 22 d. ir Hextom programėlės rugpjūtį. Jie oficialiai su šia atakų serija nesiejami, bet modelis tas pats - kodas įterpiamas per programėlės nustatymus, ne per pačią programėlę.

Kaip patikrinti, ar jūsų Shopify parduotuvė paveikta?

Patikrinimas užima apie penkias minutes ir nereikalauja programuotojo. Svarbiausia taisyklė: adreso juostoje nuo krepšelio iki apmokėjimo turi likti jūsų domenas arba shopify.com - jokio kito.

1. Atidarykite parduotuvę naujame inkognito lange, įsidėkite prekę į krepšelį ir paspauskite „Checkout". Pakartokite 3-4 kartus - kiekvieną kartą naujame lange, nes nukreipimas vienoje sesijoje suveikia tik vieną kartą.
2. Pakartokite tą patį telefone ir iš krepšelio šoninio skydelio (cart drawer), ne tik iš krepšelio puslapio.
3. Patikrinkite, ar adreso juostoje nepasirodo nepažįstamas domenas, o apmokėjimo puslapis atrodo lygiai taip, kaip įprastai.
4. Temos redaktoriuje atidarykite programėlių įskiepius (app embeds) ir išjunkite visus, kurių nebenaudojate.
5. Peržiūrėkite visus programėlių nustatymų laukus, kurie priima custom JavaScript arba HTML. Jei kuriame nors randate kodo, kurio pats neįrašėte - tai įtartina.

Kaip patikrinti tiksliai?

Techniškesnis, bet patikimesnis būdas: naršyklės įrankiuose (DevTools) atidarykite Application skirtuką ir Session Storage. Šios atakos metu buvo naudojamas žymeklis, kurio pavadinimas pradedamas __ctf_. Jei toks įrašas jūsų parduotuvėje yra, tai praktiškai patvirtintas atvejis.

Ką daryti, jei checkout nukreipimas rastas parduotuvėje?

Jei patikrinimas parodė nukreipimą į svetimą domeną, pirmas veiksmas yra ne išjungti programėlę, o užfiksuoti įrodymus - jų prireiks ir pardavėjui, ir mokėjimų paslaugų teikėjui.

1. Nufotografuokite ekraną ir užrašykite tikslų laiką bei domeną, į kurį nukreipė.
2. Išjunkite įtariamą programėlę ir jos įskiepį temoje.
3. Parašykite programėlės pardavėjui raštu ir atidarykite užklausą Shopify palaikymui.
4. Informuokite savo mokėjimų paslaugų teikėją - būtent jis pasakys, ar ir kokių veiksmų reikia dėl klientų kortelių.
5. Pakeiskite Shopify ir programėlių paskyrų slaptažodžius, įjunkite dviejų faktorių autentifikaciją ir peržiūrėkite, kas turi collaborator prieigą prie parduotuvės.

Dėl pranešimo klientams ir Valstybinei duomenų apsaugos inspekcijai verta pasitarti su teisininku - sprendimas priklauso nuo to, kiek duomenų realiai nutekėjo. Mes nesame advokatų kontora ir šito už jus neįvertinsime.

Kodėl tai aktualu ir tiems, kas šių programėlių nenaudoja

Iki Black Friday liko kelios savaitės, ir būtent dabar parduotuvės masiškai diegia naujas akcijų, nuolaidų ir skaičiuoklių programėles. Kiekviena jų, turinti laisvo JavaScript lauką arba įskiepį temoje, yra ta pati atakos plokštuma - nepriklausomai nuo to, ar pardavėjas žinomas.

Praktinis sprendimas paprastas ir nieko nekainuoja: prieš didžiausio srauto savaitgalį išjunkite visas programėles, kurių realiai nenaudojate, ir patikrinkite, ar jų įskiepiai ir temos likučiai (snippets) tikrai pasitraukė kartu. Tuo pačiu metu verta peržiūrėti ir kitus nuolaidų nustatymus iki Black Friday.

Dalies šio sąrašo savininkas pats nepatikrins - likę temos snippet'ai, nebenaudojami įskiepiai ir per metus prisikaupusios collaborator prieigos yra tipinė Shopify parduotuvės audito dalis.

Dažniausi klausimai

Jei nesate tikri, ar jūsų parduotuvėje neliko nebenaudojamų programėlių įskiepių ir svetimo kodo laukuose - susisiekite su mumis ir patikrinsime kartu.