Dirottamento del checkout di Shopify: come controllare il Suo negozio in 10 minuti

Dirottamento del checkout di Shopify: come controllare il Suo negozio in 10 minuti

Nell'ottobre 2026, alcuni aggressori hanno dirottato diverse app popolari di Shopify e le hanno utilizzate per inviare gli acquirenti che facevano clic su Checkout a pagine di pagamento false. La pagina falsa raccoglieva i dati della carta e poi inoltrava l'acquirente al vero checkout del negozio, in modo che l'ordine andasse a buon fine e nessuno se ne accorgesse.

Questa guida spiega cosa è successo nel dirottamento del checkout di Shopify e La accompagna in un controllo che qualsiasi titolare di negozio può eseguire in circa 10 minuti. Spiega inoltre cosa fare se si individua un reindirizzamento e quali app Shopify possono essere d'aiuto.

Scansioni il Suo negozio con PCrisk Website Scanner

Indice:

• Introduzione
• Cosa è successo nel dirottamento del checkout di Shopify
• Come funzionava il falso checkout
• Passaggio 1: testare il checkout in una finestra privata (3 minuti)
• Passaggio 2: verificare le app installate (2 minuti)
• Passaggio 3: controllare quali incorporamenti di app sono attivi (1 minuto)
• Passaggio 4: esaminare i campi di codice personalizzato (1 minuto)
• Passaggio 5: cercare nel codice del tema (1 minuto)
• Passaggio 6: proteggere password e accessi (1 minuto)
• Passaggio 7: scansionare il negozio dall'esterno (1 minuto)
• App di sicurezza per Shopify che possono essere d'aiuto
• Monitorare il negozio con PCrisk Trust Badge
• In conclusione
• Domande frequenti (FAQ)

Cosa è successo nel dirottamento del checkout di Shopify

Il 10 ottobre 2026, lo sviluppatore Roman Zipp ha cliccato su Checkout in un negozio Shopify ed è stato reindirizzato a una pagina di pagamento su un dominio sconosciuto. Ha ricondotto il problema all'app Hulk Product Options e ha documentato l'attacco. Nel giro di pochi giorni, altri due sviluppatori di app hanno confermato incidenti simili.

I commercianti hanno citato altre app in commenti pubblici, ma i relativi sviluppatori non hanno confermato alcun collegamento, pertanto non le elenchiamo qui.

Shopify stesso è stato violato? Non ci sono prove pubbliche in tal senso. L'attacco veniva eseguito sulle pagine dei negozi e reindirizzava gli acquirenti prima che il checkout di Shopify venisse caricato. Shopify ha rimosso il codice da tutti i negozi interessati e, come un portavoce ha dichiarato a iTnews, Shopify interviene quando un'app non rispetta i suoi standard.

Cosa sta cambiando Shopify. Il 20 ottobre, Shopify ha chiesto a ogni sviluppatore di app di completare entro quella settimana una serie di misure di sicurezza, come l'attivazione dell'autenticazione in due passaggi per tutti i loro account e il passaggio a token di accesso di breve durata. Ha inoltre dichiarato che limiterà ciò che le app possono fare nelle vetrine dei negozi, richiederà che le chiavi delle app funzionino solo dai server dello sviluppatore e innalzerà i requisiti di sicurezza dell'App Store.

[Torna al Sommario]

Come funzionava il falso checkout

Ogni app aggiunge uno script alla vetrina del negozio tramite un incorporamento di app. Lo script in sé era pulito, ma caricava le impostazioni dell'app dal server dello sviluppatore, e gli aggressori avevano inserito JavaScript aggiuntivo in quelle impostazioni. Quel codice attendeva un clic su Checkout, apriva una pagina di pagamento contraffatta su un dominio che terminava in .top e, dopo che l'acquirente aveva inserito i dati della propria carta, lo inviava al checkout reale.

Tre fattori lo rendevano difficile da individuare:

• Si attivava solo una volta per sessione del browser, quindi un secondo test poteva sembrare pulito.
• I file del tema di solito non cambiavano, perché il codice proveniva dal server dello sviluppatore dell'app.
• Gli ordini apparivano normali, perché l'acquirente pagava comunque sul checkout reale.

I domini segnalati includono biliing[.]top, checkout-confirm[.]top, order-confirm[.]top, account-confirm[.]top, billing-confirm[.]top, checkout-guard[.]top e checkout-secure[.]top. Non li visiti.

[Torna al Sommario]

Passaggio 1: testare il checkout in una finestra privata (3 minuti)

Questo è il controllo più importante, perché è l'unico che mostra ciò che vede un acquirente. Non è necessario pagare nulla.

1. Apra una nuova finestra privata. Chiuda eventuali finestre private aperte, quindi ne apra una nuova (Navigazione in incognito in Chrome, Finestra privata in Safari o Navigazione anonima in Firefox).

2. Aggiunga un prodotto e prema il normale pulsante Checkout. Utilizzi il pulsante Checkout standard, non Shop Pay, PayPal o altri pulsanti di checkout rapido.

3. Legga la barra degli indirizzi prima di digitare qualsiasi cosa. Un vero checkout di Shopify si apre sul Suo dominio, oppure su your-store.myshopify.com, e mostra il nome del Suo negozio.

4. Ripeta da ogni pulsante Checkout. Esegua di nuovo il test in una nuova finestra privata dal riquadro del carrello, dalla pagina del carrello e da qualsiasi pulsante  «Acquista ora», quindi una volta dal telefono.

Shop Pay può aprirsi su shop.app, e PayPal o il controllo di sicurezza di una banca possono aprire pagine proprie: è normale. Il campanello d'allarme è un dominio sconosciuto, soprattutto se termina in .top, che chiede i dati della carta subito dopo aver cliccato su Checkout.

[Torna al Sommario]

Passaggio 2: verificare le app installate (2 minuti)

1. Apra l'elenco delle app. Nel pannello di amministrazione di Shopify, vada su  «Impostazioni», quindi su  «App».

2. Cerchi le app sopra citate e tutto ciò che non riconosce. Se utilizza una delle app interessate (Hulk Product Options, Selleasy (Upsell & Cross Sell), Swym Wishlist Plus), segua l'avviso più recente dello sviluppatore.

3. Controlli a cosa può accedere ciascuna app. Clicchi sui tre puntini accanto a un'app e scelga «Visualizza dettagli». La sezione Attività e autorizzazioni mostra ciò che l'app può visualizzare o modificare. Un'app con  «Accesso in modifica al tuo Negozio online» può modificare il Suo tema.

4. Disinstalli ciò che non utilizza più. Ogni app rimossa è codice che nessuno potrà rivolgere contro di Lei.

5. Chieda agli sviluppatori delle app della vetrina cosa hanno fatto. Scriva una breve email chiedendo se hanno completato le misure di sicurezza richieste da Shopify il 20 ottobre. Shopify rende gli sviluppatori responsabili di informare i commercianti coinvolti in un problema di sicurezza, quindi legga anche le loro email.

Può anche controllare il Suo negozio dall'esterno con Koala Inspector, un'estensione di Chrome che mostra quale tema e quali app utilizza un negozio Shopify. Apra la Sua vetrina con l'estensione attiva e confronti il suo elenco con le app installate: un'app che non riconosce, o una che pensava di aver rimosso, merita un esame più approfondito.

[Torna al Sommario]

Passaggio 3: controllare quali incorporamenti di app sono attivi (1 minuto)

Gli incorporamenti di app sono il modo in cui le app aggiungono script a ogni pagina del negozio, e sono la via utilizzata da questo attacco.

1. Apra l'editor del tema. Vada su  «Negozio online», quindi su  «Temi», e clicchi su  «Modifica tema» accanto al tema attivo.

2. Apra il pannello Incorporamenti app. Clicchi sull'icona «Incorporamenti app» nella barra laterale sinistra per vedere tutte le app che possono eseguire codice sulla Sua vetrina.

3. Disattivi ciò che non Le serve. Disattivi gli incorporamenti delle app che non utilizza più, che non riconosce o che sono citate in un avviso di sicurezza, quindi prema Salva.

[Torna al Sommario]

Passaggio 4: esaminare i campi di codice personalizzato (1 minuto)

Il codice dannoso si trovava nelle impostazioni delle app che accettano JavaScript o HTML personalizzato. Apra ogni app che mostra qualcosa sulla Sua vetrina, come opzioni di prodotto, upsell, liste dei desideri o pop-up, e cerchi campi denominati codice personalizzato, JavaScript personalizzato o HTML personalizzato. Se un campo contiene codice che nessuno del Suo team ha aggiunto, faccia uno screenshot e contatti lo sviluppatore dell'app.

[Torna al Sommario]

Passaggio 5: cercare nel codice del tema (1 minuto)

Nel secondo incidente di Swym, sono stati aggiunti script ai file del tema, e Swym chiede ai commercianti di cercare nei propri temi un indicatore specifico.

1. Apra l'editor di codice. Vada su «Negozio online», quindi su «Temi», clicchi sui tre puntini accanto al tema attivo e scelga «Modifica codice».

2. Cerchi in tutti i file. Clicchi sull'icona di ricerca nella barra laterale sinistra, cerchi checkout-guard e ciascun dominio elencato sopra, digitandolo senza le parentesi quadre.

Nessun risultato è una buona notizia, ma riguarda solo il Suo tema. Il codice che un'app carica dal proprio server non compare mai qui, ed è per questo che i passaggi 1-4 sono importanti.

[Torna al Sommario]

Passaggio 6: proteggere password e accessi (1 minuto)

1. Attivi l'autenticazione in due passaggi. Apra il Suo profilo nel pannello di amministrazione di Shopify, vada su «Sicurezza» e la attivi, quindi la renda obbligatoria per ogni account dello staff (guida di Shopify).

2. Verifichi staff e collaboratori. Vada su «Impostazioni», quindi su «Utenti». Rimuova chiunque non abbia più bisogno di accedere e controlli il registro delle attività degli utenti nella pagina Sicurezza.

3. Cambi le password delle dashboard delle app. Molte app hanno un proprio accesso tramite sito web. Cambi quelle password oltre alla password di Shopify.

[Torna al Sommario]

Passaggio 7: scansionare il negozio dall'esterno (1 minuto)

Infine, verifichi come appare il Suo negozio ai servizi di sicurezza su cui si basano i browser e i provider di posta elettronica. Se il Suo dominio è stato segnalato per malware o phishing, è meglio saperlo prima dei Suoi clienti.

1. Apra PCrisk Website Scanner. Vada su scanner.pcrisk.com. La scansione è gratuita e non richiede la creazione di un account.

2. Inserisca l'indirizzo del Suo negozio e clicchi su «Check website».

3. Legga il rapporto. Mostra se oltre 90 motori di sicurezza e 10 database di minacce segnalano il Suo dominio, cosa ha rilevato la scansione dei file della homepage e un punteggio di affidabilità da 0 a 100.

Una scansione esterna non clicca sul pulsante Checkout, quindi integra il test in finestra privata del passaggio 1 anziché sostituirlo.

Se il Suo checkout esegue un reindirizzamento

1. Raccolga le prove. Faccia uno screenshot che mostri la barra degli indirizzi e annoti l'ora e il pulsante cliccato.

2. Impedisca ai nuovi acquirenti di raggiungere la pagina falsa. Vada su «Negozio online», quindi su «Preferenze», e attivi la «Modalità privata» in Accesso al negozio (guida di Shopify).

3. Disattivi l'app sospetta. Disattivi il relativo incorporamento o la disinstalli, quindi ripeta il test in una nuova finestra privata.

4. Contatti lo sviluppatore dell'app, Shopify e il Suo fornitore di servizi di pagamento. Contatti Shopify tramite lo Shopify Help Center e chieda allo sviluppatore gli orari esatti in cui il codice è stato eseguito sul Suo negozio.

5. Segnali il dominio falso a Google Safe Browsing, cambi le password come indicato nel passaggio 6 e chieda a un consulente legale se è tenuto a informare i clienti interessati.

[Torna al Sommario]

App di sicurezza per Shopify che possono essere d'aiuto

Nessuna app dello Shopify App Store individua in modo affidabile un attacco come questo, quindi il test in finestra privata resta il controllo più importante. Le app possono comunque aiutarLa a notare manomissioni, vedere chi ha modificato cosa e ripristinare il tema. Abbiamo verificato queste schede il 21 ottobre 2026.

I backup non rilevano nulla, ma consentono di ripristinare un tema pulito in pochi minuti. Gli scanner dei temi e i registri delle modifiche vedono solo i file del tema, quindi non avrebbero rilevato la maggior parte di questo attacco. CartShark è l'unica app dell'App Store che abbiamo trovato in grado di monitorare gli script nei browser degli acquirenti reali, ma è nuova su Shopify, quindi la provi durante il periodo di prova. Valutazioni e prezzi cambiano, quindi controlli ogni scheda prima dell'installazione.

[Torna al Sommario]

Monitorare il negozio con PCrisk Trust Badge

PCrisk Trust Badge continua a controllare il Suo negozio dall'esterno ogni 24 ore, così come lo vedono i servizi di sicurezza e gli acquirenti.

• Cosa controlla: il servizio verifica il Suo negozio con oltre 90 motori di sicurezza e 10 database di minacce e scansiona i file caricati dalle Sue pagine, il tutto riassunto in un punteggio di affidabilità nel pannello di amministrazione di Shopify.
• Con quale frequenza: il piano gratuito esegue una scansione al mese e La avvisa via email se il negozio viene segnalato. Premium, a $19/mese con una prova di 14 giorni, esegue scansioni ogni giorno.
• Cosa vedono gli acquirenti: Premium aggiunge un badge che, se cliccato, apre il rapporto di scansione aggiornato e datato, e che si nasconde automaticamente se una scansione non va a buon fine.

Dopo uno spavento come questo, gli acquirenti sono più attenti a dove inseriscono i dati della carta. Un badge supportato da un rapporto indipendente e datato offre loro qualcosa che possono verificare autonomamente.

[Torna al Sommario]

In conclusione

Il dirottamento del checkout di Shopify di ottobre 2026 non ha violato il checkout di Shopify. Ha rivolto app affidabili contro i negozi che le avevano installate. La nostra raccomandazione per i titolari di negozi online è di mantenere meno app, lasciare vuoti i campi di codice personalizzato, utilizzare l'autenticazione in due passaggi e testare il checkout in una finestra privata oggi stesso, dopo ogni nuova app o aggiornamento, e successivamente una volta al mese.

Ottenga il PCrisk Trust Badge per Shopify

[Torna al Sommario]

Domande frequenti (FAQ)

Shopify è stato violato a ottobre 2026?

Non ci sono prove pubbliche che Shopify stesso sia stato violato. Gli aggressori hanno modificato le impostazioni di app di terze parti disponibili sulla piattaforma Shopify, e quel codice delle app reindirizzava gli acquirenti prima che il checkout di Shopify venisse caricato.

Quali app Shopify sono state coinvolte nel dirottamento del checkout?

Al 21 ottobre 2026, gli sviluppatori di Hulk Product Options, Selleasy e Swym Wishlist Plus hanno confermato gli incidenti. Altre app sono state citate dai commercianti, ma senza conferma.

Il mio test del checkout sembrava normale. Il mio negozio è al sicuro?

Significa che durante quel test non è stato rilevato nulla. Lo ripeta in nuove finestre private, dal riquadro del carrello e da un telefono, e chieda agli sviluppatori delle Sue app se il Suo negozio è stato colpito in precedenza.

Devo disinstallare Hulk Product Options, Selleasy o Swym Wishlist Plus?

Segua l'avviso più recente di ciascuno sviluppatore. Se non ha bisogno dell'app, disinstallarla è il modo più semplice per eliminare il rischio.

Cosa devono fare i clienti che hanno inserito i dati della carta in un falso checkout?

Devono contattare immediatamente l'emittente della carta, far bloccare e sostituire la carta e controllare gli estratti conto per individuare eventuali pagamenti sconosciuti.

Cosa sta facendo Shopify per evitare che ciò accada di nuovo?

Shopify ha chiesto a ogni sviluppatore di app di adottare misure di sicurezza durante la settimana del 20 ottobre 2026 e ha dichiarato che limiterà ciò che il codice delle app può fare nelle vetrine, restringerà i contesti in cui funzionano le chiavi delle app e innalzerà i requisiti di sicurezza dell'App Store, con tempistiche che verranno comunicate in seguito.

Come faccio a sapere se il mio account Shopify è stato violato?

I segnali di allarme includono avvisi di accesso che non riconosce, membri dello staff o collaboratori che non ha aggiunto, un conto per i pagamenti modificato e modifiche al tema che nessuno del Suo team ha effettuato. Attivi l'autenticazione in due passaggi, cambi la password e contatti l'assistenza Shopify se nota uno di questi segnali.

[Inizio pagina]