多款 Shopify 应用被劫持，买家被导向假结账页
Selleasy 和 HulkApps 确认旗下 Shopify 应用被注入恶意脚本，把部分买家跳转到钓鱼付款页。代码已清除，但用第三方插件的独立站都该马上自查。
多款 Shopify 第三方应用被黑客利用，把真实店铺的买家悄悄跳转到假的付款页面。追加销售应用 Selleasy 在官方声明中承认，10 月 13 日遭到「有预谋的网络攻击」，攻击者往「部分店铺」注入了恶意脚本；HulkApps 也表示，其 Hulk Product Options 的主题扩展被植入了未经授权的配置。两家都说恶意代码已经清除。但据澳大利亚科技媒体 iTnews 10 月 16 日报道，Shopify 仍要求至少一家受影响的澳洲店铺保持密码保护、暂停营业，等待调查结果。
具体变化
这次攻击没有攻破 Shopify 结账系统本身，问题出在第三方应用的代码上。应用扩展里的脚本拦截了买家点击「结账」按钮的动作，把人带到 biliing[.]top、checkout-confirm[.]top 等仿冒域名上，页面要求填写信用卡信息。
最早在 10 月 10 日公开这次攻击的开发者 Roman Zipp 发现，脚本在同一个浏览器会话里只触发一次。也就是说，店主用自己常用的浏览器反复测试，很可能什么都看不出来。
| 应用 | 开发商说法 |
|---|---|
| Hulk Product Options（HulkApps） | 漏洞被利用、配置被篡改，跳转只来自这个主题扩展。据 iTnews 报道，Shopify 在清理代码期间临时禁用了该扩展。 |
| Selleasy（Logbase） | 10 月 13 日遇袭，数小时内修复，Shopify 当天确认恶意代码已清除，未发现后台数据泄露。据 iTnews 报道，攻击时段为 UTC 07:47–15:00，应用已从 App Store 下架。 |
另外，Shopify 官方社区里有商家点名 Swym Wishlist Plus，10 月 17 日还有商家报告 Boost Search & Discovery 出现同样问题。这两家开发商目前没有确认，这些说法只能先当作未经证实的线索。
两家已确认的开发商都没有公布受影响店铺数量。Logbase 对 iTnews 表示，Selleasy 的活跃店铺超过 4.9 万家。
对卖家意味着什么
这是一次典型的「供应链攻击」：你的账号密码没泄露，店铺照样可能出事，因为你装的每个应用都能在前台跑代码。装的插件越多、主题扩展和「自定义 JS」用得越多的独立站，风险越大。
损失不只是买家的卡号被盗。被跳转的买家很可能认为是你的店有问题，接下来就是拒付、差评，甚至说你是诈骗网站。如果 Shopify 要求你停业配合调查，停掉的就是旺季前最关键的几天。iTnews 采访的店铺 WAGD，就是买家来投诉才发现被攻击的。
Shopify 的回应是「应用出问题时我们会采取行动」，包括下架应用，同时强调「商家对自己店里的应用保有控制权」。说白了，查插件这件事得卖家自己做。
现在该做什么
- 用无痕窗口做结账测试。 每次都开一个新的无痕窗口，从商品页一路点到付款步骤，看地址栏是不是一直停留在你自己的域名或 Shopify 结账页。
- 逐个检查应用嵌入和自定义脚本。 在主题编辑器里过一遍所有 App embeds；进每个应用后台看有没有不是你写的「Custom JS」。不用的应用直接卸载，并清理残留代码。
- 找开发商书面确认。 如果你用了上面提到的任何一个应用，书面询问你的店铺是否在受影响时段内、脚本在你的店里跑了多久。
- 改密码、开两步验证。 Shopify 员工账号和每个应用后台都要改。
- 提前准备售后。 如果怀疑时段内有订单，主动联系这些买家，盯紧拒付，并按销售地区的规定咨询是否需要做数据泄露通报。