E-commerce · Ciberseguridad
Checkout falso en Shopify: cómo revisar tus apps hoy
¿Tu tienda Shopify redirige a un pago falso? Tres apps fueron alteradas en octubre: cómo comprobarlo en 10 minutos y qué apps conviene depurar.
¿Qué pasó con los checkouts falsos en tiendas Shopify?
Entre el 10 y el 14 de octubre de 2026, atacantes alteraron la configuración de tres apps populares de Shopify (Hulk Product Options, Selleasy y Swym Wishlist Plus) para redirigir a compradores a páginas de pago falsas que robaban datos de tarjeta. Shopify no fue vulnerado en su núcleo: el código malicioso entró por los ajustes de las apps. Si tu tienda usa apps con campos de JavaScript personalizado, hoy es buen día para revisarla.
Resumen rápido
- Tres apps afectadas en una misma semana; los proveedores ya retiraron el código y dicen que sus apps son seguras.
- El ataque no tocó los archivos del tema: el script llegaba desde la configuración de la app, por eso revisar el código del tema no lo mostraba.
- El comprador veía la tienda normal y, al pulsar "Pagar", terminaba en un dominio parecido que pedía la tarjeta.
- Según Swym, los pagos con billeteras como Shop Pay, PayPal o Google Pay no se vieron afectados de la misma forma.
- La prueba básica: hacer una compra de prueba en una ventana privada y mirar la dirección del navegador al llegar al pago.
Cronología del ataque
| App | Fecha | Qué explicó el proveedor |
|---|---|---|
| Hulk Product Options | 10 de octubre | Un "exploit" introdujo configuraciones no autorizadas en la extensión del tema. Shopify desactivó la extensión temporalmente y la restauró tras la limpieza. |
| Selleasy | 13 de octubre (07:47 a 15:00 UTC) | Un tercero accedió a una herramienta interna y agregó un script malicioso en los ajustes de algunas tiendas. |
| Swym Wishlist Plus | 14 de octubre (10:06 a 16:32 UTC) | Un cambio de configuración no autorizado cargó un script en algunas tiendas; recomiendan avisar a compradores que digitaron su tarjeta en esa ventana. |
Las declaraciones de cada empresa están recopiladas por el investigador Roman Zipp, quien también documentó cómo funcionaba la redirección: unos 22,7 KB de JavaScript entregados por la propia API de configuración de la app.
Por qué esto es un aviso para cualquier tienda, no solo para las afectadas
El patrón es lo importante: cada app que puede inyectar código en tu tienda es una puerta que tú no controlas. Si el proveedor de la app pierde una credencial, el atacante no necesita entrar a tu Shopify: le basta con cambiar un ajuste en el sistema del proveedor.
Otro proveedor, Qikify, reportó un incidente parecido en julio y atribuyó el origen a una credencial filtrada, y advirtió que hoy las credenciales se escapan por más lados, incluidos asistentes de programación con IA con demasiados permisos.
Para una tienda colombiana, el costo no es solo el contracargo. Los datos de tarjeta y de pedidos son datos personales bajo la Ley 1581, y un cliente que pierde dinero en tu checkout rara vez vuelve, aunque la culpa haya sido de una app.
Cómo revisar tu tienda Shopify en 10 minutos
- Prueba de compra en ventana privada. Abre tu tienda en modo incógnito, desde el celular y desde el computador, agrega un producto y pulsa el botón normal de "Pagar". La dirección debe ser tu dominio o checkout.shopify.com. Un dominio raro (por ejemplo, terminado en .top) significa que estás afectado.
- Lista tus apps con "app embeds". En Tienda online > Temas > Personalizar > Inserciones de apps, mira qué apps cargan código en tu tienda. Desactiva las que no uses.
- Busca campos de JavaScript o HTML personalizado en los ajustes de cada app. Si hay código que nadie de tu equipo puso, bórralo y avisa al proveedor.
- Revisa quién tiene acceso. En Configuración > Usuarios, elimina colaboradores y agencias que ya no trabajan contigo y exige verificación en dos pasos a todos.
- Revisa tokens de apps personalizadas. Si alguien creó una app a medida o conectó una herramienta de IA a tu tienda, confirma qué permisos tiene y quién guarda la credencial.
El ángulo de Zero Azul: menos apps, cada una con un dueño
Cuando recibimos una tienda Shopify para soporte, una de las primeras tareas es la depuración de apps. El criterio que aplicamos es simple y lo recomendamos a cualquier tienda:
| Pregunta sobre cada app | Si la respuesta es "no" |
|---|---|
| ¿Alguien del equipo sabe para qué está instalada? | Desinstalar |
| ¿Mueve una métrica (ventas, ticket promedio, conversión)? | Evaluar reemplazo por una función nativa de Shopify |
| ¿Necesita inyectar JavaScript en el tema para funcionar? | Si la respuesta es sí, incluirla en la prueba de checkout semanal |
| ¿El proveedor tiene un canal de soporte y comunica incidentes? | Buscar una alternativa con mejor historial |
La segunda parte es no depender de que alguien se acuerde de revisar. Por eso en las tiendas que administramos integramos Vigilantte, el monitoreo de seguridad para tiendas Shopify, que revisa apps, configuraciones expuestas y vulnerabilidades conocidas con un reporte semanal, en lugar de esperar a que un cliente reporte el fraude.
Qué hacer si tu tienda fue afectada
- Desactiva la inserción de la app sospechosa y vuelve a hacer la prueba de compra.
- Contacta al proveedor de la app y al soporte de Shopify con la fecha y la URL del dominio falso.
- Si hubo compradores que digitaron tarjeta en esa ventana, avísales para que bloqueen la tarjeta con su banco.
- Revisa tus obligaciones de notificación con tu procesador de pagos y, si aplica, ante la Superintendencia de Industria y Comercio.
Si prefieres que un equipo lo haga por ti, en Zero Azul ofrecemos soporte para tiendas Shopify con auditoría de apps incluida, y servicios de ciberseguridad para el resto de tu operación digital. Si estás armando tu tienda, revisa también qué apps de Shopify necesitas de verdad en Colombia.
Preguntas frecuentes
¿Cómo sé si mi tienda Shopify tiene un checkout falso?
Haz una compra de prueba en una ventana privada, desde celular y computador, y pulsa el botón normal de pago. Si la dirección del navegador muestra un dominio distinto al tuyo o a checkout.shopify.com, tu tienda está redirigiendo a una página falsa.
¿Qué apps de Shopify fueron afectadas en octubre de 2026?
Hulk Product Options el 10 de octubre, Selleasy el 13 de octubre y Swym Wishlist Plus el 14 de octubre. Los tres proveedores retiraron el código malicioso y reforzaron sus accesos.
¿Shopify fue hackeado?
No hay evidencia de que el núcleo de Shopify o su checkout oficial fueran vulnerados. El código malicioso entró por la configuración de apps de terceros instaladas en las tiendas.
¿Debo desinstalar estas apps de mi tienda?
Los proveedores dicen que ya son seguras, pero lo prudente es preguntarte si la necesitas. Si la mantienes, revisa sus campos de código personalizado y haz pruebas de checkout periódicas.
¿Cómo protejo mi tienda Shopify de apps maliciosas?
Instala solo las apps que tengan un uso claro, revisa periódicamente las inserciones de apps del tema, exige verificación en dos pasos a todo el equipo y haz una prueba de compra en ventana privada cada semana.