Détournement du paiement Shopify : comment vérifier votre boutique en 10 minutes

Détournement du paiement Shopify : comment vérifier votre boutique en 10 minutes

En octobre 2026, des attaquants ont détourné plusieurs applications Shopify populaires et les ont utilisées pour envoyer les acheteurs qui cliquaient sur Paiement vers de fausses pages de paiement. La fausse page collectait les informations de carte bancaire, puis redirigeait l'acheteur vers la véritable page de paiement de la boutique, de sorte que la commande aboutissait et que personne ne remarquait rien.

Ce guide explique ce qui s'est passé lors du détournement du paiement Shopify et vous présente une vérification que tout propriétaire de boutique peut effectuer en 10 minutes environ. Il explique également quoi faire si vous détectez une redirection et quelles applications Shopify peuvent vous aider.

Analysez votre boutique avec PCrisk Website Scanner

Table des matières :

• Introduction
• Ce qui s'est passé lors du détournement du paiement Shopify
• Comment fonctionnait la fausse page de paiement
• Étape 1 : Testez votre paiement dans une fenêtre privée (3 minutes)
• Étape 2 : Passez en revue vos applications installées (2 minutes)
• Étape 3 : Vérifiez quelles intégrations d'applications sont activées (1 minute)
• Étape 4 : Examinez les champs de code personnalisé (1 minute)
• Étape 5 : Recherchez dans le code de votre thème (1 minute)
• Étape 6 : Sécurisez les mots de passe et les accès (1 minute)
• Étape 7 : Analysez votre boutique depuis l'extérieur (1 minute)
• Applications de sécurité Shopify qui peuvent vous aider
• Surveiller votre boutique avec PCrisk Trust Badge
• En conclusion
• Foire aux questions (FAQ)

Ce qui s'est passé lors du détournement du paiement Shopify

Le 10 octobre 2026, le développeur Roman Zipp a cliqué sur le bouton de paiement d'une boutique Shopify et a été redirigé vers une page de paiement sur un domaine inconnu. Il a remonté la piste jusqu'à l'application Hulk Product Options et a documenté l'attaque. En quelques jours, deux autres développeurs d'applications ont confirmé des incidents similaires.

Des marchands ont cité d'autres applications dans des commentaires publics, mais leurs développeurs n'ont confirmé aucun lien, c'est pourquoi nous ne les mentionnons pas ici.

Shopify a-t-il lui-même été piraté ? Aucune preuve publique ne l'indique. L'attaque s'exécutait sur les pages des boutiques et redirigeait les acheteurs avant le chargement de la page de paiement de Shopify. Shopify a supprimé le code de toutes les boutiques concernées et, comme un porte-parole l'a déclaré à iTnews, Shopify intervient lorsqu'une application ne respecte pas ses normes.

Ce que Shopify change. Le 20 octobre, Shopify a demandé à tous les développeurs d'applications d'appliquer dans la semaine une liste de mesures de sécurité, comme l'activation de l'authentification en deux étapes pour tous leurs comptes et le passage à des jetons d'accès de courte durée. La plateforme a également annoncé qu'elle allait restreindre ce que les applications peuvent faire sur les vitrines des boutiques, exiger que les clés d'application ne fonctionnent qu'à partir des serveurs propres du développeur et renforcer les exigences de sécurité de l'App Store.

[Retour à la Table des Matières]

Comment fonctionnait la fausse page de paiement

Chaque application ajoute un script à la vitrine de la boutique au moyen d'une intégration d'application. Le script lui-même était sain, mais il chargeait les paramètres de l'application depuis le serveur du développeur, et les attaquants avaient inséré du JavaScript supplémentaire dans ces paramètres. Ce code attendait un clic sur le bouton de paiement, ouvrait une page de paiement imitant la vraie sur un domaine se terminant par .top puis, une fois que l'acheteur avait saisi ses coordonnées bancaires, le renvoyait vers la véritable page de paiement.

Trois éléments rendaient l'attaque difficile à repérer :

• Elle ne se déclenchait qu'une seule fois par session de navigation, si bien qu'un second test pouvait sembler sain.
• Les fichiers du thème n'étaient généralement pas modifiés, car le code provenait du serveur du développeur de l'application.
• Les commandes semblaient normales, car l'acheteur payait tout de même sur la véritable page de paiement.

Parmi les domaines signalés figurent biliing[.]top, checkout-confirm[.]top, order-confirm[.]top, account-confirm[.]top, billing-confirm[.]top, checkout-guard[.]top et checkout-secure[.]top. Ne les visitez pas.

[Retour à la Table des Matières]

Étape 1 : Testez votre paiement dans une fenêtre privée (3 minutes)

Il s'agit de la vérification la plus importante, car c'est la seule qui montre ce que voit un acheteur. Vous n'avez rien à payer.

1. Ouvrez une nouvelle fenêtre privée. Fermez toutes les fenêtres privées éventuellement ouvertes, puis ouvrez-en une nouvelle (navigation privée dans Chrome, fenêtre privée dans Safari ou navigation privée dans Firefox).

2. Ajoutez un produit et appuyez sur le bouton de paiement habituel. Utilisez le bouton de paiement standard, et non Shop Pay, PayPal ou tout autre bouton de paiement express.

3. Lisez la barre d'adresse avant de saisir quoi que ce soit. Une véritable page de paiement Shopify s'ouvre sur votre propre domaine, ou sur your-store.myshopify.com, et affiche le nom de votre boutique.

4. Répétez l'opération à partir de chaque bouton de paiement. Refaites le test dans une nouvelle fenêtre privée depuis le panier latéral, la page du panier et tout bouton  « Acheter maintenant », puis une fois sur votre téléphone.

Shop Pay peut s'ouvrir sur shop.app, et PayPal ou la vérification de sécurité d'une banque peuvent ouvrir leurs propres pages, ce qui est normal. Le signal d'alerte est un domaine inconnu, en particulier se terminant par .top, qui demande des coordonnées bancaires juste après avoir cliqué sur le bouton de paiement.

[Retour à la Table des Matières]

Étape 2 : Passez en revue vos applications installées (2 minutes)

1. Ouvrez la liste de vos applications. Dans votre interface administrateur Shopify, accédez à  « Paramètres », puis à  « Applications ».

2. Recherchez les applications citées ci-dessus et tout ce que vous ne reconnaissez pas. Si vous utilisez l'une des applications concernées (Hulk Product Options, Selleasy (Upsell & Cross Sell), Swym Wishlist Plus), suivez le dernier avis du développeur.

3. Vérifiez à quoi chaque application a accès. Cliquez sur les trois points à côté d'une application et choisissez « Afficher les détails ». La section Activité et autorisations indique ce que l'application peut consulter ou modifier. Une application disposant d'un  « Accès en modification à votre boutique en ligne » peut modifier votre thème.

4. Désinstallez ce que vous n'utilisez plus. Chaque application supprimée est du code que personne ne pourra retourner contre vous.

5. Demandez aux développeurs de vos applications de vitrine ce qu'ils ont fait. Envoyez-leur un court e-mail pour leur demander s'ils ont appliqué les mesures de sécurité demandées par Shopify le 20 octobre. Shopify rend les développeurs responsables d'informer les marchands touchés par un problème de sécurité, alors lisez également leurs e-mails.

Vous pouvez aussi vérifier votre boutique depuis l'extérieur avec Koala Inspector, une extension Chrome qui indique le thème et les applications utilisés par une boutique Shopify. Ouvrez votre vitrine avec l'extension activée et comparez sa liste à celle de vos applications installées : une application que vous ne reconnaissez pas, ou que vous pensiez avoir supprimée, mérite un examen plus approfondi.

[Retour à la Table des Matières]

Étape 3 : Vérifiez quelles intégrations d'applications sont activées (1 minute)

Les intégrations d'applications permettent aux applications d'ajouter des scripts à chaque page de votre boutique, et c'est par ce biais que cette attaque est passée.

1. Ouvrez l'éditeur de thème. Accédez à  « Boutique en ligne », puis à  « Thèmes », et cliquez sur  « Modifier le thème » à côté de votre thème actif.

2. Ouvrez le panneau Intégrations d'applications. Cliquez sur l'icône « Intégrations d'applications » dans la barre latérale gauche pour afficher toutes les applications pouvant exécuter du code sur votre vitrine.

3. Désactivez ce dont vous n'avez pas besoin. Désactivez les intégrations des applications que vous n'utilisez plus, que vous ne reconnaissez pas ou qui sont citées dans un avis de sécurité, puis cliquez sur Enregistrer.

[Retour à la Table des Matières]

Étape 4 : Examinez les champs de code personnalisé (1 minute)

Le code malveillant se trouvait dans des paramètres d'application acceptant du JavaScript ou du HTML personnalisé. Ouvrez chaque application qui affiche quelque chose sur votre vitrine, comme des options de produit, des ventes incitatives, des listes de souhaits ou des fenêtres contextuelles, et recherchez des champs intitulés code personnalisé, JavaScript personnalisé ou HTML personnalisé. Si un champ contient du code qu'aucun membre de votre équipe n'a ajouté, faites une capture d'écran et contactez le développeur de l'application.

[Retour à la Table des Matières]

Étape 5 : Recherchez dans le code de votre thème (1 minute)

Lors du second incident de Swym, des scripts ont été ajoutés aux fichiers de thème, et Swym demande aux marchands de rechercher un marqueur spécifique dans leurs thèmes.

1. Ouvrez l'éditeur de code. Accédez à « Boutique en ligne », puis à « Thèmes », cliquez sur les trois points à côté de votre thème actif et choisissez « Modifier le code ».

2. Recherchez dans tous les fichiers. Cliquez sur l'icône de recherche dans la barre latérale gauche, recherchez checkout-guard, ainsi que chacun des domaines indiqués ci-dessus, en les saisissant sans les crochets.

L'absence de résultats est une bonne nouvelle, mais cela ne concerne que votre thème. Le code qu'une application charge depuis son propre serveur n'apparaît jamais ici, c'est pourquoi les étapes 1-4 sont importantes.

[Retour à la Table des Matières]

Étape 6 : Sécurisez les mots de passe et les accès (1 minute)

1. Activez l'authentification en deux étapes. Ouvrez votre profil dans l'interface administrateur Shopify, accédez à « Sécurité » et activez-la, puis rendez-la obligatoire pour tous les comptes du personnel (guide de Shopify).

2. Passez en revue le personnel et les collaborateurs. Accédez à « Paramètres », puis à « Utilisateurs ». Supprimez toute personne qui n'a plus besoin d'accès et consultez le journal d'activité des utilisateurs sur la page Sécurité.

3. Changez les mots de passe de vos tableaux de bord d'applications. De nombreuses applications disposent de leur propre identifiant sur leur site web. Changez ces mots de passe ainsi que votre mot de passe Shopify.

[Retour à la Table des Matières]

Étape 7 : Analysez votre boutique depuis l'extérieur (1 minute)

Enfin, vérifiez comment votre boutique apparaît aux services de sécurité sur lesquels s'appuient les navigateurs et les fournisseurs de messagerie. Si votre domaine a été signalé pour malware ou phishing, mieux vaut le savoir avant vos clients.

1. Ouvrez le PCrisk Website Scanner. Rendez-vous sur scanner.pcrisk.com. L'analyse est gratuite et ne nécessite pas de créer de compte.

2. Saisissez l'adresse de votre boutique et cliquez sur « Vérifier le site web ».

3. Lisez le rapport. Il indique si plus de 90 moteurs de sécurité et 10 bases de données de menaces signalent votre domaine, ce qu'a révélé l'analyse des fichiers de votre page d'accueil, ainsi qu'un score de confiance de 0 à 100.

Une analyse externe ne clique pas sur votre bouton de paiement : elle complète donc le test en fenêtre privée de l'étape 1 sans le remplacer.

Si votre page de paiement redirige

1. Recueillez des preuves. Faites une capture d'écran montrant la barre d'adresse et notez l'heure ainsi que le bouton sur lequel vous avez cliqué.

2. Empêchez de nouveaux acheteurs d'atteindre la fausse page. Accédez à « Boutique en ligne », puis à « Préférences », et activez le « Mode privé » sous Accès à la boutique (guide de Shopify).

3. Désactivez l'application suspecte. Désactivez son intégration d'application ou désinstallez-la, puis refaites le test dans une nouvelle fenêtre privée.

4. Contactez le développeur de l'application, Shopify et votre prestataire de paiement. Contactez Shopify via le Shopify Help Center et demandez au développeur les heures exactes auxquelles le code s'est exécuté sur votre boutique.

5. Signalez le faux domaine à Google Safe Browsing, changez vos mots de passe comme indiqué à l'étape 6 et demandez à un conseiller juridique si vous devez informer les clients concernés.

[Retour à la Table des Matières]

Applications de sécurité Shopify qui peuvent vous aider

Aucune application du Shopify App Store ne détecte de manière fiable une attaque comme celle-ci : le test en fenêtre privée reste donc votre vérification la plus importante. Les applications peuvent néanmoins vous aider à repérer des modifications malveillantes, à savoir qui a modifié quoi et à restaurer une version antérieure de votre thème. Nous avons vérifié ces fiches le 21 octobre 2026.

Les sauvegardes ne détectent rien, mais elles vous permettent de restaurer un thème sain en quelques minutes. Les scanners de thème et les journaux de modifications ne voient que les fichiers du thème : ils seraient donc passés à côté de la majeure partie de cette attaque. CartShark est la seule application de l'App Store que nous avons trouvée qui surveille les scripts dans les navigateurs des véritables acheteurs, mais elle est récente sur Shopify, alors testez-la pendant la période d'essai. Les notes et les prix évoluent : vérifiez donc chaque fiche avant l'installation.

[Retour à la Table des Matières]

Surveiller votre boutique avec PCrisk Trust Badge

PCrisk Trust Badge vérifie votre boutique depuis l'extérieur toutes les 24 heures, telle que la voient les services de sécurité et les acheteurs.

• Ce qu'il vérifie : le service analyse votre boutique à l'aide de plus de 90 moteurs de sécurité et 10 bases de données de menaces, et examine les fichiers chargés par vos pages, le tout résumé sous forme de score de confiance dans votre interface administrateur Shopify.
• À quelle fréquence : la formule gratuite effectue une analyse par mois et vous envoie un e-mail si votre boutique est signalée. La formule Premium, à $19/mois avec un essai de 14 jours, effectue une analyse chaque jour.
• Ce que voient les acheteurs : la formule Premium ajoute un badge qui, au clic, ouvre le rapport d'analyse en direct et daté, et qui se masque automatiquement si une analyse échoue.

Après une alerte de ce type, les acheteurs font davantage attention à l'endroit où ils saisissent leurs coordonnées bancaires. Un badge appuyé par un rapport indépendant et daté leur offre un moyen de vérifier par eux-mêmes.

[Retour à la Table des Matières]

En conclusion

Le détournement du paiement Shopify d'octobre 2026 n'a pas compromis le système de paiement de Shopify. Il a retourné des applications de confiance contre les boutiques qui les avaient installées. Nous recommandons aux propriétaires de boutiques en ligne de limiter le nombre d'applications, de laisser vides les champs de code personnalisé, d'utiliser l'authentification en deux étapes et de tester leur page de paiement dans une fenêtre privée dès aujourd'hui, après chaque nouvelle application ou mise à jour, puis une fois par mois.

Obtenez le PCrisk Trust Badge pour Shopify

[Retour à la Table des Matières]

Foire aux questions (FAQ)

Shopify a-t-il été piraté en octobre 2026 ?

Aucune preuve publique n'indique que Shopify lui-même a été piraté. Les attaquants ont modifié les paramètres d'applications tierces disponibles sur la plateforme Shopify, et le code de ces applications redirigeait les acheteurs avant le chargement de la page de paiement de Shopify.

Quelles applications Shopify ont été touchées par le détournement du paiement ?

Au 21 octobre 2026, les développeurs de Hulk Product Options, Selleasy et Swym Wishlist Plus ont confirmé des incidents. D'autres applications ont été citées par des marchands, sans confirmation.

Mon test de paiement semblait normal. Ma boutique est-elle sûre ?

Cela signifie que rien n'a été détecté lors de ce test. Répétez-le dans de nouvelles fenêtres privées, depuis le panier latéral et sur un téléphone, et demandez aux développeurs de vos applications si votre boutique a été touchée auparavant.

Dois-je désinstaller Hulk Product Options, Selleasy ou Swym Wishlist Plus ?

Suivez le dernier avis de chaque développeur. Si vous n'avez pas besoin de l'application, la désinstaller est le moyen le plus simple d'éliminer le risque.

Que doivent faire les clients qui ont saisi leurs coordonnées bancaires sur une fausse page de paiement ?

Ils doivent appeler immédiatement l'émetteur de leur carte, faire bloquer et remplacer la carte, et vérifier leurs relevés pour détecter tout paiement inconnu.

Que fait Shopify pour éviter que cela ne se reproduise ?

Shopify a demandé à tous les développeurs d'applications de prendre des mesures de sécurité durant la semaine du 20 octobre 2026, et a annoncé qu'il allait restreindre ce que le code des applications peut faire sur les vitrines, limiter les endroits où les clés d'application fonctionnent et renforcer les exigences de sécurité de l'App Store, avec un calendrier à venir.

Comment savoir si mon compte Shopify a été piraté ?

Parmi les signes d'alerte figurent des alertes de connexion que vous ne reconnaissez pas, des membres du personnel ou des collaborateurs que vous n'avez pas ajoutés, un compte de versement modifié et des modifications du thème qu'aucun membre de votre équipe n'a effectuées. Activez l'authentification en deux étapes, changez votre mot de passe et contactez l'assistance Shopify si vous constatez l'un de ces signes.

[Haut de la page]