CÂU CHUYỆN KHÁCH HÀNG - SHOPIFY APPLICATION SECURITY
Ứng cứu sự cố và kiểm thử bảo mật PENTEST ứng dụng ShineTrust trên Shopify
Khi ứng dụng Product Labels & Badges Shine bị hạn chế hoạt động sau sự cố chuyển hướng, IPSIP Việt Nam đã phối hợp xác minh nguyên nhân, kiểm soát phạm vi ảnh hưởng và kiểm thử chuyên sâu Web/API.
6 phát hiện bảo mật, gồm một lỗ hổng Critical với CVSS 9.0, đã được khắc phục và xác nhận qua retest.
Ứng dụng Shopify
CVSS 9.0
PENTEST
ISO 27001:2022
SOC 2 Type II
BỐI CẢNH VÀ NHU CẦU DOANH NGHIỆP
Khi sự cố bảo mật làm gián đoạn ứng dụng trên Shopify đang phục vụ merchant toàn cầu
Shopify phát hiện dấu hiệu chuyển hướng bất thường liên quan đến Product Labels & Badges Shine và hạn chế hoạt động của extension. Khi các tính năng không còn vận hành đầy đủ trên storefront, ShineCommerce cần nhanh chóng xác định nguyên nhân, kiểm soát phạm vi ảnh hưởng và chứng minh ứng dụng đã được khắc phục an toàn.
HỒ SƠ KHÁCH HÀNG
S
ShineCommerce
Đơn vị phát triển các sản phẩm và giải pháp thương mại điện tử trên Shopify, phục vụ khách hàng tại nhiều thị trường.
Năm thành lập
2012
Phạm vi khách hàng
Quốc tế
Quy mô sử dụng
>10.000
khách hàng sử dụng sản phẩm mỗi ngày
Sản phẩm cần PENTEST
ShineTrust
Product Labels & Badges cho Shopify
Vấn đề cần giải quyết
3 yêu cầu quan trọng sau sự cố
Xác định nguyên nhân và phạm vi ảnh hưởng
Truy vết nguồn lộ thông tin xác thực, làm rõ cách bên tấn công tiếp cận hệ thống và xác định các cửa hàng, dữ liệu bị tác động.
Kiểm soát sự cố và loại bỏ mã chuyển hướng
Vô hiệu hóa thông tin xác thực đã lộ, cô lập cơ sở dữ liệu và làm sạch nội dung độc hại khỏi mô tả sản phẩm cùng dữ liệu Trust Badge.
Kiểm chứng ứng dụng và hoàn thiện hồ sơ
Kiểm thử Grey-box toàn diện Web/API, retest các biện pháp khắc phục và cung cấp báo cáo kỹ thuật phục vụ quá trình làm việc với Shopify.
Incident Response
Grey-box Pentest
Web & API
Retest
PHÂN TÍCH SỰ CỐ
Một điểm lộ thông tin mở ra hai đường chèn mã chuyển hướng
Quá trình điều tra cho thấy mã chuyển hướng không nằm sẵn trong ứng dụng. Sự cố bắt đầu khi thông tin nhạy cảm bị đưa vào frontend và được sử dụng để tiếp cận hệ thống phía sau.
01
Thông tin nhạy cảm xuất hiện trên frontend
App Secret và thông tin kết nối cơ sở dữ liệu bị đưa vào bản build JavaScript phía người dùng.
02
Quyền truy cập hệ thống bị khai thác
Bên tấn công tiếp cận cơ sở dữ liệu và các token ứng dụng sử dụng để làm việc với Shopify.
Shopify Admin API
Mã chuyển hướng được chèn vào phần mô tả sản phẩm của merchant.
Dữ liệu Trust Badge
Các bản ghi chứa nội dung chuyển hướng được tạo trong cơ sở dữ liệu ứng dụng.
TÁC ĐỘNG TRÊN STOREFRONT
Khi người mua nhấn vào một số nút quan trọng, mã được chèn có thể chuyển họ đến tên miền do bên tấn công kiểm soát.
ĐIỂM ĐÁNG CHÚ Ý
Hai đường tấn công sử dụng hai nguồn dữ liệu khác nhau. Chỉ làm sạch mô tả sản phẩm là chưa đủ; doanh nghiệp phải đồng thời rà soát dữ liệu ứng dụng và vô hiệu hóa toàn bộ thông tin xác thực đã bị lộ.
PHẠM VI ẢNH HƯỞNG
Phạm vi sự cố được xác định bằng dữ liệu
IPSIP Việt Nam đối chiếu nhật ký Shopify API, dữ liệu ứng dụng và dấu vết sự cố để xác định phạm vi ảnh hư ởng theo từng hướng tấn công.
45
cửa hàng ghi nhận hoạt động truy cập hoặc dò tìm bằng token ở chế độ chỉ đọc
33
Mô tả sản phẩm
Đã làm sạch trước 29/09/2026
Phát hiện mã chuyển hướng được chèn vào phần mô tả sản phẩm.
17
Bản ghi Trust Badge
Đã vô hiệu hóa trước 03/10/2026
Phát hiện các bản ghi chứa payload chuyển hướng trong ứng dụng.
Lưu ý: Hai nhóm 33 và 17 cửa hàng thuộc hai hướng tấn công khác nhau và có thể trùng lặp, không cộng thành 50 cửa hàng riêng biệt.
ỨNG CỨU SỰ CỐ & PENTEST WEB/API
Điều tra sự cố, kiểm thử xâm nhập và xác nhận khắc phục
IPSIP Việt Nam kết hợp ứng cứu sự cố với Pentest Web/API trên cùng một dự án: vừa kiểm soát rủi ro đang hiện hữu, vừa mô phỏng các kỹ thuật tấn công thực tế để phát hiện những điểm yếu có thể tiếp tục bị khai thác.
CONTAIN
02
Cô lập và làm sạch sự cố
Loại bỏ secret khỏi frontend, thay đổi thông tin xác thực, vô hiệu hóa token cũ, cô lập MongoDB và làm sạch nội dung độc hại trên mô tả sản phẩm cùng dữ liệu Trust Badge.
REMEDIATE
Khắc phục và gia cố ứng dụng
04
Một lỗ hổng Critical và năm lỗ hổng Medium được xử lý. Hệ thống được bổ sung kiểm tra dữ liệu phía máy chủ, giới hạn cơ sở dữ liệu, bảo vệ API và kiểm soát truy cập.
05
03
01
INVESTIGATE
Điều tra nguyên nhân và phạm vi
Đối chiếu nhật ký Shopify API, mã nguồn, dữ liệu ứng dụng và dấu vết truy cập để xác định nguyên nhân gốc, hai hướng tấn công và phạm vi cửa hàng bị tác động.
PENTEST WEB/API
Kiểm thử xâm nhập chuyên sâu
IPSIP Việt Nam mô phỏng các kỹ thuật tấn công thực tế để đánh giá xác thực, phiên đăng nhập, phân quyền, xử lý đầu vào, cơ sở dữ liệu, API và các rủi ro trong logic nghiệp vụ.
RETEST & VERIFY
Retest và xác nhận an toàn
IPSIP kiểm thử lại từng phát hiện, xác nhận toàn bộ 6/6 lỗ hổng đã được khắc phục và bổ sung cơ chế kiểm tra hằng ngày nhằm phát hiện nguy cơ tái xuất hiện.
Việc kết hợp ứng cứu sự cố và Pentest Web/API giúp ShineCommerce không chỉ xử lý biểu hiện trước mắt, mà còn phát hiện, khắc phục và kiểm chứng những điểm yếu có thể tạo ra một cuộc tấn công mới.
KẾT QUẢ PENTEST & ỨNG CỨU SỰ CỐ
Các điểm yếu được phát hiện, khắc phục và kiểm chứng lại
IPSIP Việt Nam thực hiện Pentest Web/API sau khi khoanh vùng sự cố. Một lỗ hổng Critical và năm lỗ hổng Medium được phát hiện, xử lý và xác nhận trạng thái Fixed qua retest.
6/6
PENTEST FINDINGS FIXED & VERIFIED
Toàn bộ phát hiện bảo mật trong phạm vi Pentest đã được khắc phục và kiểm thử lại thành công.
38 phút
CRITICAL RESPONSE
Stored XSS CVSS 9.0 được khắc phục và retest sau khi IPSIP gửi cảnh báo.
Web + API
PENTEST SCOPE
Kiểm thử xác thực, phân quy ền, cơ sở dữ liệu, API, dữ liệu đầu vào và logic nghiệp vụ.
0 secret
PRODUCTION BUNDLE
Không còn phát hiện thông tin xác thực nhạy cảm trong frontend production.
Hằng ngày
CONTINUOUS CHECK
Tài nguyên đã làm sạch được kiểm tra lại để phát hiện nguy cơ tái xuất hiện.
Kết quả Pentest xác nhận các lỗ hổng đã được xử lý; đồng thời cơ sở dữ liệu được cô lập, nội dung độc hại được làm sạch và cơ chế phòng ngừa tái diễn được thiết lập.
TỰ ĐÁNH GIÁ RỦI RO
Hệ thống của doanh nghiệp có thể tồn tại chuỗi rủi ro tương tự?
Nhiều điểm yếu riêng lẻ có thể kết nối thành một chuỗi tấn công, đặc biệt với ứng dụng SaaS sử dụng API, token và dữ liệu hiển thị trên hệ thống của khách hàng.
01
Secret xuất hiện trong frontend
Thông tin dành cho server có thể bị đóng gói nhầm vào JavaScript và bị truy cập từ bên ngoài.
CẦN KIỂM TRA
02
Dịch vụ nội bộ có thể truy cập từ Internet
Database, API hoặc giao diện quản trị chưa được giới hạn mạng, xác thực và phân quyền phù hợp.
CẦN KIỂM TRA
03
Token có quyền truy cập rộng được lưu trong database
Khi database bị xâm nhập, token có thể bị sử dụng để thao tác trên nền tảng được kết nối.
CẦN KIỂM TRA
04
Dữ liệu backend được hiển thị trực tiếp trên storefront
Nội dung chưa được làm sạch và mã hóa đầu ra có thể trở thành kênh phân phối mã độc.
CẦN KIỂM TRA
05
Đã khắc phục nhưng chưa thực hiện retest
Xóa mã độc chưa chứng minh rằng nguyên nhân và toàn bộ đường tấn công đã được xử lý.
CẦN KIỂM TRA
Vì sao ShinCommerce lựa chọn PENTEST tại IPSIP Việt Nam?
IPSIP Việt Nam kết hợp năng lực ứng cứu sự cố và kiểm thử bảo mật, giúp doanh nghiệp vừa xử lý vấn đề hiện tại vừa giảm thiểu nguy cơ tái diễn.
Kết hợp ứng cứu sự cố và kiểm thử bảo mật
IPSIP đồng hành từ quá trình xác minh nguyên nhân, đánh giá ảnh hưởng đến kiểm thử chuyên sâu Web/API trong cùng một dự án.
Kiểm thử bám sát rủi ro thực tế
Hoạt động Pentest tập trung vào xác thực, phân quyền, phiên đăng nhập, dữ liệu đầu vào, cơ sở dữ liệu, API và logic nghiệp vụ - những khu vực có thể ảnh hưởng trực tiếp đến người dùng và hoạt động kinh doanh.
Kết quả rõ ràng, có thể hành động
Mỗi phát hiện được phân loại theo mức độ rủi ro, mô tả tác động và đi kèm khuyến nghị cụ thể. IPSIP Việt Nam tiếp tục phối hợp trong quá trình xử lý và retest để xác nhận trạng thái sau khắc phục.
Năng lực được kiểm chứng theo tiêu chuẩn quốc tế
Chứng nhận ISO 27001:2022 và báo cáo chứng thực SOC 2 Type II thể hiện cam kết của IPSIP đối với hệ thống kiểm soát, bảo mật thông tin và chất lượng vận hành dịch vụ.
Lá chắn an ninh mạng vững chắc và tin cậy
IPSIP kết hợp năng lực của đội ngũ bảo mật với hệ sinh thái giải pháp từ SentinelOne, CrowdStrike, Fortinet và Sekoia. Tùy theo phạm vi thực tế, các giải pháp được lựa chọn để hỗ trợ giám sát an ninh, phát hiện và quản lý những mối đe dọa đối với hệ thống doanh nghiệp.
Cách tiếp cận này giúp tăng cường khả năng bảo vệ dữ liệu, hỗ trợ duy trì hoạt động ổn định và nâng cao khả năng ứng phó khi rủi ro an ninh phát sinh.
HÃY CHO CHÚNG TÔI BIẾT VỀ DỰ ÁN CỦA BẠN
... Và đội ngũ của chúng tôi sẽ:
Xử lý yêu cầu của bạn trong vòng 1-2 giờ làm việc.
Phản hồi với một đề xuất chi tiết dựa trên phạm vi và yêu cầu cụ thể của dự án.
Sắp xếp một cuộc gọi chuyên sâu để thảo luận về dự án tương lai và chốt phương án tối ưu.
Ký hợp đồng hợp tác và chính thức khởi động dự án cùng bạn.
Bạn chưa có yêu cầu cụ thể nhưng quan tâm đến năng lực của chúng tôi? Hãy xem Giới thiệu về IPSIP Việt Nam để hiểu rõ hơn về khả năng của đội ngũ.
