Shopify bị tấn công Checkout Hijack: Website bán hàng chuyển sang trang thanh toán giả
Một chiến dịch Checkout Hijack được phát hiện từ đầu tháng 10/2026 đang ảnh hưởng tới một số cửa hàng Shopify thông qua các ứng dụng bên thứ ba. Mã JavaScript độc hại được tải vào storefront có thể chặn thao tác Checkout và chuyển người mua sang trang thanh toán giả nhằm thu thập thông tin thẻ và dữ liệu cá nhân. Hiện chưa có bằng chứng cho thấy hệ thống checkout cốt lõi của Shopify bị xâm nhập.
Sự cố được ghi nhận từ ngày 10/10/2026, khi các cửa hàng sử dụng một số Shopify app xuất hiện mã JavaScript bất thường trên storefront. Khi người mua nhấn nút Checkout, script có thể chặn hành động này và chuyển họ sang một trang thanh toán bên ngoài được thiết kế gần giống checkout thật.
Các ứng dụng được xác nhận hoặc liên quan trong quá trình điều tra bao gồm Hulk Product Options, Swym Wishlist Plus và Selleasy. Một số ứng dụng khác cũng từng được đề cập trong quá trình mở rộng điều tra, nhưng phạm vi ảnh hưởng giữa từng app chưa hoàn toàn giống nhau.
Điểm quan trọng cần phân biệt là chưa có bằng chứng cho thấy hệ thống checkout cốt lõi của Shopify bị xâm nhập. Hoạt động độc hại được ghi nhận ở lớp storefront và ứng dụng bên thứ ba trước khi người dùng tới checkout chính thức.
Checkout Hijack trên Shopify hoạt động như thế nào?
Cơ chế tấn công được phát hiện trên một số cửa hàng khá trực tiếp nhưng nguy hiểm.
Khi người mua thêm sản phẩm vào giỏ hàng và nhấn Checkout, một đoạn JavaScript độc hại có thể can thiệp vào sự kiện click.
Thay vì để trình duyệt tiếp tục tới trang thanh toán Shopify hợp pháp, script sẽ:
chặn thao tác Checkout;
chuyển người dùng sang một tên miền do kẻ tấn công kiểm soát;
hiển thị giao diện checkout giả;
yêu cầu người mua nhập thông tin cá nhân và dữ liệu thẻ;
trong một số trường hợp, sau đó có thể đưa người dùng trở lại luồng mua hàng thật.
Những tên miền được ghi nhận trong quá trình điều tra bao gồm các địa chỉ như:
biliing[.]top
checkout-confirm[.]top
order-confirm[.]top
account-confirm[.]top
billing-confirm[.]top
Các tên miền này không thuộc hệ thống thanh toán chính thức của Shopify. Điểm khiến cuộc tấn công khó phát hiện là việc chuyển hướng không nhất thiết xảy ra ở mọi lần truy cập.
Mã độc được đưa vào storefront bằng cách nào?
Điểm đáng chú ý nhất của sự cố nằm ở chuỗi cung ứng ứng dụng.
Trên một số trường hợp được phân tích, mã JavaScript độc hại không nằm trực tiếp trong theme Shopify của merchant. Thay vào đó, code được cung cấp thông qua API hoặc cơ chế cấu hình của ứng dụng bên thứ ba.
Điều này có nghĩa merchant có thể kiểm tra source code của theme nhưng vẫn không tìm thấy script độc hại, bởi đoạn mã được tải động khi storefront hoạt động.
Khi một Shopify app có quyền tải JavaScript lên storefront, hệ thống của nhà phát triển app cũng trở thành một phần trong chuỗi bảo mật của merchant.
Những Shopify app nào được xác nhận liên quan?
Tính tới các cập nhật giữa tháng 10/2026, ba ứng dụng được xác nhận rõ nhất gồm:
Hulk Product Options
HulkApps cho biết cấu hình trái phép đã làm thay đổi theme extension và khiến một số phiên checkout bị chuyển tới trang thanh toán bên ngoài.
Ứng dụng sau đó được gỡ khỏi Shopify App Store trong thời gian xử lý sự cố.
Selleasy
Đơn vị phát triển Selleasy xác nhận một bên không được phép đã truy cập công cụ nội bộ và thêm script độc hại vào cấu hình của một số cửa hàng.
Hoạt động này được ghi nhận ngày 13/10/2026.
Script sau đó được loại bỏ, chức năng Custom JavaScript được khóa trong quá trình xử lý và cơ chế xác thực của công cụ nội bộ được tăng cường.
Swym Wishlist Plus
Swym ghi nhận một thay đổi trái phép trong cấu hình ứng dụng khiến script xuất hiện trên một nhóm storefront.
Người mua nhấn Checkout trên những trang bị ảnh hưởng có thể được chuyển tới website bên ngoài có giao diện giả mạo trang thanh toán.
Phạm vi tổng thể của chiến dịch vẫn chưa được công bố đầy đủ, vì các nhà phát triển ứng dụng khác nhau ghi nhận những khoảng thời gian và mức độ ảnh hưởng khác nhau.
Người mua có thể mất những dữ liệu nào?
Mục tiêu trực tiếp của checkout phishing là thu thập dữ liệu người mua trong thời điểm họ có ít lý do để nghi ngờ nhất: ngay khi chuẩn bị thanh toán một đơn hàng thật.
Trang checkout giả có thể yêu cầu:
họ và tên;
địa chỉ;
email;
số điện thoại;
số thẻ;
ngày hết hạn;
mã bảo mật thẻ;
các dữ liệu phục vụ thanh toán khác.
Điểm nguy hiểm là người mua không nhất thiết bắt đầu từ một email phishing hoặc quảng cáo lạ.
Họ có thể đã:
truy cập đúng website của merchant;
xem đúng sản phẩm;
thêm hàng vào đúng giỏ hàng;
rồi mới bị chuyển hướng ở bước Checkout.
Điều này khiến mô hình tấn công trở nên đáng tin hơn đáng kể so với nhiều hình thức phishing truyền thống.
Sự cố cho thấy Shopify liệu có bị hack?
Hiện chưa có bằng chứng cho thấy hệ thống checkout cốt lõi hoặc toàn bộ nền tảng Shopify bị xâm nhập. Những gì được xác nhận cho tới nay tập trung vào ứng dụng và extension của bên thứ ba được tích hợp vào storefront. Vì vậy, không nên diễn giải sự cố theo hướng “Shopify bị hack toàn hệ thống”.
Sự phân biệt này rất quan trọng vì nó giúp doanh nghiệp xác định đúng phạm vi cần kiểm tra: không chỉ tài khoản Shopify Admin mà còn cả ứng dụng, API, token, hệ thống backend và công cụ quản trị liên quan.
Vì sao đây là rủi ro chuỗi cung ứng đáng chú ý?
Shopify merchant thường sử dụng nhiều ứng dụng để bổ sung:
wishlist;
product options;
upsell;
search;
popup;
analytics;
marketing;
customer support;
giao diện;
automation.
Mỗi app có thể được cấp quyền khác nhau và một số ứng dụng có khả năng tải script trực tiếp lên storefront. Điều này tạo ra một chuỗi tin cậy:
Merchant → Shopify → Third-party App → Backend của App → JavaScript trên trình duyệt khách hàng.
Nếu một mắt xích trong chuỗi bị xâm nhập, kẻ tấn công có thể không cần truy cập trực tiếp vào tài khoản quản trị Shopify của merchant.
Merchant Shopify nên kiểm tra gì ngay lúc này?
1. Kiểm thử checkout bằng trình duyệt sạch
Mở cửa sổ Incognito hoặc Private Browser, thêm sản phẩm vào giỏ hàng và thực hiện thao tác Checkout. Kiểm tra kỹ domain tại từng bước.
Việc chỉ kiểm tra source code chưa chắc phát hiện được sự cố nếu script được tải động từ API bên thứ ba.
2. Rà soát toàn bộ Shopify app đang cài
Xác định:
app nào thực sự cần thiết;
app nào không còn sử dụng;
app nào có quyền chỉnh sửa storefront;
app nào có quyền truy cập dữ liệu;
app nào sử dụng Shopify Admin API.
3. Kiểm tra quyền và tài khoản liên quan
Rà soát:
token;
API credential;
app account;
tài khoản nhân viên;
công cụ quản trị nội bộ;
integration kết nối tới Shopify.
Thông tin xác thực nên được rotate khi có dấu hiệu bất thường hoặc khi chưa thể loại trừ nguy cơ bị lộ.
4. Theo dõi JavaScript được tải trên storefront
Doanh nghiệp cần biết những domain và script nào được phép chạy trên website. Những thay đổi bất thường trong nguồn JavaScript từ bên thứ ba cần được điều tra.
5. Theo dõi phản ánh của khách hàng
Nếu khách hàng báo:
checkout có giao diện lạ;
URL bất thường;
bị yêu cầu nhập thông tin thanh toán hai lần;
bị chuyển hướng sang tên miền khác;
Giải pháp từ IPSIP Việt Nam cho doanh nghiệp Shopify
Với các sự cố dạng Checkout Hijack, việc chỉ gỡ ứng dụng hoặc xóa đoạn JavaScript bất thường chưa đủ để xác nhận hệ thống đã an toàn. Một hướng tiếp cận phù hợp hơn là kết hợp Incident Response, Web/API Pentest và giám sát liên tục.
1. Ứng cứu sự cố và xác minh phạm vi ảnh hưởng
Khi phát hiện storefront chuyển hướng bất thường hoặc checkout xuất hiện domain lạ, ưu tiên đầu tiên là khoanh vùng sự cố.
Doanh nghiệp cần:
xác định script hoặc ứng dụng liên quan;
rà soát log và lịch sử thay đổi cấu hình;
kiểm tra Shopify token, API key và credential;
xác minh tài khoản hoặc công cụ nội bộ có dấu hiệu bị sử dụng trái phép;
loại bỏ nội dung độc hại;
đánh giá dữ liệu và storefront nào đã bị ảnh hưởng;
bảo toàn bằng chứng kỹ thuật phục vụ quá trình điều tra.
Mục tiêu của giai đoạn này là xác định đường tấn công thực tế, thay vì chỉ xử lý biểu hiện chuyển hướng trên giao diện.
2. Kiểm thử Web/API để phát hiện điểm yếu còn tồn tại
Sau khi sự cố được cô lập, dịch vụ Penetration Testing của IPSIP Việt Nam có thể được sử dụng để đánh giá sâu những thành phần liên quan như:
Web application;
API;
authentication;
authorization;
session management;
Shopify token;
secret management;
công cụ quản trị nội bộ;
logic nghiệp vụ;
quyền của integration;
cơ chế cho phép ghi hoặc tải JavaScript lên storefront.
Pentest trong trường hợp này không chỉ nhằm tìm thêm lỗ hổng mà còn giúp xác minh liệu con đường khiến sự cố xảy ra có còn khả năng bị khai thác lại hay không. Sau khi đội kỹ thuật khắc phục, retest nên được thực hiện để xác nhận bản vá hoạt động đúng và điểm yếu không còn có thể khai thác.
IPSIP Việt Nam từng triển khai mô hình tương tự trong case Ứng cứu sự cố và Pentest Shopify cho ShineCommerce – Smind Sections. Sau khi xuất hiện hiện tượng chuyển hướng bất thường trên storefront, quá trình xử lý bao gồm điều tra nguyên nhân, truy vết đường đi của JavaScript trái phép, Grey-box Pentest Web/API và retest sau khắc phục.
3. Bổ sung giám sát liên tục sau khắc phục
Với doanh nghiệp có nhiều storefront, hệ thống backend hoặc third-party integrations, kiểm tra tại một thời điểm chưa đủ để phát hiện mọi hành vi bất thường trong tương lai.
Dịch vụ SOC 24/7 của IPSIP Việt Nam có thể bổ sung lớp giám sát và xác minh cảnh báo liên tục trên các thành phần hạ tầng liên quan.
Doanh nghiệp Shopify nên xây dựng phòng thủ như thế nào?
Checklist cho merchant
Giảm số lượng app không cần thiết.
Rà soát app permissions định kỳ.
Kiểm tra checkout thực tế trên trình duyệt sạch.
Theo dõi domain xuất hiện trong luồng thanh toán.
Bật MFA cho Shopify Admin.
Hạn chế quyền tài khoản nhân viên.
Rotate API key và token khi nghi ngờ rò rỉ.
Theo dõi thay đổi theme và storefront script.
Xây dựng quy trình tiếp nhận phản ánh checkout bất thường từ khách hàng.
Chuẩn bị kế hoạch Incident Response trước khi xảy ra sự cố.
Checklist cho Shopify app developer
Không lưu secret trong frontend.
Không cho công cụ nội bộ ghi script nếu thiếu xác thực mạnh.
Áp dụng Least Privilege cho Shopify token.
Rà soát API có khả năng thay đổi storefront.
Không cho phép Custom JavaScript nếu không thực sự cần.
Ghi log toàn bộ thay đổi cấu hình nhạy cảm.
Yêu cầu MFA hoặc step-up authentication cho thao tác quản trị.
Pentest Web/API định kỳ.
Retest sau khi vá lỗ hổng.
Chuẩn bị Incident Response Plan cho sự cố chuỗi cung ứng.
Góc nhìn chuyên gia từ IPSIP Việt Nam: Bài học lớn nhất từ Checkout Hijack là gì?
Checkout Hijack cho thấy một storefront hợp pháp vẫn có thể trở thành điểm phát tán phishing nếu một thành phần trong chuỗi cung ứng ứng dụng bị xâm nhập.
Vấn đề vì vậy không chỉ nằm ở việc bảo vệ tài khoản Shopify Admin. Merchant và nhà phát triển app cần kiểm soát toàn bộ những thành phần có khả năng chạy code trên trình duyệt khách hàng, từ extension, API, token cho tới công cụ quản trị nội bộ.
Đặc biệt với Shopify app được nhiều merchant sử dụng, một điểm yếu trong hệ thống backend có khả năng mở rộng tác động sang nhiều storefront.
Giảm third-party dependency không cần thiết, kiểm soát quyền, giám sát storefront, chuẩn bị quy trình ứng cứu và kiểm thử Web/API định kỳ là các lớp phòng thủ quan trọng để hạn chế nguy cơ một sự cố tương tự tái diễn.
Nguồn tham khảo
