Attacco al checkout Shopify: cosa è successo e cosa fare

Dal 10 ottobre 2026 alcuni negozi Shopify hanno mostrato ai clienti un finto checkout. Cliccando "Paga", il cliente finiva su una pagina identica a quella vera che copiava i dati della carta e poi lo rimandava al checkout reale: l'ordine andava a buon fine e nessuno si accorgeva di niente. Secondo i fornitori coinvolti, il codice è stato caricato tramite app di terze parti installate nei negozi. È una lezione per chiunque venda online, qualunque sia la piattaforma.

Cosa è successo

La ricostruzione si basa sulle informazioni reperite sul web al 19 ottobre, che citano lo sviluppatore che l'ha scoperto e le comunicazioni dei fornitori:

10 ottobre: lo sviluppatore Roman Zipp nota la pagina falsa mentre compra su un negozio Shopify e la segnala.
Dal 10 al 18 ottobre: HulkApps, Selleasy e Swym confermano che una parte non autorizzata ha modificato ciò che le loro app caricavano su alcuni negozi.
18 ottobre: Swym disattiva la sua app per tutti i negozianti, dopo nuova attività non autorizzata.

Nessuno ha ancora pubblicato come gli attaccanti siano entrati, né quanti negozi e quante carte siano coinvolti.

Come funzionava

Secondo le ricostruzioni, il codice interveniva sul clic su "Paga", nelle pagine del negozio che vengono prima del checkout. Il codice malevolo aspettava il clic, mandava il cliente su un sito falso con un indirizzo diverso, raccoglieva i dati della carta e lo rimandava al checkout vero. Poiché il cliente pagava comunque, chi gestiva il negozio non vedeva nulla negli ordini. Lo standard di sicurezza dei pagamenti (PCI) chiama questa tecnica double-entry skimming.

Non è solo un problema di una piattaforma

Ogni app o script che gira nelle pagine del tuo negozio è codice che qualcuno, fuori dalla tua azienda, può cambiare. Succede su qualsiasi piattaforma, Magento compreso: ne abbiamo parlato con StyleSmuggler e con la patch di ottobre. La differenza sta in chi controlla che cosa.

Perché il controllo conta: Magento, Mage-OS e Adobe Commerce con Hyvä

Su una piattaforma aperta come Magento, Mage-OS o Adobe Commerce sei tu, con il tuo sviluppatore, a decidere quali script possono girare e a verificarlo. Nei fatti:

Politica degli script (CSP). Una CSP dice al browser quali script può eseguire e blocca il resto. Secondo la documentazione di Adobe Commerce, dalla versione 2.4.7 è attiva in modalità restrittiva sulle pagine di pagamento.
Checkout Hyvä. Secondo la documentazione ufficiale, dalla versione 1.3 applica una CSP rigorosa su tutte le pagine di checkout: ogni script richiede un'autorizzazione, nessun codice può essere iniettato dinamicamente. Hyvä dichiara che questo soddisfa i requisiti PCI DSS 4.0.
PCI DSS 4.0. Per le pagine di pagamento chiede di tenere l'elenco degli script e di rilevare le modifiche (requisiti 6.4.3 e 11.6.1, in vigore dal 31 marzo 2025). Ne parliamo in PCI DSS 4.0 e-commerce.

Attenzione: nessuna piattaforma o tema rende conformi da soli. Moduli di terze parti, script di marketing e aggiornamenti vanno controllati nel tempo, e Magento ha le sue vulnerabilità: serve manutenzione. Più controllo significa anche più responsabilità.

Se hai un negozio Shopify

Fai un test del checkout in una finestra privata, dal prodotto fino al pagamento, e guarda se l'indirizzo cambia.
Elenca le app che caricano codice nelle pagine e togli quelle che non servono.
Leggi gli avvisi dei fornitori delle app indicate (HulkApps, Selleasy, Swym).
Non fidarti dei soli ordini: il cliente pagava comunque. Presta attenzione a segnalazioni di pagine strane o di frodi dopo l'acquisto e avvisa il tuo gestore dei pagamenti.

Un checkout sotto controllo

Se vuoi capire quanto è esposto il tuo checkout, o valutare Magento, Mage-OS o Adobe Commerce con checkout Hyvä, ti aiuto con un'analisi dei rischi e con la scelta della piattaforma. Guarda sviluppo e-commerce B2C e replatforming e migrazioni; per tenerlo sotto controllo nel tempo c'è il servizio di manutenzione e supporto.

Vuoi sapere se il tuo checkout è protetto? Richiedi un audit di sicurezza e un preventivo gratuito.

Articolo informativo: i fatti derivano da resoconti pubblici al 19 ottobre 2026 e la situazione è in evoluzione. Non è una consulenza sulla conformità PCI: la classificazione del tuo negozio va verificata con il gestore dei pagamenti.