Gekaapte Shopify-apps stuurden klanten naar een nep-checkout: wat je nu checkt

In oktober 2026 kregen klanten van een aantal Shopify-winkels een betaalpagina te zien die niet van de winkel was. Ze vulden hun kaartgegevens in op een nagemaakte pagina, kregen een foutmelding en werden daarna netjes doorgestuurd naar de echte checkout. De bestelling kwam gewoon binnen. De winkelier merkte niets.

De oorzaak zat niet in Shopify zelf. Het zat in apps van derden die op die winkels geïnstalleerd waren. Dit stuk zet op een rij wat bevestigd is, wat niet, en wat je als Shopify-merchant vandaag nog controleert.

Wat is er aan de hand?

Op 10 oktober 2026 zag de Duitse ontwikkelaar Roman Zipp dat een live Shopify-winkel hem bij het afrekenen naar een betaalpagina op het domein biliing[.]top stuurde. Let op de dubbele "i": een lookalike van "billing". Die pagina vroeg om betaal- en persoonsgegevens en stuurde daarna door naar de echte checkout.

Volgens zijn analyse kwam de code niet uit het thema van de winkel. Het bestand van de app op Shopify's CDN was schoon. De kwaadaardige JavaScript werd tijdens het laden opgehaald uit de configuratie-API van de app, uit een veld voor "custom JavaScript". Een functie met de naam "hijack" onderschepte de klik op de checkout-knop.

Drie app-makers hebben inmiddels bevestigd dat hun app op deze manier is misbruikt:

• Hulk Product Options (HulkApps). HulkApps meldt dat "unauthorised configurations" de theme extension van de app hebben aangepast. Shopify heeft de extension tijdelijk uitgeschakeld terwijl de code werd verwijderd.
• Selleasy (Logbase). Volgens Logbase kreeg een onbevoegde toegang tot een interne Selleasy-tool en voegde daarmee een kwaadaardig script toe aan de Selleasy-instellingen van "a number of stores". Dat liep op 13 oktober tussen 07:47 en 15:00 UTC.
• Swym Wishlist Plus (Swym). Op 14 oktober werd volgens rapportages de configuratie aangepast, waarna het script een deel van de winkels bereikte. Een tweede golf volgde op 18 oktober vanaf 21:17 UTC, dit keer via de eigen Shopify-toegang van de app. Swym heeft de app daarna voor alle merchants uitgeschakeld en de credentials ingetrokken.

Twee details maakten dit lastig te ontdekken:

1. Het script vuurde maar één keer per browsersessie. Het zette een vlag in de session storage. Testte je als winkelier je eigen checkout nog een keer in hetzelfde tabblad, dan zag je een normale checkout.
2. De code zat in app-data, niet in je thema. Wie zijn themabestanden vergeleek met een backup, vond niets.

Naast biliing[.]top zijn in rapportages onder meer checkout-confirm[.]top, checkout-guard[.]top en checkout-secure[.]top genoemd. Zie die lijst niet als compleet.

Is Shopify gehackt?

Nee. Geen van de bronnen meldt een inbraak in Shopify's eigen systemen, de Shopify-checkout of de logins van merchants. De aanvallers kwamen binnen via de systemen van individuele app-makers. Daarna gebruikten ze de plek die een app legitiem op je storefront heeft om hun eigen script te laden.

Dat is precies het punt. Een app die code in je storefront mag laden, is een stuk van je winkel. Is de app-maker gehackt, dan draait de code van de aanvaller in jouw winkel, met jouw domein in de adresbalk tot het moment van de redirect.

Shopify zelf heeft geen campagne, app of aantal getroffen winkels publiek benoemd. Tegen iTnews zei een woordvoerder op 17 oktober dat elke app in de App Store aan Shopify's security- en privacy-eisen moet voldoen: "When an app falls short, we act." Dat kan betekenen dat een app uit de App Store wordt gehaald. Op 20 oktober publiceerde Shopify een oproep aan alle app-ontwikkelaars, "Securing your app, together", met maatregelen die ze nog dezelfde week moesten nemen. Shopify kondigt daarin ook strengere grenzen aan voor app-code op de storefront en IP-restricties op API-keys.

Hoeveel apps zijn er uit de App Store gehaald?

Dat is niet betrouwbaar vast te stellen. Er gaan verschillende cijfers rond, en ze komen van partijen die de App Store van buitenaf volgen, niet van Shopify:

• Merchant Fraud Journal noemt 478 verwijderde apps tussen 14 en 22 oktober, op basis van een telling van Revenue Shield, een leverancier van checkout-monitoring.
• Letsmetrix telde 512 apps die tussen 22 september en 21 oktober uit de App Store verdwenen, waarvan 169 in de periode 10 tot en met 20 oktober.

Shopify heeft geen van beide cijfers bevestigd. Belangrijker: een verwijderde app is niet hetzelfde als een gehackte app. Apps verdwijnen ook om heel andere redenen. En let op: delisten blokkeert alleen nieuwe installaties. Een app die al op je winkel staat, blijft gewoon draaien.

Wie loopt risico?

Iedere Shopify-winkel die apps met een storefront-component gebruikt. Dat zijn er veel: product options, upsells, wishlists, reviews, cookiebanners. Alles wat via een app embed of theme extension JavaScript in je winkel laadt.

Extra aandacht als je:

• Hulk Product Options, Selleasy of Swym Wishlist Plus hebt (gehad);
• apps gebruikt met een veld voor eigen JavaScript of "custom code" in de app-instellingen;
• apps hebt staan die je niet meer gebruikt, maar die nog wel een embed in je thema laden.

Andere app-namen zijn door merchants online genoemd, maar daar is geen bevestiging van de app-makers voor. Daarom noemen we ze hier niet als getroffen.

Wat je nu doet: de checklist

1. Test je checkout in een privévenster

Open een nieuw privé- of incognitovenster. Ga naar je winkel, leg een product in de winkelwagen en klik op afrekenen. Kijk naar de adresbalk. Een Shopify-checkout draait op je eigen domein of op een Shopify-domein, niet op een onbekend .top-domein. Herhaal dit in een nieuw privévenster, op desktop en mobiel. Eén test in een tabblad dat je al open had, zegt niets: het script vuurde maar één keer per sessie.

2. Loop je app embeds na

Ga in de theme editor naar App embeds. Zet uit wat je niet herkent of niet gebruikt. Elke actieve embed is code die op elke pagina meeloopt.

3. Controleer custom code in app-instellingen

Open de instellingen van elke app met een veld voor custom JavaScript, custom CSS of "extra code". Staat daar iets dat je team niet zelf heeft toegevoegd? Weghalen en de app-maker benaderen. Dit is precies de plek waar de aanval in de Hulk- en Selleasy-gevallen zat.

4. Bekijk de rechten van je apps

Kijk per app welke permissies hij heeft. Een wishlist-app die je volledige orderdata en thema mag aanpassen, krijgt dat soort toegang alleen als het echt nodig is. Twijfel je, vraag de app-maker waarom.

5. Verwijder apps die je niet gebruikt

Elke app is een leverancier met toegang tot je winkel. Gebruik je hem niet, verwijder hem dan. Controleer na het verwijderen of er geen embed of losse snippet in je thema is achtergebleven.

6. Check je eigen scripts en tracking

Kijk ook naar scripts die buiten apps om in je thema staan: oude tracking-pixels, chatwidgets, A/B-test-snippets. Alles wat je niet meer kunt verklaren, haal je weg.

7. Volg de berichten van je app-makers

Heb je een van de drie bevestigde apps? Lees hun merchant-notificaties en volg hun instructies. Logbase gaf zelf aan dat het mogelijk is dat klanten hun gegevens op de nep-pagina hebben ingevuld.

Hoe check je of jouw winkel is geraakt?

Dat is lastig, omdat de bestelling zelf gewoon doorkwam. Let op deze signalen:

• Klanten die melden dat ze een foutmelding kregen en daarna nog een keer moesten betalen.
• Klachten over onbekende transacties op de kaart van klanten kort na een bestelling bij jou.
• Bestellingen in de tijdvensters die de app-makers noemen, als je die app toen had.
• Een melding van je app-maker of van Shopify dat jouw winkel in de getroffen groep zat.

Denk je dat je geraakt bent? Leg vast wat je ziet (screenshots van de redirect, tijdstippen, welke apps actief waren). Neem contact op met Shopify Support en de app-maker. Vraag juridisch advies over je meldplicht richting klanten en de Autoriteit Persoonsgegevens: of die plicht geldt, hangt af van wat er precies is gebeurd.

Wil je hulp bij het doorlichten van je apps en storefront-code? Lees meer over Shopify security, of laat een security audit doen. Bouw je op Shopify of Shopify Plus, dan kijken we graag mee. Plan een gesprek.