Sequestro do checkout da Shopify: como verificar a sua loja em 10 minutos

Sequestro do checkout da Shopify: como verificar a sua loja em 10 minutos

Em outubro de 2026, os atacantes sequestraram várias aplicações populares da Shopify e utilizaram-nas para enviar os clientes que clicavam em Checkout para páginas de pagamento falsas. A página falsa recolhia os dados do cartão e, em seguida, reencaminhava o cliente para o checkout real da loja, pelo que a encomenda era concluída e ninguém se apercebia de nada.

Este guia explica o que aconteceu no sequestro do checkout da Shopify e orienta-o numa verificação que qualquer proprietário de loja pode realizar em cerca de 10 minutos. Explica também o que fazer se encontrar um redirecionamento e que aplicações Shopify podem ajudar.

Analise a sua loja com o PCrisk Website Scanner

Índice:

• Introdução
• O que aconteceu no sequestro do checkout da Shopify
• Como funcionava o checkout falso
• Passo 1: Teste o seu checkout numa janela privada (3 minutos)
• Passo 2: Reveja as aplicações instaladas (2 minutos)
• Passo 3: Verifique que incorporações de aplicações estão ativas (1 minuto)
• Passo 4: Examine os campos de código personalizado (1 minuto)
• Passo 5: Pesquise o código do seu tema (1 minuto)
• Passo 6: Proteja as palavras-passe e os acessos (1 minuto)
• Passo 7: Analise a sua loja a partir do exterior (1 minuto)
• Aplicações de segurança da Shopify que podem ajudar
• Monitorizar a sua loja com o PCrisk Trust Badge
• Conclusão
• Perguntas frequentes (FAQ)

O que aconteceu no sequestro do checkout da Shopify

Em 10 de outubro de 2026, o programador Roman Zipp clicou em Checkout numa loja Shopify e foi redirecionado para uma página de pagamento num domínio desconhecido. Rastreou a origem até à aplicação Hulk Product Options e documentou o ataque. Em poucos dias, mais dois programadores de aplicações confirmaram incidentes semelhantes.

Os comerciantes mencionaram outras aplicações em comentários públicos, mas os respetivos programadores não confirmaram qualquer ligação, pelo que não as incluímos aqui.

A própria Shopify foi pirateada? Não existem provas públicas de que tenha sido. O ataque era executado nas páginas das lojas e redirecionava os compradores antes de o checkout da Shopify carregar. A Shopify removeu o código de todas as lojas afetadas e, como um porta-voz declarou ao iTnews, a Shopify toma medidas quando uma aplicação não cumpre os seus padrões.

O que a Shopify está a mudar. Em 20 de outubro, a Shopify pediu a todos os programadores de aplicações que concluíssem, nessa mesma semana, uma lista de medidas de segurança, como ativar a autenticação de dois passos em todas as suas contas e passar a utilizar tokens de acesso de curta duração. Afirmou também que irá restringir o que as aplicações podem fazer nas montras das lojas, exigir que as chaves das aplicações funcionem apenas a partir dos servidores do próprio programador e reforçar os requisitos de segurança da App Store.

[Voltar ao menu]

Como funcionava o checkout falso

Cada aplicação adiciona um script à montra da loja através de uma incorporação de aplicação. O script em si estava limpo, mas carregava as definições da aplicação a partir do servidor do programador, e os atacantes tinham inserido JavaScript adicional nessas definições. Esse código aguardava um clique em Checkout, abria uma página de pagamento semelhante à verdadeira num domínio terminado em .top e, depois de o comprador introduzir os dados do cartão, encaminhava-o para o checkout real.

Três fatores tornavam-no difícil de detetar:

• Era acionado apenas uma vez por sessão do navegador, pelo que um segundo teste podia parecer limpo.
• Os ficheiros do tema normalmente não se alteravam, porque o código vinha do servidor do programador da aplicação.
• As encomendas pareciam normais, porque o comprador continuava a pagar no checkout real.

Os domínios reportados incluem biliing[.]top, checkout-confirm[.]top, order-confirm[.]top, account-confirm[.]top, billing-confirm[.]top, checkout-guard[.]top e checkout-secure[.]top. Não os visite.

[Voltar ao menu]

Passo 1: Teste o seu checkout numa janela privada (3 minutos)

Esta é a verificação mais importante, porque é a única que mostra o que um comprador vê. Não precisa de pagar nada.

1. Abra uma nova janela privada. Feche todas as janelas privadas que possa ter abertas e, em seguida, abra uma nova (Anónima no Chrome, Janela privada no Safari ou Navegação privada no Firefox).

2. Adicione um produto e prima o botão de Checkout normal. Utilize o botão de Checkout habitual, e não o Shop Pay, o PayPal ou qualquer outro botão de checkout expresso.

3. Leia a barra de endereço antes de escrever o que quer que seja. Um checkout real da Shopify abre no seu próprio domínio, ou em your-store.myshopify.com, e mostra o nome da sua loja.

4. Repita a partir de cada botão de Checkout. Teste novamente numa nova janela privada a partir da gaveta do carrinho, da página do carrinho e de qualquer botão  “Comprar agora” e, depois, uma vez no seu telemóvel.

O Shop Pay pode abrir em shop.app, e o PayPal ou a verificação de segurança de um banco podem abrir as suas próprias páginas, o que é normal. O sinal de alerta é um domínio desconhecido, sobretudo um terminado em .top, que pede os dados do cartão logo após clicar em Checkout.

[Voltar ao menu]

Passo 2: Reveja as aplicações instaladas (2 minutos)

1. Abra a sua lista de aplicações. No painel de administração da Shopify, aceda a  “Definições” e, em seguida, a  “Aplicações”.

2. Procure as aplicações mencionadas acima e tudo o que não reconheça. Se utilizar uma das aplicações afetadas (Hulk Product Options, Selleasy (Upsell & Cross Sell), Swym Wishlist Plus), siga o aviso mais recente do programador.

3. Verifique a que cada aplicação tem acesso. Clique nos três pontos junto a uma aplicação e escolha “Ver detalhes”. A secção Atividade e permissões mostra o que a aplicação pode ver ou editar. Uma aplicação com  “Acesso de edição à sua Loja online” pode alterar o seu tema.

4. Desinstale o que já não utiliza. Cada aplicação que remove é código que ninguém pode virar contra si.

5. Pergunte aos programadores das aplicações da sua montra o que fizeram. Escreva um breve e-mail a perguntar se concluíram as medidas de segurança da Shopify de 20 de outubro. A Shopify responsabiliza os programadores pela notificação dos comerciantes afetados por um problema de segurança, por isso leia também os e-mails que eles lhe enviarem.

Também pode verificar a sua loja a partir do exterior com o Koala Inspector, uma extensão do Chrome que mostra o tema e as aplicações que uma loja Shopify utiliza. Abra a sua montra com a extensão ativada e compare a lista apresentada com as aplicações instaladas: uma aplicação que não reconheça, ou uma que julgava ter removido, merece uma análise mais atenta.

[Voltar ao menu]

Passo 3: Verifique que incorporações de aplicações estão ativas (1 minuto)

As incorporações de aplicações são a forma como as aplicações adicionam scripts a todas as páginas da sua loja, e foram a via utilizada neste ataque.

1. Abra o editor de temas. Aceda a  “Loja online”, depois a  “Temas”, e clique em  “Editar tema” junto ao seu tema ativo.

2. Abra o painel Incorporações de aplicações. Clique no ícone “Incorporações de aplicações” na barra lateral esquerda para ver todas as aplicações que podem executar código na sua montra.

3. Desative o que não precisa. Desligue as incorporações de aplicações que já não utiliza, que não reconhece ou que são mencionadas num aviso de segurança e, em seguida, prima Guardar.

[Voltar ao menu]

Passo 4: Examine os campos de código personalizado (1 minuto)

O código malicioso encontrava-se em definições de aplicações que aceitam JavaScript ou HTML personalizado. Abra cada aplicação que apresenta algo na sua montra, como opções de produto, upsells, listas de desejos ou pop-ups, e procure campos designados por código personalizado, JavaScript personalizado ou HTML personalizado. Se um campo contiver código que ninguém da sua equipa adicionou, faça uma captura de ecrã e contacte o programador da aplicação.

[Voltar ao menu]

Passo 5: Pesquise o código do seu tema (1 minuto)

No segundo incidente da Swym, foram adicionados scripts aos ficheiros do tema, e a Swym pede aos comerciantes que pesquisem nos seus temas um marcador específico.

1. Abra o editor de código. Aceda a “Loja online”, depois a “Temas”, clique nos três pontos junto ao seu tema ativo e escolha “Editar código”.

2. Pesquise em todos os ficheiros. Clique no ícone de pesquisa na barra lateral esquerda, pesquise checkout-guard e cada um dos domínios indicados acima, escrevendo-os sem os parênteses retos.

A ausência de resultados é uma boa notícia, mas abrange apenas o seu tema. O código que uma aplicação carrega a partir do seu próprio servidor nunca aparece aqui, e é por isso que os passos 1-4 são importantes.

[Voltar ao menu]

Passo 6: Proteja as palavras-passe e os acessos (1 minuto)

1. Ative a autenticação de dois passos. Abra o seu perfil no painel de administração da Shopify, aceda a “Segurança” e ative-a; em seguida, torne-a obrigatória para todas as contas de funcionários (guia da Shopify).

2. Reveja os funcionários e colaboradores. Aceda a “Definições” e, em seguida, a “Utilizadores”. Remova quem já não precise de acesso e consulte o registo de atividade dos utilizadores na página Segurança.

3. Altere as palavras-passe dos painéis das suas aplicações. Muitas aplicações têm o seu próprio início de sessão no website. Altere essas palavras-passe, bem como a sua palavra-passe da Shopify.

[Voltar ao menu]

Passo 7: Analise a sua loja a partir do exterior (1 minuto)

Por fim, verifique como a sua loja é vista pelos serviços de segurança em que os navegadores e os fornecedores de e-mail se baseiam. Se o seu domínio tiver sido sinalizado por malware ou phishing, é melhor saber antes dos seus clientes.

1. Abra o PCrisk Website Scanner. Aceda a scanner.pcrisk.com. A análise é gratuita e não exige a criação de uma conta.

2. Introduza o endereço da sua loja e clique em “Verificar website”.

3. Leia o relatório. Mostra se mais de 90 motores de segurança e 10 bases de dados de ameaças sinalizam o seu domínio, o que foi encontrado na análise dos ficheiros da sua página inicial e uma pontuação de confiança de 0 a 100.

Uma análise externa não clica no seu botão de Checkout, pelo que complementa o teste em janela privada do passo 1, em vez de o substituir.

Se o seu checkout redirecionar

1. Recolha provas. Faça uma captura de ecrã que mostre a barra de endereço e anote a hora e o botão em que clicou.

2. Impeça que novos compradores cheguem à página falsa. Aceda a “Loja online”, depois a “Preferências”, e ative o “Modo privado” em Acesso à loja (guia da Shopify).

3. Desative a aplicação suspeita. Desligue a respetiva incorporação de aplicação ou desinstale-a e, em seguida, teste novamente numa nova janela privada.

4. Contacte o programador da aplicação, a Shopify e o seu fornecedor de pagamentos. Contacte a Shopify através do Centro de Ajuda da Shopify e peça ao programador as horas exatas em que o código foi executado na sua loja.

5. Denuncie o domínio falso ao Google Safe Browsing, altere as suas palavras-passe conforme indicado no passo 6 e pergunte a um consultor jurídico se é obrigado a notificar os clientes afetados.

[Voltar ao menu]

Aplicações de segurança da Shopify que podem ajudar

Nenhuma aplicação da Shopify App Store deteta de forma fiável um ataque como este, pelo que o teste em janela privada continua a ser a sua verificação mais importante. Ainda assim, as aplicações podem ajudá-lo a detetar adulterações, ver quem alterou o quê e repor uma versão anterior do seu tema. Verificámos estas listagens em 21 de outubro de 2026.

As cópias de segurança não detetam nada, mas permitem restaurar um tema limpo em minutos. Os analisadores de temas e os registos de alterações só veem os ficheiros do tema, pelo que teriam falhado a maior parte deste ataque. O CartShark é a única aplicação da App Store que encontrámos que monitoriza scripts nos navegadores de compradores reais, mas é recente na Shopify, por isso teste-a durante o período experimental. As classificações e os preços mudam, por isso consulte cada listagem antes de instalar.

[Voltar ao menu]

Monitorizar a sua loja com o PCrisk Trust Badge

O PCrisk Trust Badge verifica continuamente a sua loja a partir do exterior a cada 24 horas, tal como os serviços de segurança e os compradores a veem.

• O que verifica: o serviço analisa a sua loja com mais de 90 motores de segurança e 10 bases de dados de ameaças, e analisa os ficheiros que as suas páginas carregam, resumindo tudo numa pontuação de confiança no seu painel de administração da Shopify.
• Com que frequência: o plano gratuito efetua uma análise por mês e envia-lhe um e-mail se a sua loja for sinalizada. O Premium, por $19/mês com um período experimental de 14 dias, efetua análises diárias.
• O que os compradores veem: o Premium acrescenta um selo que, ao ser clicado, abre o relatório de análise atualizado e datado, e que se oculta automaticamente se uma análise falhar.

Depois de um susto como este, os compradores têm mais cuidado com os sítios onde introduzem os dados do cartão. Um selo apoiado por um relatório independente e datado dá-lhes algo que podem verificar por si próprios.

[Voltar ao menu]

Conclusão

O sequestro do checkout da Shopify de outubro de 2026 não comprometeu o checkout da Shopify. Virou aplicações de confiança contra as lojas que as instalaram. A nossa recomendação para os proprietários de lojas online é manter menos aplicações, deixar os campos de código personalizado vazios, utilizar a autenticação de dois passos e testar o checkout numa janela privada hoje, depois de cada nova aplicação ou atualização e, a partir daí, uma vez por mês.

Obtenha o PCrisk Trust Badge para a Shopify

[Voltar ao menu]

Perguntas frequentes (FAQ)

A Shopify foi pirateada em outubro de 2026?

Não existem provas públicas de que a própria Shopify tenha sido pirateada. Os atacantes alteraram as definições de aplicações de terceiros disponíveis na plataforma Shopify, e o código dessas aplicações redirecionava os compradores antes de o checkout da Shopify carregar.

Que aplicações da Shopify foram afetadas pelo sequestro do checkout?

À data de 21 de outubro de 2026, os programadores do Hulk Product Options, do Selleasy e do Swym Wishlist Plus confirmaram incidentes. Outras aplicações foram mencionadas por comerciantes, mas não foram confirmadas.

O meu teste de checkout pareceu normal. A minha loja está segura?

Significa que nada foi encontrado durante esse teste. Repita-o em novas janelas privadas, a partir da gaveta do carrinho e num telemóvel, e pergunte aos programadores das suas aplicações se a sua loja foi afetada anteriormente.

Preciso de desinstalar o Hulk Product Options, o Selleasy ou o Swym Wishlist Plus?

Siga o aviso mais recente de cada programador. Se não precisar da aplicação, desinstalá-la é a forma mais simples de eliminar o risco.

O que devem fazer os clientes que introduziram os dados do cartão num checkout falso?

Devem contactar imediatamente o emissor do cartão, pedir o bloqueio e a substituição do cartão e verificar os extratos em busca de pagamentos desconhecidos.

O que está a Shopify a fazer para evitar que isto volte a acontecer?

A Shopify pediu a todos os programadores de aplicações que adotassem medidas de segurança durante a semana de 20 de outubro de 2026 e afirmou que irá restringir o que o código das aplicações pode fazer nas montras das lojas, limitar onde as chaves das aplicações funcionam e reforçar os requisitos de segurança da App Store, com prazos a anunciar.

Como posso saber se a minha conta Shopify foi pirateada?

Os sinais de alerta incluem alertas de início de sessão que não reconhece, funcionários ou colaboradores que não adicionou, uma conta de pagamentos alterada e edições no tema que ninguém da sua equipa fez. Ative a autenticação de dois passos, altere a sua palavra-passe e contacte o Suporte da Shopify se detetar algum destes sinais.

[Início da Página]