Social Rocket
Plusieurs boutiques Shopify ont été la cible d'une redirection de paiement en octobre 2026 : les clients atterrissaient lors du règlement sur de fausses pages de paiement reconstruites. Le développeur allemand Roman Zipp a documenté les incidents, après avoir remarqué une redirection suspecte lors de l'achat d'un clavier le 10 octobre. Étaient concernées des intégrations issues de l'écosystème d'applications Shopify, donc précisément les fonctions complémentaires sur lesquelles de nombreux marchands comptent pour les options produit, la vente incitative et la fidélisation.
Pour les marques DTC, c'est un problème au point le plus sensible du parcours client : elles investissent dans la portée via Instagram, TikTok ou Google, mais le moment dangereux peut survenir juste avant le paiement.
Comment l'attaque a contourné la caisse de la boutique
Le déroulement observé par Zipp était simple : lors du passage du panier à la caisse, un script étranger s'exécutait dans le navigateur. Il pouvait rediriger les acheteurs vers une page de paiement trompeusement réaliste, hors de la boutique réelle, et demander les données de paiement.
Pour Hulk Product Options, le fournisseur a confirmé selon sa prise de position documentée que des configurations non autorisées avaient été déposées dans l'extension de thème le 10 octobre. Shopify a temporairement désactivé l'extension. Après suppression du code, elle a été rétablie.
Un autre incident confirmé concerne Selleasy : Upsell & Cross Sell. L'exploitant Logbase décrit sur sa page officielle d'incident une attaque ciblée du 13 octobre. L'attaquant a abusé d'un ancien outil interne de support pour injecter un script dans les configurations des boutiques. À 12:22 UTC, les redirections ont été stoppées selon Logbase, jusqu'à ce que les boutiques concernées soient nettoyées à 15:58.
Les fournisseurs ont réagi – Shopify modifie les règles de redirection
Logbase a fait examiner l'application par un tiers du 16 au 20 octobre. Après la revue de Shopify, Selleasy a de nouveau été référencée sur l'App Store le 27 octobre. L'exploitant a désactivé l'outil interne exploité et ajouté des contrôles d'accès supplémentaires.
Shopify a publié lui-même le 20 octobre une nouvelle protection contre les redirections inattendues. Depuis la mise à jour du 23 octobre, selon Shopify, les destinations malveillant connues sont bloquées et des confirmations s'affichent pour les sites externes suspects. Les liens externes ordinaires continuent de s'ouvrir sans écran intermédiaire.
Shopify traite ainsi le passage d'une boutique légitime vers une destination externe risquée. L'enseignement essentiel reste toutefois le contrôle des intégrations tierces.
Pourquoi les équipes de social commerce sont concernées
Un clic publicitaire réussi n'est pour une boutique en ligne qu'un début. Pages produit, widgets, panier et caisse forment ensemble le processus de conversion. Si un script d'application intégré manipule ce processus, les budgets de campagne peuvent, au pire, aboutir devant une page de paiement frauduleuse.
Cela concerne particulièrement les marques qui combinent lives créateurs et campagnes TikTok Shop avec leurs propres pages de destination et boutiques externes. L'étude allemande sur la confiance et le contrôle dans le shopping par IA montre aussi à quel point un parcours d'achat fiable devient central pour les nouvelles expériences d'achat.
Les exploitants de boutiques peuvent vérifier immédiatement trois points :
- Inventaire des applications : Quelles extensions sont autorisées à modifier les scripts, les blocs de thème ou les fonctions du panier ? Ces autorisations sont-elles encore nécessaires ?
- Parcours d'achat : Le paiement fonctionne-t-il dans un profil de navigateur vierge, sur ordinateur et sur smartphone ? Les acheteurs restent-ils sur le domaine attendu ?
- Réaction et surveillance : Y a-t-il des alertes, des redirections suspectes ou des demandes d'assistance concernant des pages de paiement inconnues ? Les notifications de sécurité des applications installées ont-elles été vérifiées ?
Celui qui pilote ses budgets publicitaires en fonction des conversions et des commandes réelles [](/blog/q4-2026-social-video-retail-media-werbebudget-messung/) devrait prendre l'intégrité technique du paiement tout aussi au sérieux que l'attribution et le temps de chargement.
Les incidents documentés révèlent un risque dans l'écosystème des applications, et non une panne générale de Shopify. Le fait que l'IA ait réellement été utilisée dans ces attaques, comme le suppose le rapport initial, n'est pas établi publiquement. Pour les commerçants, ce qui compte est la voie d'attaque concrète, ainsi que le fait que les fournisseurs et la plateforme ont désormais mis en place des contre-mesures.
Sources : Roman Zipp, première analyse technique du 10.10.2026 avec mises à jour ; Roman Zipp, prises de position des fournisseurs ; Selleasy/Logbase, rapport final du 28.10.2026 ; Journal des modifications Shopify, 20./23.10.2026 ; Adweek, raison de la couverture du 03.11.2026.
Image d'illustration : rupixen / Unsplash.