Social Rocket
Meerdere Shopify-winkels werden in oktober 2026 doelwit van een checkout-omleiding: klanten kwamen bij het afrekenen terecht op vreemde, nagebouwde betaalpagina's. De Duitse ontwikkelaar Roman Zipp documenteerde de incidenten, nadat hij op 10 oktober bij het kopen van een toetsenbord een verdachte doorverwijzing opmerkte. Getroffen waren integraties uit het Shopify-app-ecosysteem – dus precies de extra functies waarop veel handelaren vertrouwen voor productopties, upselling en klantbinding.
Voor DTC-merken is dit een probleem op het gevoeligste punt van de customer journey: jullie investeren in bereik via Instagram, TikTok of Google, maar het gevaarlijke moment kan pas vlak voor de betaling ontstaan.
Hoe de aanval de winkelkassa omzeilde
Het door Zipp waargenomen verloop was eenvoudig: bij de overgang van winkelwagen naar kassa werd in de browser een vreemd script uitgevoerd. Dat kon kopers doorsturen naar een misleidend echte checkoutpagina buiten de eigenlijke winkel en betaalgegevens opvragen.
Bij Hulk Product Options bevestigde de aanbieder volgens gedocumenteerde verklaring dat op 10 oktober ongeoorloofde configuraties in de theme-extensie waren geplaatst. Shopify zette de extensie tijdelijk uit. Na verwijdering van de code werd ze hersteld.
Een ander bevestigd incident betrof Selleasy: Upsell & Cross Sell. Uitgever Logbase beschrijft op zijn officiële incidentpagina een gerichte aanval van 13 oktober. De aanvaller misbruikte een oud intern supporttool om een script in winkelconfiguraties in te voegen. Om 12:22 uur UTC waren de omleidingen volgens Logbase gestopt, tot de getroffen winkels om 15:58 uur waren opgeschoond.
De aanbieders hebben gereageerd – Shopify past de doorverwijsregels aan
Logbase liet de toepassing van 16. tot 20. oktober extern controleren. Na Shopify's review werd Selleasy op 27. oktober weer in de App Store vermeld. De uitgever heeft het misbruikte interne tool uitgeschakeld en extra toegangscontroles ingevoerd.
Shopify publiceerde zelf op 20. oktober een nieuwe bescherming tegen onverwachte doorverwijzingen. Sinds de update van 23. oktober worden volgens Shopify bekende schadelijke bestemmingen geblokkeerd en krijgen bezoekers bij verdachte externe websites een bevestiging te zien. Gewone externe links worden nog steeds zonder tussenscherm geopend.
Shopify pakt daarmee de route aan van een legitieme winkel naar een riskante externe bestemming. De echte les ligt echter in het beheersen van integraties van derden.
Waarom social-commerceteams geraakt worden
Een geslaagde advertentieklik is voor een webwinkel pas het begin. Productpagina's, widgets, winkelwagen en checkout vormen samen het conversieproces. Wanneer een ingebouwd app-script dat proces manipuleert, belanden campagnebudgetten in het ergste geval bij een frauduleuze betaalpagina.
Dit geldt vooral voor merken die creator-lives en TikTok-Shop-campagnes combineren met eigen landingspagina's en externe winkels. Ook de Duitse studie over vertrouwen en controle bij AI-shopping laat zien hoe centraal een betrouwbaar koopproces wordt voor nieuwe winkelervaringen.
Shopbeheerders kunnen drie dingen meteen controleren:
- App-inventaris: Welke extensies mogen scripts, themablokken of winkelwagenfuncties wijzigen? Zijn die machtigingen nog nodig?
- Aankoopproces: Werkt de checkout in een schoon browserprofiel op desktop en smartphone? Blijven kopers op het verwachte domein?
- Reactie en monitoring: Zijn er waarschuwingen, verdachte doorverwijzingen of supportvragen over onbekende betaalpagina's? Zijn de beveiligingsmeldingen van geïnstalleerde apps gecontroleerd?
Wie zijn advertentiebudgetten stuurt op basis van conversie en werkelijke bestellingen, moet de technische integriteit van de checkout even serieus nemen als attributie en laadtijd.
De gedocumenteerde incidenten wijzen op een risico in het app-ecosysteem, niet op een algemene storing van Shopify. Of er bij de aanvallen daadwerkelijk AI is ingezet, zoals het oorspronkelijke bericht veronderstelt, is publiekelijk niet bevestigd. Voor handelaren is vooral het concrete aanvalspad belangrijk – en het feit dat aanbieders en het platform inmiddels tegenmaatregelen hebben genomen.
Bronnen: Roman Zipp, technisch eerstonderzoek van 10.10.2026 met updates; Roman Zipp, reacties van aanbieders; Selleasy/Logbase, eindrapport van 28.10.2026; Shopify Changelog, 20./23.10.2026; Adweek, aanleiding van de berichtgeving van 03.11.2026.
Symbolbeeld: rupixen / Unsplash.