Social Rocket
Várias lojas Shopify foram alvo de um redirecionamento de checkout 2026 em outubro: os clientes acabavam, ao pagar, em páginas de pagamento falsas e copiadas. O programador alemão Roman Zipp documentou os incidentes, depois de notar um redirecionamento suspeito ao comprar um teclado no dia 10 de outubro. Foram afetadas integrações do ecossistema de apps do Shopify, ou seja, precisamente as funcionalidades extra em que muitos comerciantes confiam para opções de produto, upselling e fidelização de clientes.
Para as marcas DTC, este é um problema no ponto mais sensível da jornada do cliente: investem em alcance através do Instagram, do TikTok ou do Google, mas o momento perigoso pode surgir mesmo antes do pagamento.
Como o ataque contornou o checkout da loja
O processo observado por Zipp era simples: ao passar do carrinho para o checkout, um script estranho era executado no navegador. Este podia redirecionar os compradores para uma página de checkout enganosamente autêntica, fora da loja original, e solicitar dados de pagamento.
No caso do Hulk Product Options, o fornecedor confirmou, segundo uma declaração documentada, que configurações inadmissíveis tinham sido introduzidas na extensão do tema a 10 de outubro. O Shopify desativou temporariamente a extensão. Após a remoção do código, foi restabelecida.
Outro incidente confirmado envolveu o Selleasy: Upsell & Cross Sell. O operador Logbase descreve, na sua página oficial de incidentes, um ataque direcionado a 13 de outubro. O atacante abusou de uma ferramenta interna de suporte mais antiga para injetar um script nas configurações das lojas. Às 12:22 UTC, segundo a Logbase, os redirecionamentos foram interrompidos até às 15:58 , altura em que as lojas afetadas foram limpas.
Os fornecedores reagiram – o Shopify altera as regras de redirecionamento
A Logbase mandou verificar a aplicação externamente de 16 a 20 de outubro. Após a revisão do Shopify, o Selleasy voltou a ser listado na App Store a 27 de outubro. O operador desativou a ferramenta interna explorada e introduziu controlos de acesso adicionais.
O próprio Shopify publicou a 20 de outubro uma nova proteção contra redirecionamentos inesperados. Desde a atualização de 23 de outubro, segundo o Shopify, destinos maliciosos conhecidos são bloqueados e sites externos suspeitos passam a exibir uma confirmação. Links externos comuns continuam a abrir sem ecrã intermédio.
Com isto, o Shopify aborda o percurso de uma loja legítima até um destino externo arriscado. A verdadeira lição, no entanto, está no controlo das integrações de terceiros.
Por que as equipas de social commerce são afetadas
Um clique publicitário bem-sucedido é apenas o início para uma loja online. Páginas de produto, widgets, carrinho e checkout formam em conjunto o processo de conversão. Se um script de app integrado manipular este processo, os orçamentos de campanha podem acabar, na pior das hipóteses, numa página de pagamento fraudulenta.
Isto afeta sobretudo marcas que combinam lives de criadores e campanhas de TikTok Shop com landing pages próprias e lojas externas. Também o estudo alemão sobre confiança e controlo nas compras com IA mostra como um processo de compra fiável se torna central para novas experiências de compra.
Os operadores de lojas podem verificar três coisas imediatamente:
- Inventário de apps: Que extensões podem alterar scripts, blocos de tema ou funções do carrinho? As permissões ainda são necessárias?
- Percurso de compra: O checkout funciona num perfil de navegador novo, em desktop e smartphone? Os compradores permanecem no domínio esperado?
- Reação e monitorização: Existem alertas, redirecionamentos suspeitos ou pedidos de apoio sobre páginas de pagamento desconhecidas? As notificações de segurança das apps instaladas foram verificadas?
Quem gere os seus orçamentos publicitários com base na conversão e nas encomendas reais deve levar a integridade técnica do checkout tão a sério como a atribuição e o tempo de carregamento.
Os incidentes documentados revelam um risco no ecossistema de apps, não uma falha generalizada da Shopify. Não está publicamente confirmado se foi de facto usada IA nos ataques, como sugeria o relatório original. Para os comerciantes, o que importa é o caminho concreto do ataque – e o facto de os fornecedores e a plataforma já terem implementado contramedidas.
Fontes: Roman Zipp, primeira análise técnica de 10.10.2026 com atualizações; Roman Zipp, declarações dos fornecedores; Selleasy/Logbase, relatório final de 28.10.2026; Shopify Changelog, 20./23.10.2026; Adweek, motivo da reportagem de 03.11.2026.
Imagem ilustrativa: rupixen / Unsplash.