Shopify-checkoutkaping: zo controleert u uw winkel in 10 minuten

Shopify-checkout gekaapt: zo controleert u uw winkel in 10 minuten

In oktober 2026 kaapten aanvallers verschillende populaire Shopify-apps en gebruikten ze deze om shoppers die op Afrekenen klikten naar valse betaalpagina's te sturen. De valse pagina verzamelde kaartgegevens en stuurde de shopper vervolgens door naar de echte checkout van de winkel, zodat de bestelling gewoon werd afgerond en niemand iets merkte.

Deze gids legt uit wat er gebeurde bij de kaping van de Shopify-checkout en leidt u door een controle die elke winkeleigenaar in ongeveer 10 minuten kan uitvoeren. Ook wordt uitgelegd wat u moet doen als u een omleiding aantreft en welke Shopify-apps kunnen helpen.

Scan uw winkel met PCrisk Website Scanner

Inhoudsopgave:

• Inleiding
• Wat er gebeurde bij de kaping van de Shopify-checkout
• Hoe de nep-checkout werkte
• Stap 1: Test uw checkout in een privévenster (3 minuten)
• Stap 2: Controleer uw geïnstalleerde apps (2 minuten)
• Stap 3: Controleer welke app-embeds zijn ingeschakeld (1 minuut)
• Stap 4: Bekijk de velden voor aangepaste code (1 minuut)
• Stap 5: Doorzoek de code van uw thema (1 minuut)
• Stap 6: Beveilig wachtwoorden en toegang (1 minuut)
• Stap 7: Scan uw winkel van buitenaf (1 minuut)
• Shopify-beveiligingsapps die kunnen helpen
• Uw winkel monitoren met PCrisk Trust Badge
• Tot slot
• Veelgestelde vragen (FAQ's)

Wat er gebeurde bij de kaping van de Shopify-checkout

Op 10 oktober 2026 klikte ontwikkelaar Roman Zipp in een Shopify-winkel op Afrekenen en werd hij omgeleid naar een betaalpagina op een onbekend domein. Hij herleidde dit tot de app Hulk Product Options en documenteerde de aanval. Binnen enkele dagen bevestigden nog twee app-ontwikkelaars soortgelijke incidenten.

Handelaren hebben in openbare reacties ook andere apps genoemd, maar de ontwikkelaars daarvan hebben geen verband bevestigd, dus vermelden wij ze hier niet.

Is Shopify zelf gehackt? Er is geen openbaar bewijs dat dit het geval was. De aanval vond plaats op winkelpagina's en leidde klanten om voordat de checkout van Shopify werd geladen. Shopify heeft de code uit alle getroffen winkels verwijderd en, zoals een woordvoerder aan iTnews vertelde, Shopify grijpt in wanneer een app niet aan de normen voldoet.

Wat Shopify verandert. Op 20 oktober vroeg Shopify alle app-ontwikkelaars om die week een lijst met beveiligingsmaatregelen af te ronden, zoals het inschakelen van tweestapsverificatie voor al hun accounts en het overstappen op kortlevende toegangstokens. Ook liet Shopify weten dat het zal beperken wat apps in webwinkels kunnen doen, zal eisen dat app-sleutels alleen werken vanaf de eigen servers van de ontwikkelaar, en de beveiligingseisen voor de App Store zal aanscherpen.

[Terug naar de inhoudsopgave]

Hoe de nep-checkout werkte

Elke app voegt via een app-embed een script toe aan de webwinkel. Het script zelf was schoon, maar het laadde de instellingen van de app vanaf de server van de ontwikkelaar, en aanvallers hadden extra JavaScript in die instellingen geplaatst. Die code wachtte op een klik op Afrekenen, opende een nagemaakte betaalpagina op een domein eindigend op .top en stuurde de klant, nadat deze zijn kaartgegevens had ingevoerd, door naar de echte checkout.

Drie dingen maakten het moeilijk om dit op te merken:

• Het werd slechts één keer per browsersessie geactiveerd, zodat een tweede test schoon kon lijken.
• Themabestanden veranderden meestal niet, omdat de code van de server van de app-ontwikkelaar kwam.
• Bestellingen zagen er normaal uit, omdat de klant alsnog via de echte checkout betaalde.

Gemelde domeinen zijn onder meer biliing[.]top, checkout-confirm[.]top, order-confirm[.]top, account-confirm[.]top, billing-confirm[.]top, checkout-guard[.]top en checkout-secure[.]top. Bezoek deze niet.

[Terug naar de inhoudsopgave]

Stap 1: Test uw checkout in een privévenster (3 minuten)

Dit is de belangrijkste controle, omdat het de enige is die ziet wat een klant ziet. U hoeft nergens voor te betalen.

1. Open een nieuw privévenster. Sluit eventuele geopende privévensters en open vervolgens een nieuw venster (Incognito in Chrome, Privévenster in Safari of Privénavigatie in Firefox).

2. Voeg een product toe en klik op de normale knop Afrekenen. Gebruik de gewone knop Afrekenen, niet Shop Pay, PayPal of een andere snelle afrekenknop.

3. Lees de adresbalk voordat u iets typt. Een echte Shopify-checkout opent op uw eigen domein, of op your-store.myshopify.com, en toont de naam van uw winkel.

4. Herhaal dit vanaf elke afrekenknop. Test opnieuw in een nieuw privévenster vanuit de winkelwagenlade, de winkelwagenpagina en elke  "Nu kopen"-knop, en daarna één keer op uw telefoon.

Shop Pay kan openen op shop.app, en PayPal of de beveiligingscontrole van een bank kan eigen pagina's openen; dat is normaal. Het alarmsignaal is een onbekend domein, vooral een domein dat eindigt op .top, dat direct nadat u op Afrekenen klikt om kaartgegevens vraagt.

[Terug naar de inhoudsopgave]

Stap 2: Controleer uw geïnstalleerde apps (2 minuten)

1. Open uw lijst met apps. Ga in uw Shopify-beheeromgeving naar  "Instellingen" en vervolgens naar  "Apps."

2. Zoek naar de hierboven genoemde apps en naar alles wat u niet herkent. Als u een van de getroffen apps gebruikt (Hulk Product Options, Selleasy (Upsell & Cross Sell), Swym Wishlist Plus), volg dan de meest recente mededeling van de ontwikkelaar.

3. Controleer waartoe elke app toegang heeft. Klik op de drie puntjes naast een app en kies "Details bekijken". Het gedeelte Activiteit en machtigingen toont wat de app kan bekijken of bewerken. Een app met  "Bewerkingstoegang tot uw online winkel" kan uw thema wijzigen.

4. Verwijder wat u niet meer gebruikt. Elke app die u verwijdert, is code die niemand tegen u kan gebruiken.

5. Vraag de ontwikkelaars van uw webwinkel-apps wat zij hebben gedaan. Stuur een korte e-mail met de vraag of zij de beveiligingsmaatregelen van Shopify van 20 oktober hebben afgerond. Shopify maakt ontwikkelaars verantwoordelijk voor het informeren van handelaren die door een beveiligingsprobleem zijn getroffen, dus lees ook hun e-mails.

U kunt uw winkel ook van buitenaf controleren met Koala Inspector, een Chrome-extensie die laat zien welk thema en welke apps een Shopify-winkel gebruikt. Open uw webwinkel terwijl de extensie is ingeschakeld en vergelijk de lijst met uw geïnstalleerde apps: een app die u niet herkent, of een app waarvan u dacht dat u deze had verwijderd, verdient nader onderzoek.

[Terug naar de inhoudsopgave]

Stap 3: Controleer welke app-embeds zijn ingeschakeld (1 minuut)

Via app-embeds voegen apps scripts toe aan elke pagina van uw winkel, en dit is de route die bij deze aanval werd gebruikt.

1. Open de thema-editor. Ga naar  "Online winkel" en vervolgens naar  "Thema's", en klik op  "Thema bewerken" naast uw live thema.

2. Open het paneel App-embeds. Klik op het pictogram "App-embeds" in de linkerzijbalk om alle apps te zien die code in uw webwinkel kunnen uitvoeren.

3. Schakel uit wat u niet nodig hebt. Schakel embeds uit van apps die u niet meer gebruikt, niet herkent of die in een beveiligingsmelding worden genoemd, en klik vervolgens op Opslaan.

[Terug naar de inhoudsopgave]

Stap 4: Bekijk de velden voor aangepaste code (1 minuut)

De kwaadaardige code zat in app-instellingen die aangepaste JavaScript of HTML accepteren. Open elke app die iets in uw webwinkel toont, zoals productopties, upsells, verlanglijstjes of pop-ups, en zoek naar velden met namen als aangepaste code, aangepaste JavaScript of aangepaste HTML. Als een veld code bevat die niemand in uw team heeft toegevoegd, maak dan een screenshot en neem contact op met de app-ontwikkelaar.

[Terug naar de inhoudsopgave]

Stap 5: Doorzoek de code van uw thema (1 minuut)

Bij het tweede incident van Swym werden scripts aan themabestanden toegevoegd, en Swym vraagt handelaren om hun thema's te doorzoeken op een specifieke markering.

1. Open de code-editor. Ga naar "Online winkel" en vervolgens naar "Thema's", klik op de drie puntjes naast uw live thema en kies "Code bewerken".

2. Doorzoek alle bestanden. Klik op het zoekpictogram in de linkerzijbalk, zoek naar checkout-guard en naar elk hierboven vermeld domein; typ deze zonder de vierkante haken.

Geen resultaten is goed nieuws, maar dit dekt alleen uw thema. Code die een app vanaf zijn eigen server laadt, verschijnt hier nooit; daarom zijn stappen 1-4 belangrijk.

[Terug naar de inhoudsopgave]

Stap 6: Beveilig wachtwoorden en toegang (1 minuut)

1. Schakel tweestapsverificatie in. Open uw profiel in de Shopify-beheeromgeving, ga naar "Beveiliging" en schakel deze in; maak deze vervolgens verplicht voor elk personeelsaccount (handleiding van Shopify).

2. Controleer personeel en medewerkers. Ga naar "Instellingen" en vervolgens naar "Gebruikers". Verwijder iedereen die geen toegang meer nodig heeft en controleer het activiteitenlogboek van gebruikers op de pagina Beveiliging.

3. Wijzig de wachtwoorden van uw app-dashboards. Veel apps hebben een eigen website met een aanmelding. Wijzig die wachtwoorden, evenals uw Shopify-wachtwoord.

[Terug naar de inhoudsopgave]

Stap 7: Scan uw winkel van buitenaf (1 minuut)

Controleer ten slotte hoe uw winkel eruitziet voor de beveiligingsdiensten waarop browsers en e-mailproviders vertrouwen. Als uw domein is gemarkeerd voor malware of phishing, wilt u dat weten voordat uw klanten het merken.

1. Open de PCrisk Website Scanner. Ga naar scanner.pcrisk.com. De scan is gratis en u hoeft geen account aan te maken.

2. Voer het adres van uw winkel in en klik op "Website controleren".

3. Lees het rapport. Het laat zien of meer dan 90 beveiligingsengines en 10 dreigingsdatabases uw domein markeren, wat een scan van de bestanden van uw startpagina heeft gevonden, en een vertrouwensscore van 0 tot 100.

Een externe scan klikt niet op uw knop Afrekenen, dus deze vormt een aanvulling op de test in een privévenster uit stap 1 en vervangt die niet.

Als uw checkout omleidt

1. Leg bewijs vast. Maak een screenshot waarop de adresbalk zichtbaar is en noteer het tijdstip en de knop waarop u klikte.

2. Voorkom dat nieuwe klanten de nep-pagina bereiken. Ga naar "Online winkel" en vervolgens naar "Voorkeuren," en schakel "Privémodus" in onder Winkeltoegang (handleiding van Shopify).

3. Schakel de app uit die u verdenkt. Schakel de app-embed uit of verwijder de app, en test vervolgens opnieuw in een nieuw privévenster.

4. Neem contact op met de app-ontwikkelaar, Shopify en uw betaalprovider. Neem contact op met Shopify via het Shopify Help Center en vraag de ontwikkelaar naar de exacte tijdstippen waarop de code in uw winkel actief was.

5. Meld het nepdomein bij Google Safe Browsing, wijzig uw wachtwoorden zoals in stap 6 en vraag een juridisch adviseur of u getroffen klanten moet informeren.

[Terug naar de inhoudsopgave]

Shopify-beveiligingsapps die kunnen helpen

Geen enkele app in de Shopify App Store detecteert een aanval als deze op betrouwbare wijze, dus de test in een privévenster blijft uw belangrijkste controle. Apps kunnen u wel helpen om manipulatie op te merken, te zien wie wat heeft gewijzigd en uw thema terug te zetten. Wij hebben deze vermeldingen gecontroleerd op 21 oktober 2026.

Back-ups detecteren niets, maar stellen u in staat om binnen enkele minuten een schoon thema te herstellen. Themascanners en wijzigingslogboeken zien alleen themabestanden, dus zij zouden het grootste deel van deze aanval hebben gemist. CartShark is de enige app in de App Store die wij hebben gevonden die scripts in de browsers van echte klanten in de gaten houdt, maar de app is nieuw op Shopify, dus test deze tijdens de proefperiode. Beoordelingen en prijzen veranderen, dus controleer elke vermelding voordat u installeert.

[Terug naar de inhoudsopgave]

Uw winkel monitoren met PCrisk Trust Badge

PCrisk Trust Badge blijft uw winkel elke 24 uur van buitenaf controleren, zoals beveiligingsdiensten en klanten deze zien.

• Wat het controleert: de dienst toetst uw winkel aan meer dan 90 beveiligingsengines en 10 dreigingsdatabases en scant de bestanden die uw pagina's laden, allemaal samengevat in een vertrouwensscore in uw Shopify-beheeromgeving.
• Hoe vaak: het gratis abonnement scant één keer per maand en stuurt u een e-mail als uw winkel wordt gemarkeerd. Premium, voor $19/maand met een proefperiode van 14 dagen, scant elke dag.
• Wat klanten zien: Premium voegt een badge toe die bij een klik het actuele, gedateerde scanrapport opent en zichzelf verbergt als een scan ooit mislukt.

Na een schrikmoment als dit letten klanten beter op waar zij hun kaartgegevens invoeren. Een badge die wordt ondersteund door een onafhankelijk, gedateerd rapport geeft hun iets wat zij zelf kunnen controleren.

[Terug naar de inhoudsopgave]

Tot slot

De kaping van de Shopify-checkout in oktober 2026 heeft de checkout van Shopify niet gekraakt. Ze keerde vertrouwde apps tegen de winkels die ze hadden geïnstalleerd. Ons advies aan eigenaren van webwinkels is om minder apps te gebruiken, velden voor aangepaste code leeg te laten, tweestapsverificatie te gebruiken en uw checkout in een privévenster te testen: vandaag, na elke nieuwe app of update, en daarna eens per maand.

Ontvang de PCrisk Trust Badge voor Shopify

[Terug naar de inhoudsopgave]

Veelgestelde vragen (FAQ's)

Is Shopify in oktober 2026 gehackt?

Er is geen openbaar bewijs dat Shopify zelf is gehackt. Aanvallers wijzigden de instellingen van apps van derden die op het Shopify-platform beschikbaar zijn, en die app-code leidde klanten om voordat de checkout van Shopify werd geladen.

Welke Shopify-apps werden getroffen door de kaping van de checkout?

Op 21 oktober 2026 hadden de ontwikkelaars van Hulk Product Options, Selleasy en Swym Wishlist Plus incidenten bevestigd. Andere apps zijn door handelaren genoemd, maar niet bevestigd.

Mijn checkouttest zag er normaal uit. Is mijn winkel veilig?

Het betekent dat er tijdens die test niets is gevonden. Herhaal de test in nieuwe privévensters, vanuit de winkelwagenlade en op een telefoon, en vraag uw app-ontwikkelaars of uw winkel eerder is getroffen.

Moet ik Hulk Product Options, Selleasy of Swym Wishlist Plus verwijderen?

Volg de meest recente mededeling van elke ontwikkelaar. Als u de app niet nodig hebt, is verwijderen de eenvoudigste manier om het risico weg te nemen.

Wat moeten klanten doen als zij kaartgegevens hebben ingevoerd op een nep-checkout?

Zij moeten onmiddellijk hun kaartuitgever bellen, de kaart laten blokkeren en vervangen, en hun afschriften controleren op onbekende betalingen.

Wat doet Shopify om te voorkomen dat dit opnieuw gebeurt?

Shopify vroeg alle app-ontwikkelaars om in de week van 20 oktober 2026 beveiligingsmaatregelen te nemen, en liet weten dat het zal beperken wat app-code in webwinkels kan doen, zal inperken waar app-sleutels werken en de beveiligingseisen voor de App Store zal aanscherpen; de bijbehorende tijdlijnen volgen nog.

Hoe weet ik of mijn Shopify-account is gehackt?

Waarschuwingssignalen zijn onder meer aanmeldingsmeldingen die u niet herkent, personeel of medewerkers die u niet hebt toegevoegd, een gewijzigde uitbetalingsrekening en themawijzigingen die niemand in uw team heeft aangebracht. Schakel tweestapsverificatie in, wijzig uw wachtwoord en neem contact op met Shopify Support als u een van deze signalen opmerkt.

[Terug naar boven]