هجوم اخیر به چکاوت فروشگاههای Shopify: قبل از اینکه مشتری‌ات کارت را جایی دیگر بزند، این چکلیست را بزن
نویسنده: آرش لطیفی — موسس The DevArt
یک حمله فعال از اوایل اکتبر ۲۰۲۶ دارد مشتری‌های فروشگاههای Shopify را به صفحه چکاوت فیک می‌فرستد و کارتشان را می‌زند — نه با هک کردن سایتت، بلکه از طریق اپ‌های خودت. ببین چه خبر است، چطور در ۵ دقیقه چک کنی و چه کاری بکنی.
TL;DR — از اوایل اکتبر ۲۰۲۶ یک کمپین «checkout hijack» فعال است: کد مخرب از طریق اپ‌هایی مثل HulkApps، Swym Wishlist Plus، Selleasy و Hextom تزریق می‌شود و مشتری موقع زدن دکمه چکاوت به یک صفحه فیک منتقل می‌شود که کارتش را می‌دزدد. سایتت هک نشده؛ اپ‌ها دارند از طریق API خودشان جاوااسکریپت مخرب سرو می‌کنند. تست پنهانی + غیرفعال‌کردن اپ‌های اضافه + تغییر پسوردها، همین امروز.
ماجرا چیست؟
رومن زیپ، برنامه‌نویس آلمانی، وسط خرید از mechanicalkeyboards.com متوجه شد که بعد از زدن دکمه Checkout، به دامنه‌ای عجیبه به اسم biliing.top می‌رود — با ظاهری که دقیقاً شبیه چکاوت Shopify طراحی شده بود. بعد از دیباگ با Chrome DevTools فهمید که یک اسکریپت در زمان اجرا (runtime) تزریق شده که کلیکِ دکمه چکاوت را می‌قاپد و کاربر را به صفحه فیشینگ می‌فرستد.
جالب و ترسناک‌تر: او بعداً یک پست Reddit پیدا کرد که ۱۸ روز قبل‌تر، صاحب یک فروشگاه ویپ، دقیقاً همین مشکل را با همین دامنه گزارش کرده بود. یعنی گزارش شده بود ولی حملات ادامه داشت.
به تاریخ ۱۵ اکتبر این حمله هنوز فعال است. نکته مهم‌تر برای خودِ فروشنده‌ها:
- کد مخرب از اپ‌ها مستقیم نمی‌آید؛ از APIهای توسعه‌دهنده اپ‌ها تزریق می‌شود. یعنی چک‌کردن سورس اپ کمکی نمی‌کند.
- اپ‌های درگیر تا الان: HulkApps (Hulk Product Options)، Swym Wishlist Plus، Selleasy، Hextom (مرداد/آگوست) و Qikify (تیر/جولای).
- دامنه‌های فیشینگ هنوز توسط Google Safe Browsing و URLhaus بلاک نشده بودند (
biliing.top،checkout-confirm.top،order-confirm.top). - تا ۱۵ اکتبر، ۷ فروشنده مختلف همین حمله را گزارش کردند — و در بعضی از فروشگاه‌ها اصلاً HulkApps نصب نبود. یعنی حداقل یک اپ دیگر هم در کار است.
- بعد از گزارش‌ها، رکوردهای DNS دامنه‌های فیشینگ حذف شدند؛ ولی این یعنی مهاجم احتمالاً دامنه جدید می‌گیرد، نه اینکه ماجرا تمام شده.
چرا این به درد اینترنت ایرانی هم می‌خورد
شاید فروشگاهت Shopify نباشد، ولی درسش سرراست است: هر اسکریپت جانبی که به قالب فروشگاهت اضافه می‌کنی — ویجت چت، ابزار تخفیف، ویجت علاقه‌مندی، اسکریپت آنالیتیکس — یک خط لوله تزریق کد به مرورگر مشتری‌ات است. شما مسئول امنیت کدی هستید که نمی‌بینید و از سرور خودتان نمی‌آید. یک اپ «بی‌خطر» که امروز به‌روزرسانی سرو می‌کند، می‌تواند فردا برای مشتری‌های شما صفحه فیشینگ بارگذاری کند — و اعتبار برند شماست که می‌سوزد، نه اعتبار اپ.
قاعده ساده: هر اپ نصب‌شده باید یک دلیل مشخص و قابل‌اندازه‌گیری داشته باشد (فروش بیشتر، نرخ بازگشت، رفع نیاز واقعی). اپ بدون داده = اپ حذف‌شدنی.
چکلیست «همین امروز بزن»
- [ ] لیست اپ‌های نصب‌شده را باز کن و هر اپی که فعالانه استفاده نمی‌شود را حذف کن (مخصوصاً HulkApps، Swym، Selleasy، Hextom، Qikify اگر داری)
- [ ] در یک پنجره ناشناس (Incognito)، یک محصول به سبد اضافه کن و چکاوت را بزن؛ دامنه و URL نهایی را دقیق نگاه کن — باید روی
checkout.shopify.comیا دامنه اختصاصی خودت باشد - [ ] اگر به صفحه‌ای عجیب رسیدی، بلافاصله به Shopify Support گزارش بده و اپ مشکل‌دار را غیرفعال کن
- [ ] پسورد ادمین Shopify را عوض کن
- [ ] پسورد حساب‌های خود اپ‌ها (پنل HulkApps/Swym/Selleasy و...) را هم عوض کن
- [ ] دامنه‌های مشکوک را به Google Safe Browsing گزارش بده تا بلاک شوند
- [ ] این تست چکاوت را به یک روال هفتگی تبدیل کن — با پنجره ناشناس، نه مرورگر معمولی
جدول خلاصه
| مورد | جزئیات |
| --- | --- |
| نوع حمله | Checkout Hijack / فیشینگ کارت بانکی |
| مسیر تزریق | API توسعه‌دهنده‌های اپ Shopify (نه خود اپ) |
| اپ‌های مرتبط | HulkApps، Swym Wishlist Plus، Selleasy، Hextom، Qikify |
| دامنه‌های فیشینگ | biliing.top، checkout-confirm.top، order-confirm.top |
| وضعیت (۱۵ اکتبر) | فعال؛ ۷+ فروشنده آلوده؛ DNS دامنه‌ها حذف شده |
| اقدام اصلی فروشنده | حذف اپ‌های غیرضروری + تست چکاوت ناشناس + تغییر پسوردها |
درس بزرگ‌تر: اعتماد در یک کلیک می‌سوزد
مشتری‌ای که یک بار روی صفحه فیک کارتش را می‌بازد، دیگر برنمی‌گردد — و از هر کسی که می‌شناسد هم تعریف می‌کند. برای فروشگاه آنلاین، امنیت چکاوت دقیقاً هم‌ارز سرعت سایت و کیفیت محصول است: چیزی که دیده نمی‌شود تا خراب شود. حمله فعلی یک چیز دیگر هم نشان داد: فروشگاه mechanicalkeyboards.com بعد از اینکه Shopify موضوع را internal escalate کرد، ظرف ۱۶ دقیقه با حذف اپ HulkApps مشکلش را بست. واکنش سریع ممکن است — به شرطی که بدانی کجا را نگاه کنی.
Q: سایت من Shopify نیست، نگران چی باشم؟
دقیقاً همین الگو: اسکریپت‌های جانبی. هر کدی که از سرور خودت نمی‌آید (ویجت چت، تبلیغات، آنالیتیکس، افزونه‌های ووکامرس) می‌تواند آلوده شود. دوره‌ای لیست اسکریپت‌های لودشده را با DevTools (تب Network) چک کن و هر چیزی که نمی‌شناسی را بپرس یا حذف کن.
Q: چطور مطمئن شوم چک‌اوتم واقعی است؟
در پنجره ناشناس تست کن و به URL دقت کن، نه ظاهر صفحه. چکاوت واقعی Shopify روی checkout.shopify.com است (یا دامنه اختصاصی کانفیگ‌شده خودت). دامنه‌ای که شبیه ولی عین آن نیست — مثل biliing به جای billing — قرمز است.
Q: اگر مشتری‌ای گرفتار شده چه کنم؟
اول اپ مشکوک را بلافاصله غیرفعال کن تا بقیه مشتری‌ها محافظت شوند، بعد به Shopify Support گزارش بده، و یک اعلان شفاف در سایت/اینستاگرامت بگذار: چه اتفاقی افتاده، چه زمانی، و مشتری چه کاری باید بکند (تماس با بانک، مسدود کردن کارت). سکوت اینجا گران‌ترین تصمیم است.