Si tienes una tienda Shopify, estas dos últimas semanas han sido confusas. Apps de las que dependes han desaparecido de la App Store, algunas se han desactivado en las tiendas, y las explicaciones están repartidas entre hilos de foros, avisos de los proveedores y publicaciones de LinkedIn. Muchos comerciantes todavía no saben si su tienda se vio afectada, si una app que usan será la siguiente ni qué deben hacer.
Este artículo reúne lo que está realmente confirmado, lo que puedes revisar hoy en tu tienda y cómo plantearte sustituir una app sin volver a caer en el mismo problema.
Qué pasó
Desde alrededor del 10 de octubre de 2026, algunos clientes de tiendas Shopify hicieron clic en el checkout y acabaron en una página de pago falsa en lugar de la real. La página se parecía al checkout de Shopify, recogía los datos de la tarjeta y de facturación y luego enviaba al cliente al checkout real, así que nada parecía raro.
El código venía de apps de terceros que ya estaban instaladas en esas tiendas. En el caso que Roman Zipp documentó con detalle, la redirección salía de un JavaScript personalizado que se servía a través de la extensión de tienda de una app y llevaba a los clientes a dominios que imitaban a los reales. El script usaba el almacenamiento de sesión para dispararse solo una vez por cliente, así que un segundo intento de checkout parecía totalmente normal. Esa es buena parte de la razón por la que a los comerciantes les costaba reproducirlo.
Varios proveedores han publicado desde entonces su versión. Selleasy informó de scripts inyectados y redirecciones de phishing hacia fuera. HulkApps dijo que una vulnerabilidad introdujo una configuración no autorizada en su extensión Product Options. Swym describió un cambio de configuración no autorizado que cargaba un script en parte de las tiendas. Orichi informó de un incidente anterior, en septiembre, con JavaScript malicioso en el código personalizado de una campaña. Setka mantiene una lista actualizada que separa los casos confirmados por los proveedores de las simples acusaciones.
Por qué se retiraron tantas apps
Shopify retiró varias apps de la App Store mientras pasaba todo esto, y un seguimiento público contó más de cien retiradas, con un gran grupo el 15 de octubre. En redes sociales verás cifras más altas.
Cuidado con esas cifras. Que se retire una app no demuestra que estuviera comprometida. Algunas retiradas coinciden con los incidentes de seguridad, otras parecen revisiones de normas o de cumplimiento, y el 16 de octubre también terminaba una versión antigua de la API de Shopify, lo que podría explicar otras. Al escribir esto, Shopify no ha publicado ninguna declaración que relacione todas las retiradas con un único incidente, y la causa del secuestro sigue sin confirmarse.
Así que «han retirado mi app» y «han hackeado mi tienda» son dos preguntas distintas. Tienes que responder a las dos.
Revisa tu tienda hoy
Si tienes, o has tenido hace poco, alguna app afectada, sigue esta lista:
- Prueba el checkout en una ventana privada nueva, una vez por cada camino de compra (página de producto, carrito, cualquier flujo de venta adicional o de packs). Como el secuestro se disparaba una vez por sesión, una sola prueba limpia no basta. Mira la barra de direcciones en el paso de pago: debe mostrar el dominio de tu tienda o el checkout de Shopify, nunca un dominio desconocido.
- Comprueba el periodo de exposición del proveedor. La mayoría de los avisos dan fechas y horas. Compáralas con cuándo estuvo activa la app en tu tienda. Tener la app instalada no demuestra que te afectara, y no tener una app de las nombradas no demuestra que no.
- No des por hecho que desinstalar lo ha limpiado todo. Desactivar la integración de una app o desinstalarla no garantiza que desaparezca el código inyectado ni los restos en el tema. Revisa tu tema buscando código que añadiera la app y quita lo que ya no necesites.
- Si ves una redirección, actúa enseguida. Restringe el acceso a tu tienda online, contacta con el soporte de Shopify y con el desarrollador de la app, y guarda el aviso del cliente (nunca le pidas que te envíe los datos de su tarjeta). Recuerda que los pedidos completados no muestran a todos los que escribieron su tarjeta en un formulario falso y luego lo dejaron.
- Haz preguntas directas al desarrollador. Qué cambió, qué quedó expuesto, qué tiendas y periodos se vieron afectados y qué pruebas confirman el arreglo.
Elegir una app de sustitución sin repetir el problema
Muchos comerciantes tienen que sustituir ahora una app con prisa. Algunos simplemente la borran y se apañan sin ella, otros se construyen rápidamente un sustituto y muchos comparan alternativas con presión. Sea cual sea tu camino, este incidente es un buen motivo para añadir algunas preguntas a la lista habitual de funciones, soporte y precio:
- ¿Cuánto código pone en tu tienda? Cada app que carga JavaScript delante de tus clientes es una vía hacia tu checkout. Una app que hace su trabajo en el admin de Shopify o mediante Shopify Functions deja mucha menos huella que una que inyecta scripts en cada página.
- ¿Puede ejecutar código que no has escrito tú? Los campos de «JS personalizado» son útiles, pero son justo lo que se aprovechó aquí. Si no los necesitas, elige apps que no los ofrezcan, o al menos asegúrate de que solo personal de confianza puede editarlos.
- ¿Dónde están tus datos? Las apps que guardan sus ajustes y contenidos en Shopify, con metacampos y metaobjetos, son más fáciles de revisar y de dejar.
- ¿Puedes quitarla limpiamente? Pregunta qué queda después de desinstalarla. Las apps que editan directamente los archivos del tema suelen dejar código mucho después de irse.
- ¿Cómo lo gestionó el proveedor este mes? Un aviso claro y a tiempo, con fechas y detalles, es buena señal. El silencio, no.
- ¿El precio es honesto? Tener que cambiar por obligación es un buen momento para dejar las apps cuyos precios te castigan por crecer.
Tener menos apps suele ser el mejor resultado. Si una app retirada hacía algo que casi no usabas, quizá sea el empujón para no volver a instalarla.
Vigila el código que carga tu tienda
Lo difícil de este ataque es que vivía dentro de código que los comerciantes ya habían aprobado. Nada cambiaba en el admin de Shopify, y la experiencia del cliente solo parecía rara un momento. La mayoría de las tiendas no tienen registro de qué scripts carga su tienda, así que no podían saber cuándo cambiaba algo.
Para ese hueco está hecha la vigilancia de scripts de la tienda de Skyfense. Visita tu tienda Shopify como un cliente cada hora, registra los scripts externos que carga cada página y genera un hallazgo con las diferencias de código cuando alguno cambia. El código cambiado se revisa buscando palabras de campos de pago, ofuscación y patrones de extracción de datos, y los hallazgos críticos llegan a tu email o webhook de alertas. Está en beta, no revisa el checkout alojado por Shopify ni quita código por ti, y compara con los scripts que ve primero en tu tienda, así que el mejor momento para empezar es antes del próximo incidente, no después.
Las apps seguirán yendo y viniendo. Lo que tú controlas es cuánto código dejas entrar en tu tienda y si te enteras cuando cambia.