Apps de Shopify hackeadas: qué hacer tras el aviso del 20 de octubre

En octubre de 2026, atacantes usaron al menos tres apps de Shopify (Hulk Product Options, Selleasy y Swym Wishlist Plus) para meter código en tiendas que redirigía a los compradores a una página de pago falsa. Allí se capturaban los datos de la tarjeta y después se devolvía al cliente al checkout real, así que el pedido se completaba con normalidad. El checkout de Shopify no fue vulnerado; el fallo estuvo en las apps. El 20 de octubre, Shopify publicó un aviso para que los desarrolladores de apps refuercen su seguridad. Si vendes en Shopify, hoy mismo deberías hacer tres cosas: revisar qué apps pueden ejecutar código en tu tienda, probar el checkout en sesiones privadas nuevas y tener preparado qué harías si encuentras algo.

Qué ha pasado con las apps de Shopify: cronología del ataque

El primer caso lo documentó el desarrollador Roman Zipp el 10 de octubre, y en los días siguientes los propios fabricantes de las apps lo fueron confirmando. Esta es la secuencia según las declaraciones recopiladas por Zipp, el análisis técnico de cside y la cobertura de iTnews:

Ni Shopify ni los fabricantes han dicho cuántas tiendas se han visto afectadas. Para hacerte una idea de lo que había en juego, Logbase asegura que Selleasy está activa en más de 49.000 tiendas, aunque eso no significa que todas recibieran el script. Y no es la primera vez: en julio, Qikify ya sufrió una inyección parecida en dos de sus apps por culpa de una credencial comprometida.

Por qué este ataque a Shopify es difícil de detectar

Lo que debería preocupar a cualquier responsable de e-commerce no es solo el ataque, sino lo bien que se escondía:

• El código no estaba en tu tema. El archivo de la app que sirve el CDN de Shopify era legítimo. El código malicioso llegaba como "dato" desde los servidores del fabricante, a través de un campo de JavaScript personalizado en la configuración de la app. Si revisabas el código de tu tema, no encontrabas nada.
• Se activaba una vez por sesión. Guardaba una marca en el navegador (claves que empiezan por __ctf_) y no volvía a saltar. Si lo probabas dos veces seguidas, la segunda parecía todo normal.
• El pedido entraba igual. El cliente metía la tarjeta en la página falsa, lo mandaban al checkout de verdad y compraba. En tus informes de ventas no notabas nada raro.
• Los dominios eran nuevos. Se usaban dominios como biliing[.]top o checkout-confirm[.]top, que todavía no estaban en las listas de bloqueo habituales cuando se detectaron.

Dicho de otra forma: puede que te hayas enterado por un cliente que se queja de un cargo que no reconoce, semanas después.

Qué significa para una tienda Shopify en España

El riesgo está en tus apps, no en Shopify

Muchas pymes eligen Shopify precisamente para no tener que preocuparse por la seguridad del servidor, y en eso sigue cumpliendo. Pero cada app que instalas para upsells, wishlist, opciones de producto o filtros es código de otra empresa que se ejecuta delante de tus clientes. Si esa empresa sufre un fallo en su seguridad, el fallo es tuyo de cara al comprador. Una tienda media puede tener entre 10 y 30 apps instaladas, y bastantes ya no se usan.

Tu responsabilidad ante el cliente y el RGPD

Si a un cliente le roban la tarjeta en una página falsa a la que llegó desde tu tienda, para él la culpable eres tú. Además, puede ser una brecha de datos personales en el sentido del RGPD. La AEPD establece que, cuando la brecha supone un riesgo, el responsable debe notificarla en un máximo de 72 horas desde que tiene constancia de ella, por su sede electrónica. Si te falta información, puedes hacer una notificación inicial y completarla después. Tanto si la notificas como si no, tienes que documentarla. Para valorar el riesgo, la AEPD tiene la herramienta Asesora Brecha, aunque la decisión final siempre es tuya o de tu asesor legal.

Lo que Shopify pide ahora a los desarrolladores

En su aviso del 20 de octubre, Shopify no menciona el incidente, pero sí habla del aumento de ataques en el ecosistema de apps. Pide a los desarrolladores que analicen su app con la comprobación de seguridad del AI Toolkit y que traten como no fiable cualquier dato que se pinte en la tienda, aunque venga de sus propios servidores. También les pide que activen la verificación en dos pasos en todas sus cuentas y que migren a tokens de acceso que caducan, que según Shopify "pronto serán obligatorios" para las apps públicas. Que el fabricante haga sus deberes es una buena noticia, pero no puedes comprobarlo tú. Lo que sí puedes controlar es tu propia tienda.

Checklist: cómo comprobar si tu checkout de Shopify está comprometido

Esta lista mezcla las recomendaciones de cside y Ethercycle. En general es de solo lectura: revisa, pero no borres nada antes de documentarlo.

1. Haz inventario de apps. En el admin, entra en Configuración → Apps y apunta cuáles tienes, para qué sirven y quién las usa. Si alguien de tu equipo no sabe explicar para qué está una app, es candidata a desaparecer.
2. Busca campos de código personalizado. Revisa en la configuración de cada app si hay campos de "Custom JavaScript", "Custom HTML" o "Custom CSS". Si contienen algo que no reconoces, haz una captura y consulta antes de tocarlo.
3. Revisa los app embeds del tema. En el editor de temas, apartado "Insertar aplicación", mira cuáles están activos. Desactiva los de apps que ya no usas.
4. Prueba el checkout en sesiones nuevas. Abre una ventana privada, añade un producto y pulsa "Finalizar compra". La dirección tiene que ser tu dominio o tu .myshopify.com. Repite en otra ventana privada, en el móvil y desde el carrito lateral si lo tienes.
5. Busca la huella del ataque. Con las herramientas de desarrollador del navegador abiertas (Aplicación → Almacenamiento de sesión), busca claves que empiecen por __ctf_. En la pestaña Red, filtra por .top. Si te suena a chino, pídeselo a tu agencia: son diez minutos.
6. Si usabas Swym, revisa si la app ha modificado archivos del tema y busca checkout-guard en el código.
7. Vigila las señales indirectas. Fíjate en emails de clientes que hablen de cargos raros, en los avisos de fraude o contracargos de tu pasarela y en cualquier comentario sobre "una página de pago distinta".
8. Refuerza los accesos. Cambia contraseñas, activa la verificación en dos pasos para todo el personal y revisa qué colaboradores y agencias siguen teniendo acceso a tu admin.

Si encuentras algo: plan de respuesta en las primeras 72 horas

1. Guarda pruebas antes de nada. Haz capturas con la URL visible y, si puedes, exporta un archivo HAR desde el navegador.
2. Corta el origen. Desactiva la app sospechosa. Si no sabes cuál es, activa la protección con contraseña de la tienda mientras investigas, como hizo WAGD.
3. Avisa por escrito al fabricante de la app, al soporte de Shopify y a tu pasarela de pago. Que todo quede por escrito: en el caso australiano, la confirmación del fabricante de que el código estaba limpio no bastó para que Shopify autorizara reabrir.
4. Valora la notificación a la AEPD y a los clientes afectados con tu asesor. Recuerda que el reloj de 72 horas empieza cuando tienes constancia.
5. Documenta qué pasó, cuándo y qué hiciste. Te lo exige el RGPD y te va a hacer falta si hay reclamaciones.

Cómo reducir el riesgo de apps en tu tienda online a partir de ahora

• Menos apps, mejor elegidas. Cada app que eliminas es un proveedor menos que puede fallarte. A veces lo que hace una app de pago mensual se resuelve con una sección del tema o con una función nativa de Shopify.
• Nada de código suelto en la configuración de las apps. Si alguien necesita JavaScript personalizado, que vaya al tema, versionado y revisado, y no a un campo de una app que tú no controlas.
• Vigila el checkout de forma automática. Un flujo sencillo puede abrir tu tienda cada hora en un navegador limpio, pulsar "Finalizar compra", comprobar a qué dominio te lleva y avisarte por Slack o email si algo cambia. Es exactamente el tipo de tarea que montamos con automatizaciones con n8n: barata de mantener y sin depender de que alguien se acuerde de revisarlo.
• Auditoría periódica. Una revisión trimestral de apps, permisos y accesos lleva poco tiempo y evita sustos. Si quieres que la haga un equipo externo, en nuestra agencia Shopify la incluimos en el mantenimiento.

Si tu tienda está en Magento, este mes también te toca

El problema de fondo, el código de terceros, no es solo de Shopify. El 13 de octubre, Adobe publicó el boletín APSB26-153, que corrige BlockStrap (CVE-2026-103849), una vulnerabilidad de ejecución remota de código sin autenticación con una puntuación CVSS de 10. Sansec advierte de que con un composer update normal no basta: hay que aplicar de forma explícita el parche de octubre o el parche aislado. Si no lo tienes claro, nuestro equipo de mantenimiento y seguridad de Magento 2 puede revisarlo. También puedes repasar cómo actuamos con un fallo anterior en PolyShell en Magento 2, o pedir una auditoría completa de tu tienda online.

Preguntas frecuentes

¿Shopify ha sido hackeado?

No. Según los análisis publicados, la infraestructura del checkout de Shopify no se vio comprometida. Los atacantes entraron por apps de terceros que tenían permiso para cargar código en las tiendas.

Si no tengo ninguna de esas tres apps, ¿estoy a salvo?

No del todo. No se sabe todavía cuál fue la causa raíz ni si hay más apps afectadas. Shopify retiró temporalmente otras apps de su tienda, aunque una retirada no demuestra que estén comprometidas. Haz la checklist igualmente.

¿Cómo sé si algún cliente ha sido víctima?

Es difícil, porque el pedido se completaba con normalidad. Revisa las reclamaciones de clientes y los contracargos desde el 10 de octubre, consulta con tu pasarela de pago y, si usabas alguna de las apps afectadas, pide al fabricante por escrito si tu tienda estaba en la lista.

¿Tengo que avisar a la AEPD?

Si confirmas que se capturaron datos personales de tus clientes y eso supone un riesgo para ellos, sí: en un plazo máximo de 72 horas desde que lo sabes. Si no lo tienes claro, usa Asesora Brecha de la AEPD y consulta con tu asesor. Notifiques o no, documenta el incidente.

Si después de leer esto no sabes cuántas apps tienes ni qué hace cada una, mejor revisarlo ahora que cuando te avise un cliente. En Guznel Flow auditamos tu tienda, eliminamos el código que sobra y dejamos montada una vigilancia automática del checkout. Habla con nuestro equipo de Shopify y te decimos en pocos días si tu tienda está limpia.