Cyberkriminelle geben dem klassischen Fake-Refund-Betrug eine neue Verpackung und missbrauchen dafür Shopifys legitime Shop-Benachrichtigungskette, statt nur gefälschte E-Mails oder Webseiten einzusetzen. Sicherheitsforscher von Huntress berichten, dass Opfer direkt in der echten Shop-App falsche Kauf- und Rechnungsbenachrichtigungen erhalten, teils als normal wirkende Push Notifications.
Die Kampagne ist besonders gefährlich, weil sie das Vertrauen in eine echte Plattform ausnutzt. Huntress zufolge erhielten mehrere eigene Mitarbeiter zwischen Mai und August 2026 solche Nachrichten; auch von anderen Nutzern gab es Berichte. Ziel ist, ein unbekanntes Kaufereignis glaubhaft zu machen und das Opfer zu Kontaktinformationen der Betrüger zu lenken.
Angreifer missbrauchen Shopifys eigene Benachrichtigungsinfrastruktur
Huntress geht davon aus, dass betrügerische oder kompromittierte Shopify-Verkäuferkonten genutzt werden, um gefälschte Bestellungen zu erzeugen. Weil die Bestellung innerhalb des Shopify-Ökosystems entsteht, erhält das Opfer eine echte Shop-App-Benachrichtigung statt einer typischen Phishing-Mail von einer verdächtigen Domain.
Die Forscher beschreiben die Technik als Variante von ‘Living Off Trusted Sites’. Hier dient der eigene Benachrichtigungsmechanismus direkt als Zustellkanal für die gefälschte Bestellmeldung und senkt das natürliche Misstrauen.
Die Fake-Bestellung soll das Opfer zum Anruf bewegen
In betrügerischen Bestellungen können vom Angreifer kontrollierte Kontaktdaten etwa in Shipping Address oder Beleginformationen eingebettet werden. Wer einen hohen oder unbekannten Kauf sieht, hält die angegebene Telefonnummer oder E-Mail womöglich für den offiziellen Weg, eine Zahlung zu beanstanden oder eine Rückerstattung anzufordern.
Huntress warnt, dass Betrüger Opfer zu Remote Access, zur Herausgabe von Online-Banking-Zugangsdaten oder zur ‘Rückzahlung’ einer angeblichen Überzahlung per Gift Card oder Wire Transfer drängen können. Die ursprüngliche Bestellung ist erfunden, das vom Opfer gesendete Geld dagegen echt.
Transaktion immer über einen unabhängigen Kanal prüfen
Huntress empfiehlt, bei unbekannten Bestellungen keine enthaltenen Telefonnummern anzurufen, E-Mails zu schreiben oder Links zu öffnen. Stattdessen sollten Bank, Kreditkarte, PayPal oder ein anderes Zahlungskonto direkt geprüft werden.
Shopify-Nutzer können verdächtige Bestellungen, sofern verfügbar, als ‘Not my order’ markieren und Shopify empfiehlt offizielle Meldewege für Phishing. Auch eine Meldung über eine echte Plattform kann Inhalte eines Angreifers enthalten.
Missbrauch vertrauenswürdiger Plattformen wird zum größeren Problem
Der Shopify-Fall steht für einen allgemeinen Trend: Angreifer versuchen zunehmend, innerhalb bereits vertrauenswürdiger Dienste zu operieren. Cloud Platform, Werbesysteme, Collaboration Tools oder Customer Support können ähnlich missbraucht werden. Wer Branding und Benachrichtigungskanäle echter Dienste nutzen kann, macht klassische visuelle Warnsignale weniger zuverlässig.
Für Nutzer und Unternehmen ist es sicherer, das zugrunde liegende Ereignis über einen zweiten unabhängigen Kanal zu bestätigen. Zahlungswarnungen gehören im echten Zahlungskonto geprüft, Support-Kontakte sollten unabhängig von der verdächtigen Nachricht über offizielle Quellen ermittelt werden.
