Penjahat siber memberi sentuhan baru pada scam fake refund klasik dengan menyalahgunakan jalur notifikasi resmi Shopify Shop, bukan hanya mengandalkan email palsu atau situs tiruan. Peneliti Huntress mengatakan korban menerima pemberitahuan pembelian dan invoice palsu langsung di aplikasi Shop yang asli, terkadang dalam bentuk Push Notification yang terlihat normal.
Kampanye ini penting karena memanfaatkan kepercayaan pada platform asli, bukan sekadar menyamar sebagai Shopify dari luar. Huntress mengatakan beberapa karyawannya menerima pesan seperti ini antara Mei dan Agustus 2026, sementara laporan serupa juga muncul. Tujuannya membuat korban percaya ada pembelian asing lalu mengarahkan mereka ke kontak yang dikendalikan penipu.
Penyerang menyalahgunakan infrastruktur notifikasi Shopify sendiri
Huntress menilai modus ini kemungkinan memakai akun penjual Shopify palsu atau akun yang telah diambil alih untuk membuat pesanan fiktif. Karena pesanan dibuat di dalam ekosistem Shopify, korban menerima notifikasi asli dari aplikasi Shop, bukan email phishing biasa dari domain mencurigakan.
Peneliti menggambarkannya sebagai variasi ‘Living Off Trusted Sites’. Dalam kasus ini mekanisme notifikasi Shopify sendiri membantu mengirim peringatan pesanan palsu dan menurunkan kewaspadaan pengguna.
Pesanan palsu dibuat agar korban menelepon penipu
Pesanan fiktif dapat memuat kontak penyerang di kolom seperti Shipping Address atau informasi receipt. Saat melihat pembelian besar atau tidak dikenal, korban dapat mengira nomor telepon atau email dalam pesanan adalah jalur resmi untuk menyanggah tagihan atau meminta refund.
Huntress memperingatkan penipu dapat menekan korban untuk memberi Remote Access, membocorkan kredensial perbankan, atau ‘mengembalikan’ pembayaran berlebih fiktif melalui Gift Card atau Wire Transfer. Pembelian awalnya palsu, tetapi uang yang dikirim korban nyata.
Baca selengkapnya
Verifikasi transaksi lewat kanal terpisah
Huntress menyarankan pengguna tidak menelepon nomor, mengirim email, atau membuka tautan yang tercantum dalam pesanan tak dikenal. Sebaliknya, periksa langsung bank, kartu, PayPal atau akun pembayaran lain untuk memastikan apakah ada tagihan nyata.
Pengguna Shopify juga dapat menandai pesanan mencurigakan sebagai ‘Not my order’ bila opsi tersedia, sementara panduan keamanan Shopify menyarankan memakai kanal resmi untuk pelaporan phishing. Notifikasi dari platform asli pun dapat membawa konten yang dikendalikan penyerang.
Penyalahgunaan platform tepercaya menjadi masalah keamanan yang lebih besar
Kasus Shopify menunjukkan tantangan yang lebih luas: penyerang semakin mencoba beroperasi di dalam layanan yang sudah dipercaya pengguna. Cloud Platform, sistem iklan, Collaboration Tools atau infrastruktur Customer Support dapat disalahgunakan dengan cara serupa. Ketika kriminal meminjam Branding dan saluran notifikasi sah, tanda visual tradisional menjadi kurang dapat diandalkan.
Bagi pengguna dan bisnis, kebiasaan yang lebih aman adalah memverifikasi kejadian melalui kanal independen kedua sebelum bertindak. Notifikasi pengeluaran harus dicek pada akun pembayaran yang sebenarnya, dan permintaan menghubungi support harus divalidasi dengan detail kontak resmi yang dicari terpisah dari pesan mencurigakan.
