Tội phạm mạng đang nâng cấp trò fake refund kinh điển bằng cách lợi dụng đường truyền thông báo hợp pháp của Shopify Shop thay vì chỉ dùng email giả hoặc website nhái. Huntress cho biết nạn nhân nhận cảnh báo mua hàng và hóa đơn giả ngay trong ứng dụng Shop thật, đôi khi dưới dạng Push Notification trông hoàn toàn bình thường.
Điểm đáng lo là chiến dịch khai thác niềm tin vào nền tảng thật. Huntress cho biết một số nhân viên của chính công ty đã nhận các thông báo này từ tháng 5 đến tháng 8/2026, trong khi nhiều báo cáo khác cũng xuất hiện. Mục tiêu là khiến nạn nhân tin có giao dịch lạ rồi liên hệ với thông tin do kẻ lừa đảo kiểm soát.
Kẻ tấn công lợi dụng hạ tầng thông báo của chính Shopify
Huntress cho rằng chiến dịch có thể dựa trên tài khoản người bán Shopify giả hoặc tài khoản bị chiếm để tạo đơn hàng giả. Vì đơn hàng được tạo bên trong hệ sinh thái Shopify, nạn nhân nhận thông báo thật từ app Shop thay vì email phishing từ domain đáng ngờ.
Nhà nghiên cứu gọi đây là biến thể của ‘Living Off Trusted Sites’. Chính cơ chế notification của Shopify giúp chuyển cảnh báo đơn hàng gian lận tới nạn nhân và làm giảm sự cảnh giác.
Đơn hàng giả được thiết kế để nạn nhân chủ động gọi cho scammer
Đơn hàng giả có thể chứa thông tin liên hệ của kẻ tấn công trong các trường như Shipping Address hoặc dữ liệu receipt. Khi thấy một khoản mua lớn hoặc không quen thuộc, nạn nhân có thể nghĩ số điện thoại hay email đó là kênh đúng để khiếu nại hoặc yêu cầu hoàn tiền.
Huntress cảnh báo scammer có thể ép nạn nhân cấp Remote Access, tiết lộ thông tin ngân hàng trực tuyến hoặc ‘trả lại’ khoản overpayment giả bằng Gift Card hoặc Wire Transfer. Giao dịch ban đầu là giả, nhưng tiền nạn nhân gửi đi là thật.
Cần xác minh giao dịch qua một kênh độc lập
Huntress khuyến cáo không gọi số điện thoại, gửi email hay mở link có trong đơn hàng lạ. Thay vào đó, hãy kiểm tra trực tiếp tài khoản ngân hàng, thẻ, PayPal hoặc phương thức thanh toán khác để xác nhận có charge thật hay không.
Người dùng Shopify cũng có thể đánh dấu đơn đáng ngờ là ‘Not my order’ nếu có tùy chọn, còn hướng dẫn bảo mật Shopify khuyến nghị báo phishing qua kênh chính thức. Ngay cả notification được gửi từ nền tảng thật cũng có thể mang nội dung do attacker kiểm soát.
Lạm dụng nền tảng đáng tin cậy đang thành vấn đề lớn hơn
Vụ Shopify cho thấy thách thức rộng hơn: attacker ngày càng muốn hoạt động bên trong những dịch vụ người dùng đã tin tưởng. Cloud Platform, hệ thống quảng cáo, Collaboration Tools hay hạ tầng Customer Support đều có thể bị lợi dụng. Khi tội phạm mượn Branding và kênh notification thật, các dấu hiệu trực quan truyền thống trở nên kém tin cậy.
Với người dùng và doanh nghiệp, thói quen an toàn hơn là xác minh sự kiện qua một kênh độc lập thứ hai trước khi hành động. Thông báo chi tiêu cần được kiểm tra trên tài khoản thanh toán thật, còn yêu cầu gọi support nên được xác thực bằng thông tin liên hệ lấy riêng từ website hoặc app chính thức.
