Mises à jour sur l'incident de sécurité

Mise à jour : 10 octobre
Un article récent de Romanzipp a mentionné Qikify en lien avec un problème de sécurité d'une application Shopify. Cet article fait référence à l'incident décrit sur cette page, qui a été entièrement résolu le 22 juillet 2026. Nous confirmons qu'aucun problème n'est en cours.

Pour toute question ou inquiétude, notre équipe est à votre disposition à l'adresse support@qikify.com.

----------------------

À qui s'adresse cette page :  Cette page est destinée aux boutiques que nous avons identifiées comme concernées par ce problème. Si votre boutique a été affectée, vous avez vu un avis dans l'interface d'administration de votre application Qikify vous redirigeant ici. Si vous n'avez pas vu cet avis dans l'application, votre boutique n'a pas été identifiée comme affectée. 

Dernière mise à jour – 21 août 2026

Nous avons le plaisir de confirmer que Qikify Sticky Add to Cart et Qikify Smart Menu & Navigation sont de nouveau listées sur le Shopify App Store depuis aujourd'hui. Nous remercions Shopify pour sa collaboration dans la finalisation du processus d'examen de sécurité.

Indemnisation et prochaines étapes : Nous tenons à vous rassurer : chaque boutique concernée actuellement active recevra une indemnisation, dans le cadre de notre responsabilité. Celle-ci se fait en deux parties : 

• La première est l'indemnisation immédiate déjà présentée dans l'e-mail que nous vous avons envoyé fin juillet.
• La seconde suivra une fois notre évaluation finalisée avec Shopify. Nous avions initialement prévu d'en communiquer tous les détails entre le 24 et le 30 août 2026. Toutefois, le processus d'examen de sécurité s'étant terminé plus tôt que prévu, nous travaillons désormais à vous envoyer cette mise à jour dès que possible.

Le 22 juillet 2026, nous avons identifié un incident de sécurité affectant deux de nos applications, Qikify Sticky Add to Cart et Qikify Mega Menu & Navigation. D'après notre enquête à ce jour, un groupe de boutiques a été affecté.

La vulnérabilité permettait à un tiers non autorisé de rediriger certains clients vers une page frauduleuse pendant leur achat. Le problème a été détecté et entièrement résolu entre 12h30 et 22h40 le 22 juillet 2026 (UTC). Nous avons supprimé les scripts malveillants de toutes les boutiques concernées. Les heures exactes de détection et de correction pour chaque application sont indiquées ci-dessous :

1. Qikify Sticky Add to Cart :
Sur les boutiques concernées, les clients qui cliquaient sur le bouton Paiement depuis le panier latéral pouvaient être redirigés vers une page frauduleuse ne faisant pas partie de votre boutique Shopify, hébergée par un tiers non autorisé. Ce problème a été détecté pour la première fois entre 12h30 et 12h58 le 22 juillet 2026 (UTC), et corrigé entre 16h10 et 17h40 le 22 juillet 2026 (UTC).

2. Qikify Mega Menu & Navigation :
Sur les boutiques concernées, les clients qui cliquaient sur le bouton Ajouter au panier ou sur le bouton Paiement pouvaient être redirigés vers le même type de page frauduleuse ne faisant pas partie de votre boutique Shopify, hébergée par un tiers non autorisé. Ce problème a été détecté pour la première fois à 14h15 le 22 juillet 2026 (UTC), et entièrement corrigé entre 19h30 et 22h40 le 22 juillet 2026 (UTC).

AVIS :

• Dans aucun des deux cas, cette page frauduleuse ne pouvait passer de véritable commande ni débiter vos clients.
• Aucune de nos autres applications Qikify n'a été affectée par cet incident. Nous vous avons récemment envoyé un e-mail vous demandant de vous authentifier à nouveau sur vos applications Qikify : cela fait uniquement partie de notre processus de renforcement de la sécurité, il ne s'agit pas d'un nouveau problème.

Dans les deux cas, si un client saisissait ses informations sur la page frauduleuse, il était ensuite redirigé vers la véritable page de paiement de votre boutique. Comme le client arrivait ensuite sur la page de paiement authentique, la redirection pouvait facilement passer inaperçue.

DONNÉES CONCERNÉES :
Nous avons analysé le script injecté et la page frauduleuse afin de déterminer précisément quelles données étaient concernées ou non. Voici nos conclusions.

Vos données Shopify n'ont pas été touchées. Aucune donnée de boutique, aucune fiche client conservée dans Shopify et aucune donnée accessible via l'API Shopify n'a été lue, consultée ou transmise. Le script injecté n'a interagi ni avec les API de Shopify ni avec aucune donnée détenue par Qikify ou Shopify. Nous pouvons l'affirmer avec certitude.

Les données qu'un client a pu saisir sur la page frauduleuse constituent le point qui requiert votre attention, et nous souhaitons être précis sur ce que nous savons :

• La page frauduleuse affichait les champs suivants : informations client (e-mail, prénom, nom, adresse de livraison, numéro de téléphone) ; informations de paiement (numéro de carte, nom du titulaire, date d'expiration, code de sécurité). D'après notre enquête à ce jour, seules les informations de paiement pouvaient être collectées, et uniquement si un acheteur remplissait les champs et cliquait sur le bouton « Submit ».
• Pendant la période d'exposition, les protections anti-hameçonnage et anti-fraude de Cloudflare étaient actives sur le domaine de l'attaquant et ont interrompu les tentatives d'accès à la page. Nous l'avons vérifié nous-mêmes en essayant de charger la page lors de notre analyse. Cela signifie qu'une partie des clients redirigés auraient été bloqués avant d'atteindre le formulaire, sans que nous puissions toutefois mesurer cette proportion.

Un point qui peut vous aider à évaluer le risque : nous n'avons trouvé sur la page frauduleuse aucun mécanisme permettant de débiter un paiement au moment de la soumission ni de passer une commande via cette page externe. Le risque concerne la capture des informations saisies, et non un débit immédiat sur la page elle-même.

Code du thème : nos applications n'ont écrit aucun code dans votre thème Shopify en lien avec cet incident. Le contenu injecté était limité à l'enregistrement des paramètres de l'application, et sa suppression a été finalisée à l'issue de notre processus de correction.

Nos équipes Support et Ingénierie ont immédiatement commencé à enquêter et à résoudre le problème afin de limiter tout impact potentiel.

Nous avons identifié la cause première, l'avons entièrement résolue dans notre système et avons effectué un examen complet de toutes les boutiques concernées, en supprimant chaque script malveillant identifié.

L'incident était strictement limité à deux champs de contenu HTML personnalisables dans les paramètres des applications :

• Pour Qikify Sticky Add to Cart : Empty cart text, Sticky cart message.
• Pour Qikify Mega Menu, Navigation : Item title.

D'après notre enquête à ce jour, aucun identifiant de compte Shopify n'a été consulté, exposé ou compromis via le système Qikify.

*Dernière mise à jour : Nous avons terminé l'examen de sécurité avec Shopify et les deux applications sont de nouveau listées sur le Shopify App Store aujourd'hui (21 août 2026).

Nous avons partagé les premières conclusions de notre enquête avec Shopify, qui en a confirmé la réception dans le cadre de son processus d'examen visant à rétablir les applications et à évaluer, avec nous, tout impact éventuel.

Nous travaillons désormais en étroite collaboration avec Shopify pour mener à bien deux examens de sécurité indépendants supplémentaires :

1. Rapport d'incident (IR) : un rapport détaillé expliquant l'incident, sa cause première, son impact et les mesures correctives.

Calendrier détaillé :

• 29 juil. : lancement, collecte des preuves et configuration des accès
• 30 juil. - 31 juil. : tri des preuves et analyse des IOC
• 3 août - 4 août : corrélation des journaux, reconstitution de la chronologie et analyse de la cause première
• 5 août - 6 août : validation des mesures correctives et projet de rapport d'incident
• 6 août : rapport d'incident indépendant préliminaire
• 7 août - 11 août : examen final et rapport d'incident indépendant final
• 12 août - 13 août : marge de sécurité (pour des investigations complémentaires, la validation des preuves ou les questions de suivi de Shopify)

2. Évaluation des vulnérabilités et tests d'intrusion (VAPT) : une évaluation de sécurité indépendante visant à vérifier que l'application est sécurisée et exempte d'autres vulnérabilités.

Calendrier détaillé :

• 29 juil. - 11 août : évaluation des vulnérabilités et tests d'intrusion
• 12 août - 17 août : nouveaux tests après correction (si nécessaire)
• 18 août - 19 août : rapport VAPT final
• 20 août - 21 août : marge de sécurité (pour des investigations complémentaires, la validation des preuves ou les questions de suivi de Shopify)

Nous avons fait appel à un cabinet tiers spécialisé en sécurité pour réaliser ces deux examens, et les travaux sont en cours.

PROCHAINES MISES À JOUR ET INDEMNISATION :
Nous savons qu'attendre des réponses est difficile, c'est pourquoi nous voulons être clairs sur la suite. Entre le 21 et le 30 août 2026, nous publierons une mise à jour complète ici et par e-mail. Elle comprendra notre évaluation de tout impact sur votre boutique, ainsi que la seconde partie de votre indemnisation, déterminée une fois notre évaluation de l'impact finalisée avec Shopify. La première partie, l'indemnisation immédiate, a déjà été présentée dans l'e-mail que nous vous avons envoyé.

Si nous pouvons partager ces informations plus tôt, nous vous contacterons immédiatement.

1. La vulnérabilité a été corrigée.

Nous avons identifié la cause première de ce problème et l'avons résolue dans notre système, et nous avons supprimé tous les scripts malveillants identifiés dans les boutiques concernées.

2. Un audit de sécurité complet de l'ensemble du système des applications Qikify.

Nous menons actuellement un audit approfondi de chaque élément et de chaque fonctionnalité de toutes les applications Qikify (et pas seulement des deux concernées par cet incident) afin d'identifier et de corriger toute vulnérabilité exploitable. Dans le cadre de ce processus, le 29 juillet 2026, nous avons entièrement réinitialisé l'authentification de toutes les applications Qikify à titre de renforcement de la sécurité. Si vous avez reçu une notification par e-mail vous demandant de vous authentifier à nouveau sur vos applications Qikify, soyez assuré qu'il s'agit d'une étape habituelle de ce processus et non du signe d'un nouveau problème.

3. Des spécialistes de la sécurité indépendants.

Nous faisons appel à des partenaires de sécurité certifiés pour réaliser cet audit aux côtés de notre propre équipe, afin que nos systèmes soient vérifiés de manière indépendante plutôt que de reposer uniquement sur notre évaluation interne.

Bien que nous ayons déjà supprimé de votre boutique tous les scripts malveillants connus, nous vous recommandons d'effectuer une vérification rapide :

• Ouvrez votre boutique en ligne.
• Testez les boutons Ajouter au panier.
• Testez le bouton Paiement pour vérifier qu'il redirige bien vers votre page de paiement Shopify habituelle.

Si vous constatez un comportement inattendu ou avez la moindre inquiétude, contactez immédiatement notre équipe d'assistance prioritaire (voir ci-dessous).

Nous vous présentons nos sincères excuses pour la gêne que cet incident a pu occasionner. La protection de votre boutique et de vos clients est notre priorité absolue, et nous restons déterminés à travailler en étroite collaboration avec Shopify pour garantir la sécurité de notre application.

Nous recueillons actuellement les signalements d'incidents afin de mieux les prioriser en tant que tickets d'assistance et de les prendre en compte dans notre examen final. N'hésitez donc pas à laisser votre message, vos inquiétudes ou vos questions dans le formulaire ci-dessous.
Notre équipe d'assistance est prête à répondre à toutes vos questions ou inquiétudes.

Écrivez-nous ici : contact@qikify.com

Ou utilisez le formulaire de contact ci-dessous pour soumettre votre cas :