Atacantes falsifican el pago a través de una app de Shopify presente en 49.000 tiendas, mientras Amazon y eBay vetan a los agentes de compra con IA
Amazon, eBay y los grandes bancos están dejando fuera a los agentes de compra con IA; Shopify los dejó entrar y RBC elevó su precio objetivo de cara a los resultados del 3 de noviembre. Días antes, unos atacantes se valieron de los ajustes de las aplicaciones de confianza de Shopify para falsificar el pago, y la factura la pagaron los comercios, no la plataforma.
Richard Tang · 2 min read
El debate sobre los agentes de compra con IA ha dividido al sector, y Shopify+1.18% — Shopify, up 1.18 percent today va ganando; la semana pasada, sin embargo, su apertura se volvió en su contra. Amazon+5.14% — Amazon, up 5.14 percent today bloquea al agente Muse de Meta−0.94% — Meta, down 0.94 percent today y ha demandado a Perplexity$20B — Perplexity, private, latest valuation $20B por su asistente de compras, mientras eBay−0.67% — eBay, down 0.67 percent today, JPMorgan Chase−1.20% — JPMorgan Chase, down 1.20 percent today y Charles Schwab dejan a los agentes fuera de sus mercados y cuentas 12. Shopify, en cambio, abrió su catálogo a más agentes y conectó Muse con su sistema de pago Shop Pay; el 16 de octubre, RBC elevó el precio objetivo a 200 dólares antes de los resultados previstos para el 3 de noviembre 13.
La amplitud es el argumento de la subida. El analista de RBC Paul Treiber, con datos de Store Leads, calcula que la base de comercios de Shopify crece a su mayor ritmo desde finales de 2021, mientras las plataformas rivales están perdiendo comercios activos 4.
Los comercios de Shopify crecieron mientras las plataformas rivales se reducían
Data
| Value | |
|---|---|
| Shopify, todos los comercios | 15% |
| Shopify Plus | 24% |
| Plataformas rivales, media | -14% |
El crecimiento y el ataque entraron por la misma puerta
El 13 de octubre, unos intrusos accedieron a las herramientas internas de dos desarrolladores de aplicaciones, Logbase y HulkApps, e inyectaron JavaScript a través de ajustes a los que los comercios ya habían concedido permiso 56. Una función llamada "hijack" anulaba el pago real y llevaba a los compradores a dominios de pago calcados; se ejecutaba una sola vez por sesión de navegador, de modo que, cuando el propio comercio repetía la prueba, terminaba llegando a la página auténtica y todo parecía en orden 56. Selleasy, la app de venta adicional en el centro del caso, funciona en más de 49.000 tiendas 6. No se vulneró ninguna contraseña de tienda; la debilidad estaba en el canal de confianza 6.
La factura cayó un escalón por debajo de la plataforma. Carly Clarke cerró WAGD, su tienda de arneses para perros, la misma noche en que desviaron a un cliente, y Shopify la mantuvo cerrada siguiendo su propio consejo: no ha sido hasta hoy cuando le ha dado luz verde para reabrir. Sus pérdidas siguen sin cuantificarse 5.
La apuesta por los resultados y la brecha de seguridad van por caminos distintos
La subida del precio objetivo de RBC, según el resumen público, se apoya en el crecimiento de los comercios, el poder de fijación de precios y el comercio con IA 34. El ataque queda fuera de esa tesis, aunque transita por los mismos permisos. Los consumidores ya se muestran recelosos: el 45 % de los adultos estadounidenses se niega, directamente, a confiar una compra a la IA 1. Si algo de esto llega a las cifras de Shopify el 3 de noviembre, ninguna fuente publicada puede decirlo todavía.
El mecanismo a vigilar es la identidad. Amazon insiste en que los agentes se identifiquen antes de realizar transacciones 7. El pago falsificado funcionó porque la página de pago reescrita por una parte de confianza era indistinguible de la reescrita por una parte hostil. La identidad verificada de cada parte que toca el momento del pago —app, agente o tienda— es lo que permite que una plataforma abierta siga abierta. Quien construya esa capa cierra la distancia entre la capacidad y la confianza, y debería cobrar por ello.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
