--- title: "Des pirates piègent le paiement via une application Shopify présente sur 49 000 boutiques, quand Amazon et eBay bannissent les agents d'achat IA" description: "Amazon, eBay et les grandes banques ferment leur porte aux agents d'achat IA ; Shopify les a laissés entrer, et RBC a relevé son objectif de cours à l'approche de la publication du 3 novembre. Quelques jours plus tôt, des assaillants ont exploité les réglages de confiance des applications Shopify pour fabriquer de faux paiements — et l'addition est tombée sur les marchands, pas sur la plateforme." publisher: "The Inference" section: "Platforms" published: 2026-10-19T16:12:22.466Z modified: 2026-10-19T16:12:22.466Z canonical: https://theinference.org/article/attackers-faked-checkout-through-a-49-000-store-shopify-app-as-amazon-and-ebay-block-ai-shopping-agents/fr language: fr keywords: "AI Agents, Cybersecurity, E-commerce, Shopify, RBC Capital Markets" --- # Des pirates piègent le paiement via une application Shopify présente sur 49 000 boutiques, quand Amazon et eBay bannissent les agents d'achat IA > Amazon, eBay et les grandes banques ferment leur porte aux agents d'achat IA ; Shopify les a laissés entrer, et RBC a relevé son objectif de cours à l'approche de la publication du 3 novembre. Quelques jours plus tôt, des assaillants ont exploité les réglages de confiance des applications Shopify pour fabriquer de faux paiements — et l'addition est tombée sur les marchands, pas sur la plateforme. Le secteur se coupe en deux autour des agents d'achat IA (AI shopping agents), et [Shopify](https://theinference.org/markets/companies/shopify) est en train de gagner cette manche. Mais son ouverture s'est retournée contre elle la semaine dernière. [Amazon](https://theinference.org/markets/companies/amazon) bloque l'agent Muse de [Meta](https://theinference.org/markets/companies/meta) et a assigné [Perplexity](https://theinference.org/markets/companies/perplexity) en justice au sujet de son assistant d'achat. [eBay](https://theinference.org/markets/companies/ebay), [JPMorgan Chase](https://theinference.org/markets/companies/jpmorgan-chase) et Charles Schwab, eux, [barrent aux agents l'accès à leurs places de marché et à leurs comptes](https://www.theverge.com/ai-artificial-intelligence/1013195/ai-agents-blocked-web) [1][2]. Shopify a fait le choix inverse : ouvrir son catalogue à davantage d'agents et [brancher Muse sur son tunnel de paiement Shop Pay](https://theinference.org/article/shopify-hands-ai-agents-the-buy-button-and-merchants-the-bill). Le 16 octobre, [RBC a relevé son objectif de cours à 200 dollars](https://www.tipranks.com/news/shopify-stock-shop-has-20-upside-says-rbc-capital-markets), à l'approche des résultats attendus le 3 novembre [1][3]. L'argument du relèvement, c'est l'ampleur. Selon l'analyste de RBC Paul Treiber, qui s'appuie sur les données de Store Leads, le parc de marchands de Shopify croît à son rythme le plus rapide depuis fin 2021, pendant que les plateformes concurrentes perdent des marchands actifs [4]. *Chart: **Shopify gagne des marchands, les plateformes concurrentes en perdent** Graphique en barres de la croissance des marchands sur un an : +15 % pour l'ensemble des marchands Shopify, +24 % pour Shopify Plus, -14 % en moyenne pour les plateformes concurrentes.* *Variation sur un an du nombre de marchands actifs, T3 2026 ; analyse de RBC Capital Markets à partir des données Store Leads et du recensement américain (U.S. Census). [4]* ## La croissance et l'attaque sont passées par la même porte Le 13 octobre, des intrus se sont introduits dans les outils internes de deux éditeurs d'applications, Logbase et HulkApps, et y ont [injecté du JavaScript via des réglages que les marchands avaient déjà autorisés](https://www.itnews.com.au/news/shopify-tells-australian-store-to-stay-shut-after-hijacked-extensions-divert-shoppers-629693) [5][6]. Une fonction baptisée « hijack » annulait le vrai tunnel de paiement et redirigeait les acheteurs vers des domaines de paiement clones. Elle ne se déclenchait qu'une fois par session de navigation : en retestant sa boutique, le marchand finissait par tomber sur la page authentique, qui semblait propre [5][6]. Selleasy, l'application de vente additionnelle au cœur de l'affaire, [tourne sur plus de 49 000 boutiques](https://www.techbusinessnews.com.au/news/shopify-stores-caught-in-fake-checkout-attack-as-hijacked-apps-redirect-shoppers/) [6]. Aucun mot de passe de boutique n'a été forcé ; la faille, c'était le canal de confiance lui-même [6]. L'addition est tombée un étage en dessous de la plateforme. Carly Clarke a fermé WAGD, sa boutique de harnais pour chiens, le soir même où un client a été redirigé ; Shopify, sur ses propres conseils, a maintenu la boutique fermée et ne l'a autorisée à rouvrir qu'aujourd'hui. Ses pertes ne sont toujours pas chiffrées [5]. ## Le scénario haussier et la faille ne sont pas sur la même longueur d'onde La révision à la hausse de RBC, telle qu'elle a été résumée publiquement, repose sur la croissance du nombre de marchands, le pouvoir de fixation des prix et le commerce dopé à l'IA [3][4] ; l'attaque, elle, reste hors de ce scénario, tout en passant par les mêmes autorisations. Les consommateurs se montrent déjà méfiants : [45 % des adultes américains refusent tout simplement de confier le moindre achat à l'IA](https://www.ynetnews.com/tech-and-digital/article/rkn2gqm3mx) [1]. Que tout cela se répercute ou non sur les chiffres de Shopify le 3 novembre, aucune source publiée ne peut encore le dire. Le mécanisme à surveiller, c'est l'identité. [Amazon exige des agents qu'ils s'identifient avant toute transaction](https://www.techspot.com/news/113981-amazon-blocked-meta-muse-agentic-ai-shopping-service.html) [7] ; le faux tunnel de paiement a fonctionné parce que rien ne distinguait une réécriture de confiance de la page de paiement d'une réécriture hostile. Une identité vérifiée pour chaque acteur qui touche à l'instant du paiement — application, agent ou boutique —, voilà ce qui permet à une plateforme ouverte de le rester. Quiconque construira cette couche comblera l'écart entre capacité et confiance, et devrait être payé pour cela. ## Takeaway La plateforme ouverte est l'avance de Shopify dans le commerce dopé à l'IA et, depuis l'attaque au faux tunnel de paiement du 13 octobre, son problème de confiance ; le scénario de croissance jusqu'au 3 novembre repose sur les gains des marchands, mais l'addition de l'ouverture est tombée sur eux, et l'identité vérifiée au moment du paiement est le maillon manquant à surveiller. ## Sources 1. [ynetnews, "AI agents promise to shop for you, but Amazon, eBay and banks are shutting them out", 18 October 2026](https://www.ynetnews.com/tech-and-digital/article/rkn2gqm3mx) 2. [The Verge, "Websites are closing their doors to AI agents", 17 October 2026](https://www.theverge.com/ai-artificial-intelligence/1013195/ai-agents-blocked-web) 3. [TipRanks, "Shopify Stock (SHOP) Has 20% Upside, Says RBC Capital Markets", 16 October 2026](https://www.tipranks.com/news/shopify-stock-shop-has-20-upside-says-rbc-capital-markets) 4. [BORSA, "Shopify Merchant Growth Accelerates as Rivals Shrink, RBC Says", 16 October 2026](https://app.borsa321.com/news/2026/10/16/shopify-merchant-growth-accelerates-as-rivals-shrink-rbc-says) 5. [iTnews, "Shopify tells Australian store to stay shut after hijacked extensions divert shoppers", 16 October 2026, updated 19 October 2026](https://www.itnews.com.au/news/shopify-tells-australian-store-to-stay-shut-after-hijacked-extensions-divert-shoppers-629693) 6. [Tech Business News, "Shopify Stores Caught in Fake Checkout Attack as Hijacked Apps Redirect Shoppers", 18 October 2026](https://www.techbusinessnews.com.au/news/shopify-stores-caught-in-fake-checkout-attack-as-hijacked-apps-redirect-shoppers/) 7. [TechSpot, "Amazon is blocking Meta's shopping AI agent, and plans to block Google and OpenAI's too", 25 September 2026](https://www.techspot.com/news/113981-amazon-blocked-meta-muse-agentic-ai-shopping-service.html) --- Des pirates piègent le paiement via une application Shopify présente sur 49 000 boutiques, quand Amazon et eBay bannissent les agents d'achat IA — The Inference. Canonical: https://theinference.org/article/attackers-faked-checkout-through-a-49-000-store-shopify-app-as-amazon-and-ebay-block-ai-shopping-agents/fr