Arnaque : Corrigez le problème de conformité CSRF de votre boutique Shopify
Un commerçant a reçu un email alarmant provenant de info.shopifymail.pr@gmail.com annonçant la suspension imminente de sa boutique pour des « problèmes de conformité ».
Ce type de message combine menaces, termes techniques incompris et offre d’un « expert recommandé » pour pousser la victime à réagir.
Découvrez comment reconnaître cette arnaque, quelles étapes effectuer immédiatement et comment protéger votre boutique.
Pourquoi ce message est probablement une arnaque
Plusieurs éléments doivent alerter :
- Expéditeur non officiel : Shopify n’utilise pas d’adresses Gmail pour ses notifications officielles et les alertes Shopify s’affichent DANS votre panneau d’administration.
- Tonalité alarmiste : l’urgence et les menaces servent à court-circuiter la réflexion.
- Proposition de service payant : on vous met en relation avec un « expert » pour régler un problème soi-disant critique.
- Prétentions techniques floues : termes comme CSRF, HSTS ou CSP sont utilisés pour impressionner, sans preuve ni diagnostic précis.
Comment vérifier l’authenticité d’un email
- Vérifier le domaine de l’expéditeur et les en-têtes complets du message (SPF/DKIM). Si le domaine n’est pas shopify.com ou shopifymail.com, soyez prudent.
- Ne pas cliquer sur les liens. Survolez-les pour voir l’URL réelle.
- Accédez directement à votre interface Shopify via l’URL habituelle et vérifiez les notifications depuis l’espace admin.
- Contactez le support Shopify depuis les pages officielles si nécessaire.
Que faire immédiatement
Si vous avez reçu ce message :
- Ne répondez pas, faites le suivre à phishing@shopify.com
- Ne cliquez sur aucun lien et n’ouvrez pas d’attachement.
- Signalez le message comme phishing auprès de votre fournisseur mail.
- Contrôlez les accès administrateur et activez l’authentification à deux facteurs sur votre compte Shopify.
Si vous avez interagi avec l’arnaque
Si vous avez déjà donné des identifiants ou installé une application après ce mail :
- Changez immédiatement vos mots de passe et activez 2FA.
- Révoquez toutes les applications tierces inconnues dans le panneau Shopify.
- Contactez le support Shopify et votre prestataire technique pour une revue de sécurité.
Comment choisir un prestataire si vous avez besoin d’aide
Si vous cherchez un expert, privilégiez :
- Des prestataires référencés publiquement et contactables via leur site officiel.
- Des recommandations indépendantes et des références client vérifiables.
- Des paiements et échanges passés via des canaux traçables et sécurisés.
Bonnes pratiques de sécurité pour une boutique Shopify
- Activer 2FA pour tous les comptes administrateurs.
- Limiter les droits des comptes collaborateurs aux seuls besoins.
- Contrôler et supprimer les applications inutilisées.
- Faire des sauvegardes régulières des données et des exports produits/clients.
- Former l’équipe aux phishing et aux procédures d’urgence.
Exemple d’un mauvais email (décryptage rapide)
Le message cité commence par une alerte technique (CSRF, HSTS, CSP) puis menace de suspension à une date précise et propose un service. Trois signes classiques : expéditeur non officiel, urgence et offre de paiement. Ce triptyque est fréquent dans les tentatives d’extorsion d’accès.
Conclusion : restez vigilant, vérifiez toujours l’origine d’un message et privilégiez les canaux officiels. Une boutique Shopify se protège par des gestes simples et des prestataires vérifiés. En cas de doute, contactez le support Shopify.