传统反钓鱼建议如检查发件人地址、识别仿冒域名等正逐渐失效。攻击者开始利用真实平台渠道绕过安全检测，使基于伪造特征的防御手段难以奏效。
Huntress 调查披露，自2026年5月起，Shopify Shop应用内出现虚假退款骗局。该骗局不依赖仿冒邮件，而是通过Shopify官方通知系统发送真实收据及推送提醒，极具迷惑性。Gen Digital研究人员及Reddit Scams社区均独立记录了相关案例。
骗局运作机制
Shopify允许店主创建订单并自动生成收据，当绑定用户手机号或邮箱时，Shop应用会同步推送通知。骗子利用此机制注册虚假店铺并生成伪订单，将受害者设为顾客。由于通知源自Shopify官方系统，其格式与真实购买确认单完全一致，无法从外观辨别真伪。
Huntress获取的一份8月7日收据显示，内容为339.96美元的“高级PC保护计划”购买记录，包含发票号、交易ID及多个支持电话。原本用于填写收货地址的字段被篡改为诱导信息：“2856 若未下单请致电1__888__690__3420”。涉事店铺“My Store”在调查期间已被下架。
远程操控与资金诈骗流程
收据中的电话号码是核心陷阱。受害者拨打后会遭遇标准话术：骗子承认“误操作”并承诺退款，诱导安装ScreenConnect或AnyDesk等远程协助软件。获得屏幕权限后，骗子指导受害者登录银行账户，通过跨账户转账制造“超额退款”假象，随后遮挡屏幕进行隐蔽操作。
骗子谎称需退还多付金额，要求以Google Play礼品卡支付，并在通话结束前即时兑换卡密。部分变种还滥用包裹追踪功能，添加虚假“派送中”状态以增强紧迫感。
LoTS攻击：合法基础设施被武器化
Huntress将此手法归类为“利用受信任站点生存”（LoTS）变体。与传统钓鱼不同，LoTS攻击直接使用合法平台基础设施传递恶意内容，发送方、域名、托管服务及SSL证书均为真实，可完美规避技术审查。
类似案例包括PayPal发票诈骗：骗子使用真实账户发送含虚假回调号的正规发票，链接指向PayPal.com真实页面，仅联系方式造假。而Shopify骗局风险更高，因通知以推送形式直达用户常用App，且视觉样式与历史订单完全相同，彻底绕过了用户对电子邮件的警惕心理。
平台信任危机加剧
此次骗局曝光恰逢Shopify陷入多重争议。CEO不当言论引发商家抵制运动，叠加本次虚假退款事件，凸显了双重信任困境：前者关乎对平台运营者的信任，后者则动摇了用户对平台基础设施发出通知的基本信赖。两者共同折射出过度依赖单一平台生态的潜在风险。
用户防范指南
切勿拨打非本人订单收据中的任何电话。Shopify官方收据从不嵌入回调号码，凡含此类信息的均为诈骗。若在Shop应用中收到陌生订单，请立即标记为“不是我的订单”，并核实银行账户是否实际扣款。如无扣款，仅需上报即可；如需咨询，务必通过官方App或网站联系Support，严禁使用可疑收据中的联系方式。
行业观察：可信应用成为新攻击面
Shopify骗局标志着消费者欺诈模式的转变。旧有模式依赖伪造元素，易被识别拦截；新模式则直接调用平台原生功能，因其属于正常业务逻辑而非漏洞，故不会被修复或过滤。
受害者通过真实设备上的可信应用接收来自真实平台的真实通知，所有合法性验证信号均指向“正常”，唯一异常仅为嵌入的电话号码。面对已持续数月、影响数千用户且被多家安全机构交叉验证的攻击行为，Shopify目前仅发布帮助中心文章作为回应。在购物旺季临近、海量真实订单通知即将集中触达用户的背景下，现有应对措施的有效性亟待评估。