Смотрю на url-адрес заказов.
Формат вида домен/index.php?dispatch=orders.details&order_id=NNNN
Получается, что если кому-то известно, что ИМ работает на CS-Cart, то может легко парсить все заказы?
На предыдущем движке формат заказов был вида /order/87bcvn3jv4sn84vkewrb4j52g34, и поди напарси.
Не прокатит, нужно быть еще авторизованным, чужие заказы так просто не посмотреть.
И правда, без авторизации вообще ничего не понять. Даже то, существует ли заказ с переданным номером.
Через Отслеживание заказа можно понять. Если заказ есть, то выйдет нотификация, что данные высланы, если нет, то выйдет нотификация, что заказы не найдены 
Но ustasby прав, зная только ID, информацию не получить
Если быть не авторизованным и ввести номер заказа, то на почту приходит письмо “Отслеживание заказов” с двумя ссылками. Ведут на страницу 403. С чем это может быть связано? Если не авторизованный пользователь не может получить доступ, то зачем отправляется письмо?
Насколько я помню, после размещения заказа в сессии хранится ID заказа ограниченное время и система позволяет попасть по прямой ссылке