はじめに
- Shopifyのストアが乗っ取られたという話を聞いて、自分のストアが心配になった
- 何を設定しておけば乗っ取りを防げるのか分からない
- もし乗っ取られたら、何から手を付ければいいのか知りたい
このような方のための記事です。
この記事では、Shopifyのストアの乗っ取りを防ぐために今日できる5つの設定を、管理画面の画面つきで解説します。あわせて、乗っ取られたかもしれないときにやることを、Shopify公式の手順に沿ってまとめます。
2026年10月に話題になっている2つの乗っ取り
2026年10月、Shopifyのストアの乗っ取りが続けて話題になりました。中身は2種類あります。
1つ目は、ストアに入れているアプリが乗っ取られ、お客さまが偽の決済画面に飛ばされたものです。ストアのアカウントは無事でも、アプリの開発元のサーバーから不正なコードが入りました。経緯と確かめ方は偽の決済画面の記事にまとめています。
2つ目は、ストアのアカウントそのものの乗っ取りです。10月12日には、Shopifyのコミュニティに「アカウントを乗っ取られ、入金先の口座を書き換えられた」という相談が投稿されました。Shopifyから入金先の変更の通知が届いて気づいたものの、自分では元に戻せず、その後アカウントがロックされたと書かれています。
この記事では、2つ目のアカウントの乗っ取りを防ぐ方法を中心に扱います。
乗っ取られると何をされるのか
管理画面に入られると、店主にできることはほとんど何でもできてしまいます。Shopifyが乗っ取られたあとに確かめるよう挙げているのは、次のような場所です。
- 入金先の口座などの、お金に関わる設定
- スタッフとコラボレーター、その権限
- アプリと、ストア専用に作られたカスタムアプリ
- 割引、ファイル、ストアの設定
- 身に覚えのない注文や下書きの注文
入金先を書き換えられると、売上が攻撃者の口座に振り込まれます。アプリやテーマを書き換えられると、1つ目と同じように、お客さまを偽の決済画面に飛ばすこともできます。
入り口はほとんど「ログイン」
アカウントの乗っ取りは、ほとんどの場合、店主やスタッフのログインを奪うところから始まります。よくある入り口は3つです。
- ほかのサービスと同じパスワードを使っていて、そちらから漏れた
- Shopifyを装ったメールやSMSのリンクから、偽のログイン画面にパスワードを入れてしまった
- Shopifyのログインに使っているメールのアカウントを乗っ取られ、パスワードの再設定を通された
どれも、パスワードだけで入れる状態だと防げません。次の5つの設定で、パスワードが漏れても入られない状態にしておきます。
今日やっておく5つの設定
1. 2段階認証とパスキーを設定する
2段階認証は、パスワードのあとに、スマホのアプリなどで本人かどうかをもう一度確かめる仕組みです。パスワードが漏れても、スマホが手元になければログインできません。パスキーは、パスワードの代わりに指紋や顔認証でログインする仕組みです。偽のログイン画面にだまされにくいのが特長です。
設定は、管理画面の左下にある自分の名前を押し、アカウント名を開いて、左の「セキュリティ」から行います。この画面に、パスキー、パスワード、予備のメールアドレス、2段階認証が並んでいます。
外部記事help.shopify.com/ja/manual/your-account/account-security/two-step-authenticationhelp.shopify.com
設定するときのポイントは3つです。
- 主な方法は認証アプリかセキュリティキーにする。SMSは新しくは選べなくなっていて、すでに使っている人だけが続けて使えます
- バックアップの方法も追加する。スマホをなくしたときにログインできなくなるのを防げます
- リカバリーコードを作り直して、パソコンの外に保管する。何年も前に作ったままのコードは、どこにあるか分からなくなっていることが多いです
Shopifyペイメントを使っているストアは、2段階認証を有効にしていないと入金が保留になることがあるとShopifyは案内しています。
外部記事help.shopify.com/en/manual/your-account/account-securityhelp.shopify.com
2. ログインに使うメールのアカウントを守る
Shopifyのパスワードの再設定は、登録しているメールに届きます。そのメールのアカウントを乗っ取られると、Shopifyの2段階認証より手前で入られてしまいます。GmailなどのメールのアカウントにもShopifyと別のパスワードを付け、2段階認証を有効にしてください。
あわせて、メールの振り分けの設定を確かめてください。Shopifyは、乗っ取られたときの手順の中で、Shopifyからのメールをゴミ箱や迷惑メールに振り分ける設定があれば消すよう案内しています。入金先の変更や新しいデバイスからのログインの通知が届いても、見えない場所に振り分けられていれば気づけません。
Shopifyのアカウントの「予備のメールアドレス」も登録しておくと、メインのメールが使えなくなったときにアカウントを取り戻す手段になります。
3. スタッフは1人1アカウント、制作会社はコラボレーターで入れる
ログインのIDとパスワードを、スタッフや制作会社と使い回していませんか。使い回していると、誰か1人のパソコンから漏れただけで店主のアカウントごと入られます。2段階認証のコードも共有することになり、意味が薄れます。
スタッフは、管理画面の「設定」→「ユーザー」から1人ずつ招待し、仕事に必要な権限だけを付けてください。制作会社やデザイナーには、スタッフの枠を使わない「コラボレーター」として入ってもらいます。
「設定」→「ユーザー」→「セキュリティ」の画面では、次の3つを確かめられます。
- 安全なサインイン方法：パスキーか2段階認証を、ユーザー全員に必須にする設定です。使えるかどうかはプランによります
- ユーザーアクティビティログ：誰がいつ何をしたかの記録です。見覚えのない操作がないかを見られます
- コラボレーター：ここにあるコードを伝えた相手だけが、コラボレーターのリクエストを送れます。リクエストは店主が承認するまで入れません
辞めたスタッフや、仕事が終わった制作会社のアカウントは、その日のうちに外してください。使われていないアカウントほど、パスワードが古いまま放っておかれがちです。
4. ログイン中のデバイスを見直す
アカウントの「セキュリティ」の画面のいちばん下に、今Shopifyにログインしているデバイスの一覧があります。使っていないパソコンや、見覚えのない場所からのログインがないかを見てください。
何年も前のデバイスが残っていることも珍しくありません。心当たりのないものは「ログアウト」を押し、迷うときは「すべてのデバイスからログアウト」でいったん全部を切ってください。今使っているデバイスでは、ログインし直せば使えます。
Shopifyが知らないデバイスからログインがあると、「A new device has logged in to your Shopify account」という件名のメールが届きます。見覚えがなければ、メールの中のボタンからアカウントを守る手順に進めます。
5. Shopifyを装った連絡を見分ける
乗っ取りの入り口で一番多いのが、Shopifyを装ったメールやSMS、電話です。「アカウントが停止されます」「支払いに問題があります」と急がせて、偽のログイン画面に誘います。Shopifyは、見分けるための目安を次のように示しています。
- Shopifyのメールは、
@shopify.com、@email.shopify.com、@em.shopify.comなどから届く。GmailやYahooのような無料のメールから届いたものは疑う - Shopifyは、パスワードや身分証、カードや銀行の情報を、メールで直接聞くことはない
- 書類の提出を求めるときは、
app.shopify.comか.shopify.comで始まる専用のページを使う - 2段階認証のコードを聞いてくるのは、だましの手口
外部記事help.shopify.com/en/manual/your-account/account-security/phishinghelp.shopify.com
あやしいメールはphishing@shopify.comに転送して報告できます。メールのリンクは押さず、ブラウザで管理画面を自分で開いて、本当に何か起きているかを確かめてください。日本ではフィッシング対策協議会にも報告できます。
乗っ取られたかもと思ったら
まずShopifyのサポートに連絡してください。そのうえで、Shopifyが案内している手順を順に進めます。
- ログインに使っているメールのパスワードを変える
- Shopifyのパスワードを変える。ログインできなければパスワードを再設定し、再設定のメールが届かなければサポートに連絡する
- 2段階認証を有効にする。すでに有効で突破されたなら、そのデバイスの方法を消して、別のデバイスで設定し直す
- 不審なログインがないかを、アカウントで確かめる
- 入金先の口座など、お金に関わる設定と取引を確かめる
- スタッフとコラボレーターの権限、ユーザーアクティビティログ、アプリ、割引などを確かめる
- 身に覚えのない注文がないかを確かめ、必要ならお客さまに確認してキャンセルや返金をする
- 個人情報が漏れた可能性があれば、国の案内に沿って対応する
入金先の変更の通知が届いたのに、自分で変えた覚えがないときは、すぐにサポートに連絡し、入金を止めてもらうよう頼んでください。コミュニティの相談でも、通知が気づくきっかけになっていました。サポートから書類を求められたときは、提出先がapp.shopify.comか.shopify.comのページかを確かめてから出してください。
さいごに
Shopifyのストアの乗っ取りは、ほとんどがログインを奪うところから始まります。2段階認証とパスキー、ログインに使うメールの保護、1人1アカウントとコラボレーター、ログイン中のデバイスの見直し、Shopifyを装った連絡の見分け方の5つで、パスワードが漏れても入られない状態にしておいてください。
ストアのアカウントやスタッフの権限の見直し、アプリの点検は、お問い合わせからお気軽にご相談ください。