# Shopifyの乗っ取り対策｜2段階認証とフィッシングの見分け方

Shopifyストアの乗っ取りや不正アクセスを防ぐ方法を、公式ヘルプをもとにまとめました。2段階認証の種類、スタッフアカウントの分け方、フィッシングメールの見分け方、乗っ取られたときに確かめる順番まで解説します。

<Points>

- 乗っ取り対策の基本は、2段階認証、使い回さないパスワード、スタッフごとのアカウントの3つです
- Shopifyがメールでパスワードや本人確認書類を求めることはありません。送信元のドメインで見分けましょう
- 乗っ取りが疑われるときは、まずShopifyサポートに連絡し、メールとShopifyのパスワードを変えてから設定と注文を見直します

</Points>

Shopifyの管理画面に入られると、商品や設定の書き換え、身に覚えのない割引や注文など、被害が広がりやすくなります。日ごろの設定で防げることも多いので、早めに見直しておきましょう。

この記事では、Shopifyの公式ヘルプをもとに、アカウントを守る方法と、乗っ取られたときの対応をまとめました。内容は2026年11月4日に確認したものです。

## 普段からやっておく対策

[アカウントのセキュリティのベストプラクティス](https://help.shopify.com/en/manual/privacy-and-security/account-security/account-security-best-practices)に載っている対策を整理しました。

<Figure title="公式ヘルプが勧める主な対策" source="Shopify ヘルプセンター">

| 対策 | 内容 |
| --- | --- |
| パスワード | アカウントごとに別のものにし、パスワード管理ツールで作って保管する |
| ログイン情報 | 人に教えない。スタッフにはユーザーを追加して渡す |
| 2段階認証 | 自分とスタッフのアカウントで有効にする |
| パスキー | 指紋や顔認証、PINでログインできる方法も検討する |
| リカバリーコード | 必要なときに取り出せる安全な場所に保管する |
| メール | ログインに使うメールアカウントも強いパスワードで守り、Shopifyのメールが迷惑メールに入らないようにする |
| 端末 | パソコン、ブラウザ、アプリを最新に保つ |

</Figure>

## 2段階認証を設定する

[2段階認証のヘルプ](https://help.shopify.com/ja/manual/your-account/account-security/two-step-authentication)によると、使える方法は次のとおりです。

<Figure title="2段階認証の方法" source="Shopify ヘルプセンター">

| 方法 | 内容 |
| --- | --- |
| 認証アプリ | アプリに表示されるワンタイムコードを入力する |
| セキュリティキー | 物理的なキーで認証する |
| 内蔵の認証機能 | 端末の生体認証などを使う |
| SMS | 新しく設定することはできない (使っている場合のみ続けられる) |

</Figure>

別の方法をバックアップに足しておくと、端末をなくしたときも安心です。Shopifyアプリの通知もバックアップとして使えます。

<Note tone="caution">

2段階認証は、スタッフが自分のアカウントで設定します。ヘルプには、ストアのオーナーがほかのスタッフの2段階認証を有効にすることはできないとあります。Shopify Plusでは、組織のすべてのユーザーに安全なログイン方法を必須にできます。

</Note>

[アカウントのセキュリティのヘルプ](https://help.shopify.com/en/manual/your-account/account-security)には、Shopifyペイメントを使うには2段階認証が必要で、設定していないと入金が保留になる場合があるとも書かれています。

## スタッフのアカウントを分ける

同じヘルプでは、ストアにアクセスする人ごとに、権限を決めたスタッフアカウントを用意するよう勧めています。1つのログイン情報を複数人で使い回すと、誰が何をしたか分からず、パスワードが漏れたときの影響も大きくなります。

[スタッフの権限](https://help.shopify.com/en/manual/your-account/staff-accounts/staff-permissions)は、ロール (役割) ごとに決めてユーザーに割り当てます。仕事に必要な範囲だけを渡すのが基本です。

<Compare>
<Column title="避けたい運用">

- オーナーのログイン情報をスタッフや外注先と共有する
- 辞めた人や終わった外注先のアカウントを残す
- 全員にすべての権限を渡す

</Column>
<Column title="勧められる運用" tone="accent">

- 1人に1つのアカウントを用意する
- 仕事に必要な権限だけを渡す
- 全員が2段階認証を設定する

</Column>
</Compare>

## フィッシングメールを見分ける

[フィッシングのヘルプ](https://help.shopify.com/en/manual/privacy-and-security/account-security/phishing)には、Shopifyを名乗る偽のメールの見分け方が載っています。

### Shopifyの正しい送信元

Shopifyからのメールは、次のドメインから届きます。

- `@shopify.com`
- `@email.shopify.com`
- `@em.shopify.com`
- `@shopify-billpay.melio.com`

Gmailなどの無料メールから「Shopify」を名乗るメールが届いたら疑いましょう。

### 怪しいメールの特徴

- 「アカウント所有者様」のような、名前の無いあいさつ
- パスワードのリセットなど、個人情報を求める
- 急がせたり、脅したりする文面
- 誤字や崩れた書式
- `example-apparel.com-aquatic.net` のように、本物の名前の後ろに別のドメインが付いたリンク

<Note tone="info">

Shopifyは、本人確認書類、パスワード、クレジットカードや口座の情報を、メールの本文や添付ファイルで求めることはありません。書類の提出が必要なときは、`app.shopify.com` などShopifyのドメインのアップロードページを使います。怪しいメールは `phishing@shopify.com` へ転送して報告できます。

</Note>

## 乗っ取られたかもしれないときの対応

ベストプラクティスのヘルプには、乗っ取りが疑われるときの手順が載っています。最初にShopifyサポートへ連絡し、そのうえでできる範囲で次の順に進めます。

<Steps>
<Step title="ログイン用のメールのパスワードを変える">

Shopifyにログインするメールアカウントのパスワードを変えます。

</Step>
<Step title="Shopifyのパスワードを変える">

ログインできなければリセットします。リセットのメールが届かないときはサポートに連絡します。

</Step>
<Step title="2段階認証を見直す">

まだなら有効にします。破られた場合は、乗っ取られた端末の認証方法を外し、別の端末で設定し直します。

</Step>
<Step title="ログインの履歴とお金の動きを確かめる">

不審なログインがないか、Shopifyペイメントなどに身に覚えのない動きがないかを確かめます。

</Step>
<Step title="設定と注文を見直す">

スタッフと協力者の権限、作業ログ、連絡先や配送などの設定、ファイル、アプリ、割引、注文と下書き注文を確かめます。

</Step>
</Steps>

<Flow title="乗っ取りが疑われるときの順番" caption="Shopify公式ヘルプの手順をもとに当サイトが整理しました" steps={[{ label: "サポートに連絡" }, { label: "メールのパスワード変更" }, { label: "Shopifyのパスワード変更" }, { label: "2段階認証の見直し" }, { label: "履歴・設定・注文の確認" }]} />

## よくある質問

### Q. 2段階認証はSMSで設定できますか？

公式ヘルプでは、SMSは新しい2段階認証の方法として設定できないとされています。認証アプリ、セキュリティキー、端末の生体認証などを使いましょう。

### Q. スタッフ全員に2段階認証を強制できますか？

通常のプランでは、スタッフが自分で設定します。オーナーがほかのスタッフの分を有効にすることはできません。Shopify Plusでは、組織のユーザーに安全なログイン方法を必須にできます。

### Q. Shopifyからのメールか分からないときは？

メールの中のリンクや連絡先は使わず、自分で管理画面にログインして確かめるか、公式の窓口からShopifyサポートに問い合わせましょう。怪しいメールは `phishing@shopify.com` へ転送できます。