Shopifyの乗っ取り対策｜2段階認証とフィッシングの見分け方

Shopifyの管理画面に入られると、商品や設定の書き換え、身に覚えのない割引や注文など、被害が広がりやすくなります。日ごろの設定で防げることも多いので、早めに見直しておきましょう。

この記事では、Shopifyの公式ヘルプをもとに、アカウントを守る方法と、乗っ取られたときの対応をまとめました。内容は2026年11月4日に確認したものです。

普段からやっておく対策

公式ヘルプが勧める主な対策

対策	内容
パスワード	アカウントごとに別のものにし、パスワード管理ツールで作って保管する
ログイン情報	人に教えない。スタッフにはユーザーを追加して渡す
2段階認証	自分とスタッフのアカウントで有効にする
パスキー	指紋や顔認証、PINでログインできる方法も検討する
リカバリーコード	必要なときに取り出せる安全な場所に保管する
メール	ログインに使うメールアカウントも強いパスワードで守り、Shopifyのメールが迷惑メールに入らないようにする
端末	パソコン、ブラウザ、アプリを最新に保つ

出典：Shopify ヘルプセンター

2段階認証を設定する

2段階認証のヘルプによると、使える方法は次のとおりです。

2段階認証の方法

方法	内容
認証アプリ	アプリに表示されるワンタイムコードを入力する
セキュリティキー	物理的なキーで認証する
内蔵の認証機能	端末の生体認証などを使う
SMS	新しく設定することはできない (使っている場合のみ続けられる)

出典：Shopify ヘルプセンター

別の方法をバックアップに足しておくと、端末をなくしたときも安心です。Shopifyアプリの通知もバックアップとして使えます。

アカウントのセキュリティのヘルプには、Shopifyペイメントを使うには2段階認証が必要で、設定していないと入金が保留になる場合があるとも書かれています。

スタッフのアカウントを分ける

同じヘルプでは、ストアにアクセスする人ごとに、権限を決めたスタッフアカウントを用意するよう勧めています。1つのログイン情報を複数人で使い回すと、誰が何をしたか分からず、パスワードが漏れたときの影響も大きくなります。

スタッフの権限は、ロール (役割) ごとに決めてユーザーに割り当てます。仕事に必要な範囲だけを渡すのが基本です。

避けたい運用

オーナーのログイン情報をスタッフや外注先と共有する
辞めた人や終わった外注先のアカウントを残す
全員にすべての権限を渡す

勧められる運用

1人に1つのアカウントを用意する
仕事に必要な権限だけを渡す
全員が2段階認証を設定する

フィッシングメールを見分ける

フィッシングのヘルプには、Shopifyを名乗る偽のメールの見分け方が載っています。

Shopifyの正しい送信元

Shopifyからのメールは、次のドメインから届きます。

@shopify.com
@email.shopify.com
@em.shopify.com
@shopify-billpay.melio.com

Gmailなどの無料メールから「Shopify」を名乗るメールが届いたら疑いましょう。

怪しいメールの特徴

「アカウント所有者様」のような、名前の無いあいさつ
パスワードのリセットなど、個人情報を求める
急がせたり、脅したりする文面
誤字や崩れた書式
example-apparel.com-aquatic.net のように、本物の名前の後ろに別のドメインが付いたリンク

乗っ取られたかもしれないときの対応

ベストプラクティスのヘルプには、乗っ取りが疑われるときの手順が載っています。最初にShopifyサポートへ連絡し、そのうえでできる範囲で次の順に進めます。

ログイン用のメールのパスワードを変える
Shopifyにログインするメールアカウントのパスワードを変えます。
Shopifyのパスワードを変える
ログインできなければリセットします。リセットのメールが届かないときはサポートに連絡します。
2段階認証を見直す
まだなら有効にします。破られた場合は、乗っ取られた端末の認証方法を外し、別の端末で設定し直します。
ログインの履歴とお金の動きを確かめる
不審なログインがないか、Shopifyペイメントなどに身に覚えのない動きがないかを確かめます。
設定と注文を見直す
スタッフと協力者の権限、作業ログ、連絡先や配送などの設定、ファイル、アプリ、割引、注文と下書き注文を確かめます。

乗っ取りが疑われるときの順番

サポートに連絡
メールのパスワード変更
Shopifyのパスワード変更
2段階認証の見直し
履歴・設定・注文の確認

Shopify公式ヘルプの手順をもとに当サイトが整理しました

よくある質問

2段階認証はSMSで設定できますか？

公式ヘルプでは、SMSは新しい2段階認証の方法として設定できないとされています。認証アプリ、セキュリティキー、端末の生体認証などを使いましょう。

スタッフ全員に2段階認証を強制できますか？

通常のプランでは、スタッフが自分で設定します。オーナーがほかのスタッフの分を有効にすることはできません。Shopify Plusでは、組織のユーザーに安全なログイン方法を必須にできます。

Shopifyからのメールか分からないときは？

メールの中のリンクや連絡先は使わず、自分で管理画面にログインして確かめるか、公式の窓口からShopifyサポートに問い合わせましょう。怪しいメールは phishing@shopify.com へ転送できます。

AI を、いつもの業務に組み込む。無料で相談する →

shopimaga 編集部Shopify のアプリ・テーマ・分析を、ストア運営の目線で紹介するメディア