【解説】Shopifyアプリ経由で偽の決済画面へ
導入アプリとテーマの点検を
Shopifyは2026年10月20日、アプリ開発者向けの公式ブログで「Securing your app, together」を公開し、アプリの安全対策を今週中に進めるよう求めました。AIで脆弱性が見つけやすくなり、アプリを狙った攻撃が増えているためとしています。その前後には、ウィッシュリストアプリ「Wishlist Plus」の開発元Swymが、アプリの設定が不正に書き換えられ、一部ストアで買い物客が偽の決済画面に誘導された可能性があると公表しました。
何が変わる？
Swymの公表によると、経緯は次のとおりです。
- 10月14日（日本時間19時06分〜20時56分ごろ）：第三者がアプリの設定を不正に変更し、一部ストアのページで外部のスクリプトが読み込まれました。この間、決済ボタンを押した買い物客が、カード情報を盗む目的の偽の決済ページに飛ばされた可能性があります。修正は日本時間15日1時32分までに全ストアへ反映されました。
- 10月20日のFAQ：その後も不正な動きがあったとして、全ストアでアプリを一時停止し、Swymの全アプリのShopifyへのアクセス権を取り消しました。マーチャントや顧客のデータが盗まれた形跡はないとしつつ、外部サイトで情報を入力した買い物客は影響を受けた可能性があるとしています。
Shopify側の変更予定は、次のとおりです（開発者向け）。
- 公開アプリに、期限付きのアクセストークンを近く必須にする
- ストア画面に差し込まれるアプリのコードの制限を強める
- アプリのキーを開発者のサーバーからしか使えないようにするIP制限を加える
- App Storeの掲載に必要なセキュリティ要件を引き上げる
具体的な時期は、変更の前に案内するとしています。
EC事業者への影響
今回のポイントは、ストア自身のパスワードが漏れていなくても、入れているアプリを経由してストアの画面が書き換えられうることです。ストアの管理画面を見ているだけでは、こうした誘導に気づきにくい点にも注意が必要です。
- アプリを多く入れているストア：テーマにスクリプトを差し込むアプリ（ウィッシュリスト、レビュー、追従カート、ポップアップなど）が多いほど、確認すべき範囲が広がります。
- Wishlist Plusを使っているストア：アプリは停止中のため、ボタンは表示されても動きません。お客様から「別のサイトに飛んだ」という声があれば、Swymへの報告が必要です。
- 今後：Shopifyの要件強化に合わせ、アプリの仕様変更や一時的な不具合が出る可能性があります。
アプリ選びや権限管理の基本は、Shopifyのセキュリティの記事でも解説しています。
今やるべきこと
- インストール済みアプリを一覧にし、使っていないアプリは削除する（削除後にテーマ内のコードが残っていないかも確認する）
- テーマのカスタマイズ画面で「アプリの埋め込み」を確認し、必要ないものはオフにする
- 実際にカートから決済ボタンを押し、正しいチェックアウト画面に進むか、PC・スマホの両方で確かめる
- Wishlist Plusを使っている場合は、Swymの案内に沿ってテーマファイル内の不審なコードを確認し、アプリの埋め込みをオフにしておく
- スタッフアカウントの棚卸しと2段階認証を徹底し、お客様からの「決済画面がおかしい」という問い合わせの受け方を決めておく
