楽天・Amazon・Yahoo!出店者のアカウント乗っ取り対策｜2段階認証と偽メールの見分け方

※本記事は2026年10月28日時点で確認できた、各モールの公開ページ（楽天のR-Login・楽天ビジネスログインのヘルプ、Amazonセラーフォーラムの公式告知、LINEヤフーのビジネスIDのお知らせ）とフィッシング対策協議会の公表資料に基づきます。出店者向けの最新の告知は、各モールの管理画面のお知らせでご確認ください。

「モールを名乗るメールのリンクを押してしまった」「スタッフみんなで同じIDを使っている」——モールの出店者アカウントは、受注・お客さまの情報・売上の入金先までつながる、お店の大事な鍵です。この記事では、楽天市場・Amazon・Yahoo!ショッピングの出店者が、アカウントの乗っ取りに備えて確かめたいことを、各モールの公開ページで確認できた範囲で整理します。攻撃の手口の細かい説明ではなく、店舗側でできる備えに絞っています。

モール出店者のアカウント乗っ取りとは

アカウントの乗っ取りとは、第三者が出店者のIDとパスワードなどを手に入れ、本人になりすまして管理画面にログインすることです。モールの管理画面には、受注情報やお客さまの氏名・住所、商品ページ、売上の入金先の設定などが集まっているため、入られたときの影響は小さくありません。

楽天のR-Loginのヘルプでも、流出したログイン情報が売買され、同じIDやパスワードを使い回しているとほかのサービスでもアカウントを盗まれるおそれがあると説明されています。また、フィッシング詐欺などでIDとパスワードが盗まれると、第三者に不正にログインされる危険があるとして、2段階認証の利用が案内されています（2026年10月28日確認）。

偽メールの多さも、意識しておきたい点です。フィッシング対策協議会の発表では、2026年9月のフィッシング報告件数は94,661件で、業種別ではEC系が約47.9%と最も多く、かたられたブランドではAmazonが報告全体の約33.2%を占めました。これは主に買い物客を狙ったものとみられますが、出店者にもモールを名乗るメールが届く可能性は十分にあります。

楽天・Amazon・Yahoo!の2段階認証の仕組み

3つのモールとも、2026年10月時点でパスワードに加えて認証コードなどで本人を確かめる仕組みが用意されています。公開ページで確認できた内容を、モールごとに並べます。

LINEヤフーのお知らせ（2026年3月17日）では、2026年4月30日から2段階認証をオフにできなくなり、6月30日からは未設定のアカウントでメール認証が自動で有効になるとされています。使える手段はメール認証・認証アプリ・SMS・バックアップコードで、メールや認証アプリが使えなくなったときに備えて、バックアップコードやSMSの登録も検討するよう案内されています。LINEアカウントなど、ほかの方法でログインしている場合は対象外です。

なお、Amazonの告知は2024年のもので、楽天やAmazonの出店者向けの最新のお知らせの多くは、ログインした後の管理画面の中に掲載されています。公開ページだけでは最新の条件を確かめきれないため、管理画面のお知らせも合わせて確認してください。

2段階認証を設定・見直す手順

2段階認証は、設定して終わりではなく、「誰の端末にコードが届くか」を決めておくことが大切です。担当者の交代や機種変更のときに、ログインできなくなる店も少なくありません。

1. STEP1：今の設定を書き出す

   モールごとに、ログインに使うIDと、認証コードが届く先（電話番号・メールアドレス・アプリ）を一覧にします。退職した人の携帯番号が残っていないかも見ます。

2. STEP2：受け取る方法を決める

   複数人で同じアカウントを使う場合、Amazonは認証アプリを推奨しています。楽天は1人1つの楽天会員IDが前提なので、各自の端末で受け取る形になります。

3. STEP3：予備の手段を用意する

   Yahoo!のバックアップコードのように、端末をなくしたときの手段があるものは、紙や鍵のかかる場所に保管します。チャットや共有フォルダに置かないのが目安です。

4. STEP4：見直しの日を決める

   人の出入りや機種変更のときに加え、半年に1回など、設定を見直す日をあらかじめ決めておくと続けやすくなります。

ログインを共有しない運用に切り替える

アカウントの共有をやめ、1人1つのIDで入る形にすることが、乗っ取りの備えと日々の管理の両方に役立ちます。共有のIDだと、パスワードを知っている人が増え続け、誰が何を変えたのかを追えなくなるためです。

楽天のR-Loginでは、利用者ごとに楽天会員IDを登録し、「責任者」「管理者」「スタッフ」の種別に分けて権限を設定します。スタッフには、受注管理などもできる通常の権限と、ページ編集だけを行う外注業者向けの「ダブルアカウント」が用意されています。利用者の利用履歴を確認する機能もあります。外部の制作会社や運営代行に作業を頼むときは、必要な範囲の権限だけを渡すのが現実的です。

• 共有IDを洗い出す……モール・カート・メール配信・広告など、複数人で同じIDを使っているものを書き出す。
• 1人1つに切り替える……モールの利用者追加の機能で、担当者ごとのIDを作る。
• 権限を絞る……外注先や短期のスタッフには、作業に必要な範囲の権限だけを渡す。
• 使わないIDを消す……退職者や契約が終わった外注先のIDは、その日のうちに止める流れを決めておく。
• パスワードを使い回さない……モールの管理画面のパスワードを、ほかのサービスと同じにしない。

偽メールに引っかかりにくい習慣

偽メールへの備えとしては、文面で見分けようとするより、メールのリンクから管理画面に入らないことを習慣にするほうが続けやすいと考えています。フィッシング対策協議会のガイドラインでも、送信元やURLは偽装できるため、「URLや送信元を確かめて」という呼びかけは推奨しないとされています。

• 入り口を決める……管理画面のログインページをブラウザのブックマークに登録し、スタッフ全員でそこから入る。
• 入力したら知らせる……偽のページにIDやパスワードを入れてしまったかもと思ったら、責めずに報告してもらえる雰囲気をつくり、すぐにパスワードを変える。
• 報告先を知っておく……楽天は、楽天をかたる偽メールや偽サイトの報告窓口を公開しています。不審なメールはモールの窓口に報告できます。

お客さま向けにも、「店からパスワードやカード情報をメールで尋ねることはない」ことを、ストアのお知らせなどで伝えておくと安心です。

乗っ取りが疑われるときの動き方

見覚えのないログインの通知や、設定の変更に気づいたときは、まずパスワードを変え、モールの窓口に連絡するのが基本の流れです。Yahoo!ショッピングでは、乗っ取りが疑われる動きを検知すると、ログイン時にパスワードの再設定を求める仕組みが2021年に案内されています。

1. STEP1：パスワードを変える

   公式のログインページから入り、パスワードを変更します。同じパスワードを使っていたほかのサービスも変えます。

2. STEP2：設定の変更がないか見る

   入金先の口座、登録メールアドレス、利用者の一覧、商品ページの価格などに、覚えのない変更がないかを確かめます。

3. STEP3：モールの窓口に連絡する

   楽天は出店者向けの問い合わせ窓口、Amazonはセラーサポート、Yahoo!はストア向けの問い合わせ窓口に、気づいた日時と内容を伝えます。

4. STEP4：記録を残す

   届いたメールや通知、画面を消さずに保存します。お客さまの情報が見られた可能性があるときは、報告の義務がかかわる場合があります。

個人情報が漏えいした可能性があるときの流れは不正アクセスされたら最初にやること、日ごろの対策の全体像はECサイトのセキュリティ対策ガイドで整理しています。これまでに各社が公表した事例はEC情報漏えいの公表事例台帳にまとめています。

よくある質問

Q. 2段階認証を設定すれば、乗っ取りは防げますか？

A. 2段階認証は、IDとパスワードが盗まれても、認証コードが届かない第三者のログインを防ぐための仕組みです。大きな備えになりますが、偽のページで認証コードまで入力してしまう場合などもあるため、それだけで安心とは言い切れません。リンクから入らない習慣や、1人1つのIDでの運用と組み合わせるのが目安です。

Q. 外注先に管理画面を触ってもらうとき、IDを渡してもいいですか？

A. 共有のIDとパスワードを渡すより、外注先用のIDを作って権限を絞るほうが、契約終了のときに止めやすく、誰の作業かも追いやすくなります。楽天のR-Loginには、ページ編集だけを行う外注業者向けの「ダブルアカウント」という権限があります。各モールの利用者追加の機能を確認してください。

Q. モールから届いたメールが本物かどうか、どう確かめればいいですか？

A. メールのリンクは押さずに、ブックマークや公式アプリから管理画面に入り、お知らせ欄に同じ内容があるかを確かめる方法が現実的です。送信元やURLの表示は偽装できるため、それだけで判断しないほうが安全です。迷ったときはモールの窓口に問い合わせてください。

出典

• 楽天「R-Loginとは」「安全認証について」「STEP4 2段階認証登録」（2026年10月28日確認）
• Amazonセラーフォーラム（News_Amazon）「セラーセントラルのサインインで2段階認証が必要になります」（2024年・2026年10月28日確認）
• LINEヤフー「ビジネスIDにおける2段階認証の必須化のお知らせ」（2026年3月17日）
• LINEヤフー（Yahoo!ビジネスセンター）「お知らせ」（2021年8月24日）
• フィッシング対策協議会「2026/09 フィッシング報告状況」（2026年10月19日）、「フィッシング対策ガイドライン 2026年度版」（2026年6月1日）
• 楽天「偽メール・偽サイトの報告窓口」（2026年10月28日確認）