Shopifyの一部アプリで偽の決済ページへの誘導が相次ぐ｜日本のEC運営者にとっての意味
2026年10月、Shopify向けの一部のアプリで、購入ボタンを押したお客様が、店の外にある偽のページへ誘導される事案が起きたと、アプリの提供会社が公式ページで公表しました。店のテーマに不正なコードが書かれたのではなく、店が入れているアプリの側に不正なコードが入り込んだとされています。日本のShopifyの店舗にも同じアプリを使う店はあるとみられるため、公表された事実と、自店で確かめておきたい点を整理します。
⏱ 忙しい人向け 3行まとめ
- 事実：Shopify向けアプリ「Selleasy」の提供会社は、2026年10月13日に一部の店へ不正なコードが入り、お客様が店外の偽ページへ誘導されたと公表しました。7月にも別のアプリ提供会社が同様の事案を公表しています。
- 意味：テーマを触っていなくても、入れているアプリの経由で購入の流れが乗っ取られる可能性があります。Shopify本体の決済画面が破られたという公表は確認できていません。
- アクション：入れているアプリの一覧を見直し、使っていないものを外す。自店で「カートに入れる→購入手続き」を試し、Shopifyの通常の決済画面に進むかを確かめます。
発表の事実
今回の事案は、アプリの設定や配信される内容に不正なコードが入り込み、購入ボタンを押したお客様が店の外の偽ページへ移動させられたものです。提供会社自身の公表ページ（英語）で確認できた内容を整理します。
- Selleasy（提供：Logbase）……2026年10月13日に、一部の店に不正なコードが入れられ、お客様が提供会社の環境の外にあるフィッシングページへ誘導されたと公表。原因は数時間以内に直してコードを取り除き、Shopifyにも報告して当日中に削除の確認を受けたとしています。外部のセキュリティ会社による調査も始めています（公表ページの最終更新は10月16日）。
- 同社の見解……2026年10月16日時点で「バックエンドやデータベースからの漏えいの証拠は見つかっていない」とし、アプリは安全に使えるとの調査結果を示しています。影響を受けた店の数は書かれていません。
- Qikify（7月の事案）……2026年7月22日、同社の2つのアプリの設定欄に不正なスクリプトが入れられ、カートの「購入手続き」などのボタンから偽のページへ誘導されることがあったと公表。偽ページで入力・送信した場合は支払い情報が取られた可能性があると説明しています。同社は10月10日の更新で、事案は終了しており今回の一連の事案とは別だとしています。
- 店のテーマ……Qikifyは、店のテーマにはコードが書き込まれていないと説明しています。店の側で気づきにくい形だった点が共通しています。
このほか複数のアプリでも同じ時期に同様の事案があったと、海外の業界メディアや研究者が報じています。ただし、2026年10月23日時点で各社の公式ページを確認できたのは上の2社です。Shopify自身による公式の説明は確認できていません。
日本の店舗への影響
日本で売っているShopifyの店舗も、同じ仕組みのアプリを入れていれば影響を受ける可能性があります。今回は海外の発表ですが、Shopifyのアプリは国をまたいで同じものが使われるためです。
①日本の店舗も対象になりうるか。アプリの提供会社は、対象を国で区切っていません。日本の店舗が今回のアプリを使っていたかどうかは、提供会社から連絡が来ているか、管理画面のアプリ一覧で確かめるのが確実です。連絡が来ていない店でも、入れているアプリの一覧は一度見ておくと安心です。
②「テーマを触っていないから大丈夫」とは言いにくい。今回の事案では、店のテーマではなく、アプリが読み込む内容に不正なコードが入りました。店の担当者が毎日サイトを見ていても、購入ボタンを押したときにだけ起きるため気づきにくかったとみられます。
③お客様のカード情報について。偽ページに入力されたカード情報は、店のシステムを通らずに取られた可能性があります。国内のカード情報漏えいとは起き方が違いますが、お客様から「見慣れない画面が出た」と問い合わせがあったら、早めにカード会社や決済代行会社に相談するのが目安です。漏えいが起きたときの流れはECサイトが不正アクセスされたら最初にやることで整理しています。
④アプリの数を絞ることも対策のひとつ。アプリは便利ですが、入れた数だけ外から読み込むものが増えます。使っていないアプリを外すことは、費用だけでなく安全の面でも意味があると考えられます。
今やること
難しい作業は必要ありません。まずは次の3つを、担当者1人で30分ほどで確かめられます。
- アプリの一覧を見直す……管理画面の「アプリ」で入れているものを確認し、使っていないものは外します。外す前に、そのアプリが作った設定やデータが残るかも確認しておきます。
- 自店で購入の流れを試す……スマホとパソコンの両方で「カートに入れる→購入手続きへ」と進み、アドレス欄が自店またはShopifyの通常の決済画面になっているかを確かめます（最後の注文確定までは進めなくてかまいません）。
- 管理画面の守りを固める……スタッフとコラボレーターのアカウントを見直し、2段階認証を有効にします。退職者や契約の終わった外部の担当者の権限は外しておきます。
- アプリ提供会社のお知らせを確認する……使っているアプリの公式のお知らせや、登録しているメールに連絡が来ていないかを見ておきます。
ECサイト全体の守り方はECサイトのセキュリティ対策ガイドに、国内で公表された事例はEC関連の不正アクセス・情報漏えいの公表事例にまとめています。
出典（原文・英語）
- Selleasy Security Incident（Logbase 公式ページ・2026年10月13日の事案、10月16日更新・英語）
- Security Incident Notice（Qikify 公式ページ・2026年7月22日の事案、10月10日更新・英語）
※本記事は2026年10月23日時点の公開情報に基づく速報解説です。英語の原文を要約したもので、全文の翻訳ではありません。調査は続いており内容が変わる場合があるため、最新の状況は各アプリ提供会社の公式発表をご確認ください。自店に影響があるかどうかは、アプリの提供会社やShopifyのサポートに確認してください。