この2週間、複数のサードパーティ製アプリを経由して、Shopifyストアを狙ったチェックアウトの乗っ取りやフィッシング攻撃が相次いでいます。ストアオーナーの皆さまは、どのアプリなら安全なのか、次に自分のShopifyストアが狙われることはないのかを知りたいと思われていることでしょう。
弊社も7月に、同様のインシデントを経験しました。当日中に修正し、8月にはShopifyとともに完全に対応を終えており、今月の一連の攻撃とは関係ありません。それでも、あの日ご連絡をくださったストアオーナーの皆さまがどんなお気持ちだったかは、よく分かっています。お客様のことを心配し、何を確認すればよいか分からず、回答を待つしかない状況でした。実践的な情報はいまだにほとんどありません。だからこそ、黙っているよりも、弊社が学んだことを共有したいと考えました。本記事では、弊社で何が起きたのか、その後に何を変えたのか、そしてすべてのマーチャント様、特にAIツールにストアへのアクセスを許可している方に今日ぜひ確認していただきたいリスクについてお伝えします。
お知らせ：10月10日以降に報告されているチェックアウト攻撃に、Qikifyアプリは関係しておりません。これらの事例をまとめた公開レポートでは、弊社の7月のインシデントが過去の事例として掲載されていますが、こちらは当日中に修正し、8月にShopifyとともに対応を完了しています。Qikifyの全アプリは正常に稼働しております。
7月に弊社で起きたこと
2026年7月22日、弊社の2つのアプリ、Qikify Sticky Add to CartとQikify Mega Menu & Navigationの脆弱性が悪用されていたことが判明しました。不正な第三者が、アプリ設定内のカスタマイズ可能なHTML欄にスクリプトを挿入していたのです。影響を受けたストアでは、「チェックアウト」や「カートに追加」をクリックした一部のお客様が、Shopify外の偽ページに誘導され、その後に本物のチェックアウトへ戻されていました。
脆弱性は弊社のアプリにあり、責任は弊社にあります。影響を受けたすべてのマーチャント様、そしてチェックアウト時にそのストアを信頼してくださったお客様に、心よりお詫び申し上げます。弊社は同日中（UTC 12:30〜22:40）に問題を検知・修正し、影響を受けたすべてのストアから悪意のあるスクリプトを除去しました。Shopifyのストアデータ、顧客記録、APIデータへのアクセスはなく、弊社のシステムを経由してShopifyアカウントの認証情報が侵害されたこともありません。影響を受けたストアには、弊社から補償をお送りしています。補償で大変な一日がなかったことになるわけではありません。それでも、言葉だけでなく行動で責任を果たす姿勢をマーチャント様にお見せしたいと考えました。
技術的な詳細は、公式のセキュリティに関するお知らせをご覧ください。
経験のあるアプリ開発元で、なぜこんなことが起きたのでしょうか？
当然の疑問だと思います。正直にお答えすると、脅威の変化が弊社の対応よりも速かったのです。AIによって誰もが速く動けるようになりました。攻撃者も例外ではありません。弱点をより早く見つけ、すぐに実際の攻撃に変えることができます。マーチャント様により柔軟に使っていただくために用意したカスタマイズ可能なHTML欄が、侵入口になってしまいました。Shopifyがアプリ開発者向けに公開しているセキュリティガイドでも、悪意のあるスクリプトがストアフロントに入り込む例として、こうした設定欄が挙げられています。弊社はもっと早く、これらの欄をリスクとして扱うべきでした。
脆弱性が絶対に生じないと約束できるアプリ開発元はありません。確認できるのは、脆弱性が見つかったときの開発元の対応です。マーチャントに迅速かつ公に知らせるか、修正内容を第三者の専門家が検証しているか、Shopifyの審査に再度合格しているか、そして質問があるときに実際の担当者に連絡がつくか。これらは弊社が自らに課している基準であり、次のセクションで弊社の対応をご紹介します。
弊社の対応と、恒久的に変えたこと
脆弱性をふさぐのにかかったのは1日でした。ほかのマーチャント様が同じ思いをしないよう万全を期すには、はるかに長い時間がかかりました。
当日中の修正からShopifyのセキュリティ審査まで、弊社の対応の流れ
- 当日中に修正し、影響を受けたすべてのストアをクリーンな状態に戻したうえで、マーチャント様にチェックアウトの動作確認をお願いしました。
- Qikifyの全アプリを点検しました。対象の2アプリだけでなく、すべての機能を監査し、同じ手口で悪用されうる箇所を洗い出してふさぎました。
- 独立したセキュリティ企業に依頼し、インシデントレポートの作成と、脆弱性診断・侵入テスト（VAPT）を実施しました。弊社の修正内容を、弊社以外の第三者に検証してもらうためです。
- Shopifyのセキュリティ審査を完了しました。2026年8月21日、両アプリはShopify App Storeに再掲載されました。
- マーチャント様への情報提供を続けました。アプリ内通知、メール、公開のインシデントページを通じてお知らせし、影響を受けたストアには補償を行いました。
7月以降、ストアフロントにコンテンツを書き込めるすべての設定欄を、パスワードと同じように慎重に扱うべき機密項目として位置づけ、弊社が開発するすべてのアプリに適用しています。
今月の攻撃について
10月10日以降、ほかの複数のサードパーティ製アプリを利用しているストアから、同じパターンの被害が報告されています。お客様がチェックアウトから偽の決済ページへリダイレクトされるというものです。開発者のRoman Zipp氏が、これらの事例を詳細な公開レポートにまとめています。弊社の7月のインシデントは、8月に対応を完了した過去の事例として掲載されています（本記事冒頭のお知らせをご参照ください）。
今回、攻撃者がどのように侵入したのかは、影響を受けた開発元とShopifyが現在も調査中です。他社の根本原因について、弊社が推測で語ることはいたしません。ただ、今回の一連の攻撃からはっきり分かるのは、攻撃者がストアフロントにスクリプトを仕込めるあらゆる経路を狙っているということです。アプリ開発元のシステムはその経路のひとつですが、唯一の経路ではありません。
多くのマーチャントが見落としているリスク：AIに与えているアクセス権
「アプリのセキュリティ」と聞くと、多くの方はアプリ開発元のことを思い浮かべます。それはもっともなことで、7月以降、弊社は自らにより高い基準を課しています。
一方で、マーチャント様側にも、あまり注目されていないリスクがあります。何か起きてからではなく、今のうちにお伝えしておきたいと思います。
AIは今や、多くのマーチャントのストア運営に欠かせない存在です。Shopify MCPサーバーなどを通じてAIアシスタントやShopifyのAIエージェントをストアに接続し、商品の更新、注文の処理、お客様への対応を任せている方もいます。また、プログラミングの経験がほとんどなくても、AIを使ってカスタムアプリやスクリプト、連携機能を半日で作ってしまう方もいます。どちらも便利ですが、どちらもストアへのアクセス権が必要です。つまり、誰もセキュリティを確認していないコードやツールが動いているストアが増えているということであり、その多くは必要以上のアクセス権を持っています。弊社が最も懸念しているのは、Shopify APIキーやアクセストークンといった秘密鍵が、誰でも見られる場所に置かれてしまうミスです。
カスタムアプリを作る場合も、AIツールを接続する場合も、そのツールはあなたが付与したアクセス権を通じてストアを操作します。カスタムアプリを作成すると、ShopifyからAdmin APIのアクセストークンとクライアントシークレットが発行されます。付与した権限によっては、このトークンで商品、注文、顧客、テーマ、スクリプトなど、さまざまなものを閲覧・編集できます。もし漏えいすれば、見知らぬ第三者も同じことができてしまいます。
キーの漏えいは、たいてい何気ない形で起こります。
- テーマのコードやストアフロントのスクリプトに直接貼り付けてしまい、どの訪問者でも読める状態になっている
- 認証情報を削除しないまま、公開のGitHubリポジトリにコミットしてしまう
- チャットやドキュメント、フリーランスとの間で共有し、その後キーを再発行していない
- 必要以上に広いアクセス権を持つAIツールや自動化ツールに渡してしまう
Shopify APIキーやアクセストークンが流出してしまう、4つのよくあるパターン
こうした攻撃に、高度なハッキング技術は必要ありません。ボットが公開されているコードやWebサイトを常にスキャンし、露出したキーを探しています。Shopify自身のセキュリティガイドでも、公開するコードに秘密情報を含めないこと、AIの出力は信頼できないものとして扱うこと、AIシステムに与える権限は最小限にすることが推奨されています。
毎日Shopifyアプリを開発している立場からお伝えします。技術的な知識に自信がない場合は、AIを使って自作したカスタムアプリの扱いには十分ご注意ください。ストアのAPIに関わるものは、公開前に開発者にレビューを依頼するか、セキュリティに責任を持つ提供元のアプリを利用しましょう。AIで開発すること自体は問題ありません。リスクは、誰のレビューも受けていないコードをそのまま本番に出すことにあります。ストアを直接操作するAIツールも同様です。必要な権限だけを与え、注文や価格、お客様の目に触れる部分を変更する前には、必ず人が確認するようにしましょう。
10分でできる、ストアのShopifyセキュリティチェック
以下の手順は、弊社のアプリを含め、どのアプリをお使いの場合にも当てはまります。今日実施し、その後も数週間ごとに繰り返してください。
保存して使える、10分でできるShopifyセキュリティチェック
- シークレットウィンドウでチェックアウトをテストする。商品をカートに追加して「チェックアウト」をクリックし、アドレスバーに本物のShopifyチェックアウトが表示されていることを確認します。
- インストール済みのアプリを見直す。「設定」>「アプリ」から、使っていないアプリや見覚えのないアプリを削除します。
- カスタムアプリとその権限を見直す。不要なアクセス権を持つアプリがあれば、権限を絞り込みます。
- 一度でも共有したキーは再発行する。コードに貼り付けたキーや、今は取引のないAIツール・フリーランスに渡したキーも対象です。
- Shopifyアカウントにアクセスできるのは、どのAIツールや自動化ツールかを確認し、実際に使っていないものは削除します。
- 2段階認証（2FA）を有効にする。ご自身のShopifyアカウント、すべてのスタッフアカウント、そして対応しているすべてのアプリのアカウントで設定しましょう。
- 異変を感じたらすぐに行動する。直ちにアプリ開発元とShopifyに連絡してください。一分一秒が重要です。
セキュリティはともに守るもの
弊社のアプリをインストールしてくださるストアオーナーの皆さまは、ご自身のビジネスとお客様を弊社に託してくださっています。7月の出来事は、その信頼の重さを改めて教えてくれました。弊社はその信頼を決して軽く考えてはいません。一方で、ストアへのアクセス権を管理しているのはマーチャント様ご自身であり、AIツールの登場によって、うっかりアクセス権を渡してしまうことも起こりやすくなっています。弊社とマーチャント様がそれぞれの役割を果たしてこそ、お客様の安全は最大限に守られます。
7月のインシデントについてご質問がある場合は、公式のセキュリティに関するお知らせをご覧いただくか、contact@qikify.comまでお問い合わせください。また、AIで作ったものや接続したものが安全かどうか不安な場合は、Qikifyのアプリをお使いでなくても、お気軽にご連絡ください。確認すべきポイントをお伝えします。
