Columns2026/10/16

【注意喚起・2026年10月15日】Shopifyアプリ経由のチェックアウト偽装リダイレクト：報告内容と今すぐできる対策

最終更新：2026年10月16日

今すぐやること

SwymのWishlist PlusやHulkAppsの拡張機能を使っていないか確認する
新しいプライベートウィンドウでチェックアウトを何度か試し、スクリーンショットとURLを残す
SwymのWishlist Plusは、続報が出るまで埋め込みをオフにする（HulkAppsは修正済みと説明しているが、テストで確認する）
リダイレクトを確認したら、パスワードページを設定し、Shopifyサポートとアプリベンダーに連絡する

何が起きているのか

2026年10月15日、この問題の報告がShopifyコミュニティで一気に広がりました。ただし、リスク自体は少なくとも10月10日の時点ですでに存在していたとみられます。公式の調査結果を待たず、今すぐ自社ストアを確認してください。

10月10日以降、複数のEC事業者やパートナー企業から、顧客がチェックアウトをクリックした際に偽の決済ページへとリダイレクトされたという報告が寄せられています。これらの報告はShopify自体のチェックアウトではなく、特定のサードパーティアプリを介して配信されたコードが原因であることを示唆しています。全体の被害規模はまだ判明しておらず、公式な調査結果も公表されていません。念のため、SwymのWishlist PlusやHulkAppsの拡張機能を使用しているEC事業者は、該当アプリを見直し、自社ストアのチェックアウト動作を確認することをお勧めします。

この記事では、これまでに報告されている内容、まだ分かっていない点、そして日本のEC事業者が今すぐ取れる対応と中長期的な対策について解説します。詳細は現在も判明しつつある状況であるため、2026年10月15日時点で把握できている情報として日付を記載しています。英語圏のLinkedInやShopifyコミュニティフォーラムなどではこの報告が議論されていますが、日本国内ではこれまでほとんど取り上げられていません。そのため、国内のEC事業者にも早期に情報を把握し、何を点検すべきかを知っていただきたいと考え公開しました。

これまでの主な報告と、Flagshipが確認した事例は以下のとおりです。異なるアプリを介して、同様の結果が生じています：

日付	報告内容	対象アプリ
10月10日	開発者のRoman Zipp氏がドイツから米国のキーボードストアで買い物をしていた際、チェックアウト時に本物によく似た偽のドメインへとリダイレクトされた。同氏が調査したところ、仕込まれた不正なコードに起因することを確認し報告した。	HulkApps Product Options
10月13日	ShopifyコミュニティフォーラムのEC事業者が、顧客が偽の決済ページに誘導されたと投稿。	未確認（EC事業者はHulkAppsを使用していないと述べている）
10月15日	ShopifyパートナーのUnderwaterpistolが、クライアントのストアで実際に乗っ取りが発生している状況を確認し、Swymの設定サービスに起因することを確認したと報告。	Swym Wishlist Plus
10月15日	Flagshipも、複数の別のEC事業者のストアで同様のリダイレクトを確認。	Swym Wishlist Plus

UnderwaterpistolのLinkedIn投稿に対する返信では、他のEC事業者やパートナー企業からも同様のリダイレクトを確認したとの声が上がっています。そのうち1人は3つ目のアプリとしてSelleasyを挙げており、Shopifyサポートから対処済みと説明を受けたとしています。Flagshipが確認したケースを除き、これらの追加報告は確認されておらず、同じ原因によるものかどうかも分かっていません。

各企業の対応と公式見解

2026年10月15日19:30（日本時間）時点で、該当アプリ（Swym、Swymのステータスページ、HulkApps）およびShopifyのステータスページを確認したところ、これらの報告に関する公開声明は見当たりませんでした。その後、HulkAppsはLinkedInのスレッドで回答を寄せています。同社によると、承認されていない設定変更が同社のProduct Optionsテーマ拡張機能に影響を与えたとのことです。Shopifyと連携してセキュリティチームがこれらを削除し（Shopifyは一時的に拡張機能を無効化）、Shopifyが修正を確認した時点で拡張機能は復元されたため、EC事業者がアンインストールする必要はないと説明しています。

Swymはまだ公式の公開声明を出していませんが、少なくとも1社のEC事業者に対して直接、問題は封じ込められたこと、安全対策が講じられるまでShopifyがWishlist Plusの新規インストールを一時的に停止したこと、そして72時間以内に詳細な更新情報を提供する旨を伝えています。StatusGatorによるSwymの追跡機能では、10月14日にウィッシュリストボタンを通じてストアが「ハックされた」という未検証のユーザー報告が1件記録されているのみです。10月16日時点で、LinkedInのスレッド上ではSwymが修正を適用したとするコメントも出ていますが、Swymからの正式な発表は確認できていません。

また、Shopifyは10月15日、アプリ開発者向けに、アプリの脆弱性を点検するコマンド（shopify app security check）を公開しました（Shopify開発者向け変更履歴）。EC事業者が自分のストアに対して使うものではありませんが、アプリ側の安全性を高める動きとして注目されます。

攻撃の仕組み

報告されている内容は、EC事業者のテーマファイルからではなく、アプリがサーバー側に持つ設定から悪意あるコードが届いているというものです。ページ読み込み時にアプリがベンダーのサーバーから害のあるコンテンツを読み込むため、テーマコード自体は完全に問題がないように見える場合があります。

Swymに関する最初のLinkedIn投稿によると、アプリの設定サービスが、本来「お気に入りに追加」といったプレーンテキストのラベルが入るべき場所に非常に長い文字列を返していました。その文字列には、エラーハンドラ（onerror）を含む隠された破損画像が含まれていました。アプリのスクリプトがそのラベルをボタン内にHTMLとして挿入した際、ハンドラが実行されたのです。これは格納型クロスサイトスクリプティング（XSS）の問題であり、本来データを入れる欄が、コードを実行する入り口になってしまいました。

HulkAppsに関する最初の公開報告では、カスタムJavaScript用のフィールドに約22.7KBのコードが仕込まれた状態でベンダーのAPIから返され、訪問者のブラウザ上で実行されました。一度実行されると、どちらの報告でもコードは以下のように同じ動作を行います：

チェックアウトボタンやカートフォームの送信を監視し、購入者を本物によく似た偽のドメインへと転送する。
本物のカートの内容（商品、数量、合計金額）を複製し、偽ページが正しく見えるようにする。
偽ページ上で、連絡先、住所、カード情報の入力フォームを表示する。

偽ページの見分け方としては、アドレスバーに自社ストアやShopifyのドメインが表示されていない、価格や合計金額が誤っている、上部のショップロゴが一致しない、パスワードマネージャーが「名（First name）」フィールドにクレジットカードの名義人を提示してくる（フォームがカード情報を収集している兆候）、などが挙げられます。何かを入力する前に、必ずアドレスバーを確認してください。

（偽のチェックアウトページの例。スクリーンショットは、Roman Zipp氏の記事より、同氏の許可を得て掲載しています。）

公開報告で挙げられているドメイン（アクセスしないでください）：

biliing.top
billing-confirm.top
account-confirm.top
checkout-confirm.top
order-confirm.top

他のドメインが使用される可能性もあるため、チェックアウト時に見覚えのないアドレスが表示された場合はすべて不審なものとして扱ってください。

なぜ発見が困難なのか

報告されている動作は見落としやすいため、自社ストアのチェックアウトを簡単に試しただけでは異常が発見されない可能性があります。

再現しない場合がある：HulkAppsのスクリプトはブラウザセッションごとに1回しか実行されないと報告されており、同じウィンドウでの2回目のテストでは正常に見えます。また、顧客がリダイレクトされた後の再試行では問題なく動作したというEC事業者の報告もあります。
削除後も残存することがある：Swymの設定はブラウザの Local Storage にキャッシュされていたため、アプリを無効化した後も悪意のあるハンドラが残る可能性があり、キャッシュをクリアした後でもベンダーのサーバーから再度提供されたと報告されています。購入者のブラウザに残ったこのキャッシュを、事業者側で消すことはできません。ベンダーがサーバー側の設定を修正するまで解消されないため、この点からもアプリの埋め込みをオフにしておくことが重要です。
注文が通常どおり届く可能性もある：データ収集後に購入者が本物のチェックアウト画面に転送された場合、通常の売上として記録され、苦情の連絡も入らない可能性があります。報告で確認された挙動ではなく、想定される可能性です。
標準的なセキュリティ対策が機能しない場合がある：報告によると、これらのドメインはGoogle Safe BrowsingやURLhausでまだフラグが立てられておらず、広告ブロッカーでも阻止できなかったとのことです。

これらの理由から、テストで問題がなかったとしても安全であるという証明にはなりません。独自のウィッシュリストボタンを使用しているストアでは、明確なリダイレクトが観察されない場合がありますが、キャッシュされたコードが購入者のブラウザ内に残っている可能性があります。

今すぐすべきこと

リダイレクトが確認された場合は、原因が特定される前であっても対応を行ってください。購入者が不審な決済ページへ送られているおそれがある場合は、調査を行いつつ、疑わしいアプリまたは特定の埋め込み（App embed）をオフにします。原因を迅速に特定できず、顧客へのリスクが続く場合は、一時的にストアフロントを閉鎖することが安全な選択肢となります。詳しい説明が出るまで待つことは、問題を放置してよい理由にはなりません。

以下の手順は、どのストアでも今すぐ実行できる確認項目です：

アプリの確認：アプリ一覧でSwymの Wishlist Plus や、HulkAppsの拡張機能（例: Product Options や Form Builder など）がないか確認します。
クリーンなセッションでテストする：新しいプライベートウィンドウを開き、商品を追加して、カートページ、カートドロワー、クイック購入ボタンなどから「チェックアウト」を押し、アドレスバーが自社のShopifyチェックアウトドメインのままであるか確認します。これを複数回繰り返します。報告されている不正なコードは、一度リダイレクトすると、ブラウザの sessionStorage に印を残して同じセッションでは二度と動かないとされています。通常のウィンドウではすでに印が付いていて正常に見えることがあるため、必ず新しいプライベートウィンドウで試してください。手作業の代わりに、コミュニティが公開した点検ツール（The fake register（Very Bad Panda））も利用できます。Claude Codeのプラグインや、Claude in Chromeに貼り付けるプロンプトとして提供されており、新しいタブでチェックアウトを3回試し、転送先のアドレスや不審なキー・通信の有無を確認します。利用は自分が管理するストアに限り、実行のたびに放棄されたチェックアウトが1件作られること、合格でも安全の保証にはならないことに注意してください。
テストの合間にキャッシュデータを確認・クリアする：DevTools で Application を開き、Local Storage を選択して、アプリのキー（例: swym で始まるもの）に onerror や .top が含まれていないか確認します。あわせて Session Storage に __ctf_ で始まるキーがないかも確認してください。報告されている不正なコードは、このキーで「1回だけ動く」よう制御しているとされています。該当する値が見つかった場合は、削除する前にスクリーンショットを撮るか内容を保存してください（証拠になります）。キャッシュされたアプリ設定が残る可能性があるため、テストの合間にこれらを削除してください。
リダイレクトを確認したら、証拠を残して連絡する：設定を変える前に、スクリーンショット、URL、タイムスタンプ、ネットワークレスポンスを保存してください。そのうえでストアフロントにパスワードページを設定し、Shopifyサポートおよびアプリベンダーに連絡します。顧客がカード情報を入力した可能性がある場合は、早期に社内のセキュリティ、決済、法務チームを巻き込み、報告義務の有無を確認してください。個人情報保護委員会への報告に加え、クレジットカード・セキュリティガイドラインに基づき、決済代行会社やカード会社への報告が必要になる可能性もあります。
Swymは続報が出るまで無効化する：Swymの Wishlist Plus を使っている場合は、続報が出るまで、テーマエディタの「アプリの埋め込み（App embeds）」で同社のすべてのアプリ埋め込みをオフにします。HulkAppsは修正済みでアンインストールの必要はないと説明していますが、上記のテストで問題がないことを確認してください。どのアプリでもリダイレクトを確認した場合は、同様に無効化します。アプリによっては複数の埋め込みが存在し、ラベルが分かりにくい場合があります。アプリの埋め込みに対応していない古いテーマを使用している場合は、theme.liquid 内に該当アプリのスクリプトがないか確認し、コメントアウトしてください。テーマに直接読み込まれたスクリプトは、アプリをアンインストールした後でもアプリの設定を取得し続ける可能性があります。アプリが不要な場合は、アンインストールするのが最も確実な方法です。無効化した後は、ブラウザの DevTools の Network タブで、該当アプリのサーバーへのリクエストが発生していないかも確認してください。
スクリプトを追加する他のアプリも確認する：Selleasyを含む他のアプリについても報告が上がっており、挙げられた2つのアプリを使用していなくても影響を受けたとするEC事業者もいます。ストアフロントにコードを追加するすべてのアプリを見直してください。
アカウントのセキュリティを強化する：Shopifyのスタッフアカウントやアプリのダッシュボードのパスワードを変更し、2要素認証を有効化するとともに、心当たりのないユーザーを削除してください。
顧客からの報告に注意する：不審なチェックアウトページに関する問い合わせがあった場合、サポートスタッフから速やかに報告を受けられる体制を整え、カード情報を入力する前にアドレスを確認するよう顧客に案内してください。

長期的な教訓と対策

今回の事案は、ストアフロントにコードを追加するすべてのアプリが、自社チェックアウトのセキュリティの一部であるということを改めて認識させるものです。

一覧を作って管理する：ストアフロントにスクリプトを追加するすべてのアプリ、埋め込み、タグをリスト化し、誰がインストールしたか、誰が管理責任を負っているかを整理します。
使用していないものは削除する：使われていないアプリは、管理の届かないリモートコードの経路となります。
ベンダーに適切な質問をする：インストール時にどんなコードが実行されるか、後からどのような外部コンテンツを取得するか、そのコンテンツがどのようにページへ挿入されるか、外部設定を誰が変更できるか、ブラウザに何がキャッシュされるかを確認します。
定期的なチェックアウトテストを設定する：定期スケジュールやアプリ変更のたびに、モバイルとデスクトップの両方でクリーンなセッションからのテストを実施します。
緊急時の対応フローを決めておく：Shopifyサポートへの連絡者、パスワードページへの切り替え担当者、顧客対応の担当者をあらかじめ決めておきます。
アクセス権限を強化する：2要素認証を使用し、スタッフやパートナーアカウントには必要最小限の権限のみを付与します。

冷静に受け止めるために

原因が特定された報告においては、悪意のあるコードはストアフロントに読み込まれたサードパーティアプリのコンテンツから発生していました。今回の報告はいずれもShopify自体のチェックアウトの問題を示すものではありません。またHulkAppsとSwymの説明によると、Shopifyは修正が確認されるまで該当するHulkAppsの拡張機能を一時的に無効化し、安全対策が整うまでWishlist Plusの新規インストールを停止するなど、迅速に対応しています。アプリエコシステムが充実したプラットフォームなら、どこでもこの種のリスクに直面します。上記の教訓は、サードパーティスクリプトが実行されるあらゆる環境に当てはまります。

これはオープンソースのパッケージや外部スクリプトにも言えることで、脆弱性は依存関係を通じて入り込む可能性があります。日本でも2026年5月末から6月初めにかけて、無印良品や東芝などの企業サイトで不審なログイン画面が表示され、多くの企業が外部ライブラリ「polyfill.io」経由だったと説明しています（ITmediaの記事）。使用しているものを把握し、監視することが重要です。

このような脆弱性は、ストア外部からコンテンツを読み込むあらゆるソフトウェアで発生する可能性があり、どのアプリベンダーも直面し得るものです。当社は今回名前の挙がったベンダーを含め多くのベンダーと協業しており、この記事の目的はEC事業者が自社ストアを点検できるよう支援することであって、責任を追及することではありません。ベンダー側からも可能な限り早く詳細が共有されることを期待しています。

当社は、公式発表が出されるよりかなり前に、SNS上の開発者やパートナー企業の投稿から本件を把握し、同日中にサポートしているストアの点検を開始しました。今後も引き続き情報を収集して状況を注視し、新たな事実や重要な情報が分かり次第、この記事を更新してコミュニティに共有します。

更新履歴

2026年10月16日：Shopifyのセキュリティチェックコマンド、Swymの修正に関する報告、コミュニティのストア点検ツールを追記
2026年10月16日：公開（2026年10月15日時点の情報に基づく）

参考資料

お問い合わせはこちら