サイバー犯罪者が従来型の偽返金詐欺をより巧妙にしている。偽メールや偽サイトだけに頼るのではなく、Shopifyの正規Shop通知経路を悪用しているとHuntressが報告した。被害者には本物のShopアプリ内で偽の購入・請求通知が表示され、通常のPush通知として届く場合もある。
このキャンペーンが厄介なのは、外部からShopifyを装うのではなく、本物のプラットフォームへの信頼を利用している点だ。Huntressでは2026年5月から8月に複数の従業員が同様の通知を受け取っており、他の利用者からも報告が出ている。目的は身に覚えのない購入を信じ込ませ、詐欺師が管理する連絡先へ誘導することだ。
攻撃者はShopify自身の通知基盤を悪用
Huntressによると、不正に作られたShopify販売者アカウント、または乗っ取られたアカウントが偽注文の生成に使われる可能性が高い。注文がShopifyのエコシステム内で作成されるため、怪しいドメインのフィッシングメールではなく正規Shopアプリから通知が届く。
研究者はこれを『Living Off Trusted Sites』の一種と説明する。今回はShopifyの通知システム自体が偽注文の配送経路として利用され、正規サービス内に表示されることで利用者の警戒心を下げる。
偽注文は被害者に電話させるよう設計
偽注文ではShipping Addressやレシート情報などに攻撃者の連絡先を埋め込める。高額購入や覚えのない注文を見た利用者が、その電話番号やメールアドレスを返金・異議申し立て窓口だと誤認することを狙っている。
Huntressは、詐欺師がRemote Accessを許可させたり、オンラインバンキング情報を聞き出したり、架空の過払い金をGift CardやWire Transferで返すよう要求したりする可能性を警告する。最初の注文は偽物でも、被害者が送る金銭は本物だ。
不審注文とは別の経路で取引を確認する
Huntressは、身に覚えのない注文に記載された電話番号へ連絡したり、メールを送ったり、リンクを開いたりしないよう推奨する。代わりに銀行、カード会社、PayPalなどの支払い口座を直接確認し、実際の請求が存在するかを調べるべきだ。
Shopify利用者は可能な場合『Not my order』として不審注文を報告できる。Shopifyのセキュリティ案内ではフィッシングを公式チャネルへ報告するよう案内している。正規プラットフォーム経由でも内容が攻撃者に操作され得る点が重要だ。
信頼されたプラットフォームの悪用が大きな問題に
Shopifyの事例は、攻撃者が利用者がすでに信頼しているサービスの内部で活動しようとする傾向を示す。Cloud Platform、広告配信、Collaboration Tool、Customer Support基盤なども同じように悪用され得る。正規サービスのBrandingや通知経路を借りられると、従来の視覚的な警告サインは弱くなる。
利用者と企業に必要なのは、行動する前に別の独立経路で出来事を確認する習慣だ。支払い通知なら実際の決済口座を確認し、Supportへの連絡を求められた場合は怪しいメッセージとは別に公式連絡先を取得するべきだ。
