アカウントのセキュリティに関するベストプラクティス
リスクから身を守るために、アカウントの固有のパスワードを生成する方法、不正使用されたアカウントを保護する方法、ブロックされた資格情報をリセットする方法について説明します。
このページの内容
パスワードボールトで固有のパスワードを生成する
多くの人が複数のアカウントで同じパスワードを使用しています。多くの場合、同じユーザー名またはメールアドレスと組み合わせて使用されます。固有のパスワードを使用しない場合、ユーザー名とパスワードの組み合わせが漏洩すると、攻撃者はその資格情報を使用する別のアカウントにアクセスする可能性があります。
パスワードボールトソフトウェアを使用することは、パスワードを生成および管理するための優れた方法です。パスワードボールトを使用する場合、ボールトのマスターキーのみを覚えておく必要があり、他のパスワードは文字、数字、記号をランダムに組み合わせたものとして自動生成できます。
ログイン資格情報を決して共有しない
ログイン資格情報、つまりユーザー名とパスワードは、デジタル世界におけるあなたの身元であり、非公開かつ機密に保つ必要があります。この情報を共有すると、アカウントのセキュリティが低下します。同僚、家族、スタッフなど、誰ともログイン資格情報を共有しないでください。
アカウントへのアクセス権を付与するのではなく、ストアにスタッフメンバーを追加します。スタッフメンバーは、固有の資格情報を作成して、自分のアカウントにログインできます。
Shopify サポートがShopifyのパスワードをお尋ねすることはありません。
一般的な攻撃方法を特定する方法を学ぶ
フィッシング、ビッシング、スミッシングを特定する方法と、アカウントや個人情報が不正に使用された場合に実行すべき手順について説明します。
2段階認証を有効にする
パスワードを入手した第三者によって損害が発生する可能性を減らすため、Shopify アカウントで 2段階認証を有効にしてください。また、スタッフも自分のアカウントで 2段階認証を設定する必要があります。
2段階認証 (2SA) は、アカウントにセキュリティレイヤーを追加するため、オンラインセキュリティにとって重要です。パスワードが共有、推測、漏洩、またはフィッシングの被害に遭った場合、パスワードだけでは攻撃者によるアカウントへのアクセスを防ぐのに十分ではありません。2段階認証を有効にすると、ユーザーはパスワードを知っているだけでなく、モバイルデバイスやセキュリティキーなど、管理画面へのログインに使用する物理的なデバイスにアクセスできる必要があります。
Shopifyペイメントなどの決済ゲートウェイサービスを有効にすると、その決済ゲートウェイサービスを使用するために2段階認証を設定するようShopifyから求められます。後で2段階認証を無効にすると、アカウントと財務情報が犯罪攻撃の危険にさらされることになります。
可能な限り、他のアカウントでも2段階認証を使用してください。2段階認証をサポートする主なサービスは、以下のとおりです。
パスキーを使用する
パスキーは、パスワードに代わる、より安全な手段です。パスワードを入力せずにアカウントにサインインでき、パスワードよりも安全で効率的です。パスキーを使用すると、パスワードを忘れてリセットする必要がなくなったり、間違ったパスワードを入力してアカウントから締め出されたりする可能性がなくなります。
パスキーを使用すると、フィッシング詐欺やパスワードの盗難を回避するのに役立ちます。
指紋認証、顔認証、デバイスのPINなど、デバイスのロック解除に使用する認証方法を使用してパスキーを追加できます。
Shopify ストアでパスキーを設定する方法について、詳しくはこちらをご覧ください。
リカバリーコードをダウンロードして安全な場所に保管する
2段階認証設定の最後の手順は、リカバリーコードをダウンロードして保存することです。デバイスにアクセスできなくなった場合や、有効にした2段階認証方法を使用してログインできない場合は、代わりにリカバリーコードを使用してログインできます。リカバリーコードは、どこからでも簡単にアクセスできる安全で機密性の高い場所に保管してください。
リカバリーコードについて、詳しくはこちらをご覧ください。
不正使用されたアカウントを保護する
アカウントが不正使用された場合は、すぐにデータと財務情報を保護するための措置を講じてください。
手順：
- Shopifyへのログインに使用するメールアカウントにログインし、パスワードを変更します。
- Shopify にログインして、Shopify ユーザーアカウントのパスワードを変更します。ログインできない場合は、パスワードをリセットしてください。パスワード再設定メールが届かない場合は、Shopify サポートにお問い合わせください。
- 以下のいずれかを実行します。
- ログイン時のセキュリティを強化するため、2段階認証を有効にします。
- 2段階認証がすでに有効になっていて、攻撃者がそれを突破できた場合 (デバイスを盗まれた場合など)、そのデバイスの認証方法を削除してから、別のデバイスで2段階認証を再度設定する必要があります。
- Shopify ユーザーアカウントの 不審なログインアクティビティを確認します。
- 不正なアクティビティがないか、金融アカウントと銀行口座情報を確認してください。Shopify Creditバーチャルカードへの未承認の請求は、アカウント侵害の兆候であることが多いため、すべての金融サービスを確認することが重要です。
- Shopify Balanceアカウントのセキュリティを確保する。
- Shopify Creditアカウントの安全を確保します。未承認のカード取引に気付いた場合は、直ちにカードをロックし、請求に対して異議を申し立ててください。
- Shopify Capitalアカウントのセキュリティを確保する。
- Shopify ペイメントアカウントのセキュリティを確保する。
- 以下の一般的なアカウント設定を確認し、他のすべての情報が正しいことを確認します。
- スタッフやコラボレーターのアカウントとその権限を見直して更新し、必要なエリアにのみアクセスできるようにします。特に、機密性の高い権限を持つスタッフについては注意してください。
- ストアのアクティビティログを確認して、身に覚えのない変更がないか調べます。
- すべての情報が正確であり、想定どおりであることを確認するために、以下のストア設定を確認してください。[一般]設定の[ストアの連絡先情報]、[チェックアウト]、[配送と配達]、[ドメイン]、[通知]。
- [コンテンツ] > [ファイル] の順に移動して、承認されていないファイルが追加されていないか確認します。
- Shopify 管理画面のグロースセクションを確認し、すべてのマーケティングキャンペーンが承認を得て作成されたことを確認します。マーケティングについて詳しくはこちらをご覧ください。
- Shopify 管理画面の設定で[アプリ] を確認し、インストール済みのアプリが承認されていることを確かめます。[カスタムアプリ] セクションを確認し、すべてのアプリに身に覚えがあることを確かめます。カスタムアプリについての詳細はこちら。
- [ディスカウント] を確認し、すべてが正しいことを確認します。
- 不審な注文や下書き注文などの注文内容を確認し、お客様に連絡して正当性を確かめ、チャージバックを防ぐために必要に応じてキャンセルまたは返金します。チャージバックと照会および不正注文の防止に関する詳細はこちら。
- 政府のガイドに従って、個人情報と機密情報を保護してください。
メールアカウントとデバイスを保護する
すべてのデバイス、ブラウザ、アプリを最新の状態に保ち、脆弱性を最小限に抑えるようにしてください。
メールアカウントが安全であることを確認してください。
手順：
- メールアカウントのパスワードを、強力で固有のものに変更します。
- 2段階認証など、メールプロバイダーが提供する追加のセキュリティ機能を有効にします。
- Shopifyからのメールがゴミ箱やスパムフォルダに転送される可能性のあるメールフィルターを確認して削除し、メインのインボックスに届くようにします。
- フィルターの問題を回避するために、Shopifyからのメールを信頼できるものとしてマークするように設定を調整します。
ブロックされた資格情報をリセットする
多くの人が複数のアカウントで同じパスワードを使用し、同じユーザー名またはメールアドレスと組み合わせているため、ユーザー名とパスワードの組み合わせが漏洩した場合、攻撃者は同じ資格情報を使用する他のアカウントにアクセスする可能性があります。
このような事態が発生するリスクを軽減するため、私たちは公開されているデータ漏洩から情報を取得し、分析しています。これらの漏洩のいずれかで資格情報が見つかった場合、アカウントはロックされます。ログインしようとすると、漏洩していないパスワードにリセットするまで、エラーメッセージが表示されます。
また、すべてのアカウントのセキュリティを最大限に高めるため、2段階認証やパスワード保管ソフトウェアを使用することをおすすめします。
不審なログインアクティビティ
攻撃者によるShopifyアカウントへのログインを防ぐため、Shopifyのセキュリティシステムは、通常とは異なるアクティビティが検出されると、アカウントへのアクセスを検出してロックします。このような場合、ログインプロセスの一環として本人確認を行う必要があります。
10桁のコードがアカウントのメールアドレスに送信されます。このコードを入力して本人確認を行い、ログインします。
手順：
- [本人確認] ページで、メールに送信されたコードを入力し、[ログイン] をクリックします。
- 本人確認が正常に完了したら、以前の不審なログイン情報を確認し、[はい、私です] または [いいえ、私ではありません] をクリックして、そのログインが本人によるものかどうかを示します。
- [いいえ、私ではありません] をクリックした場合は、アカウントにログインする前に、アカウントを安全に保つためにパスワードをリセットする必要があります。
非アクティブなアカウントにログインする
アカウントに3か月以上ログインしていない場合は、ログインプロセスの一環として本人確認を行う必要があります。
10桁のコードがアカウントのメールアドレスに送信されます。このコードを入力して本人確認を行い、ログインします。
手順：
- ログインページで、メールに送信されたコードを入力します。
- [ログイン] をクリックします。
未確認のデバイスからのログイン
Shopifyがログインに使用されたデバイスを認識しない場合、「新しいデバイスがShopifyアカウントにログインしました」という件名のメールがShopifyから届きます。
アカウントの安全性を確保するには、新しいデバイスに見覚えがあることを確認する必要があります。
表示されたデバイスに見覚えがない場合、アカウントが不正使用された可能性があります。以下の手順に従って、アカウントを保護してください。
手順：
- メールを開き、[アクティビティを確認する] をクリックします。
- デバイスとログインの詳細を確認します。
- 以下のいずれかを実行します。
- デバイスに見覚えがある場合は、[はい、私です] をクリックします。
- デバイスに心当たりがない場合は、[いいえ、アカウントを保護します] をクリックし、指示に従ってアカウントを保護してください。
パスワードを変更する必要がある場合は、認証用のセキュリティコードが別のメールで送信されます。