Phishing Shopify: come verificare email sospette e proteggere l'account

Segnali che richiedono attenzione

Secondo il Centro assistenza Shopify, tra i segnali comuni ci sono email inattese provenienti da servizi di posta gratuiti, richieste di dati personali, linguaggio urgente o minaccioso e link verso siti non familiari. Nessuno di questi elementi, preso da solo, dimostra matematicamente che un messaggio sia fraudolento: serve verificare il contesto.

Come verificare un'email che sembra inviata da Shopify

Shopify indica tra i domini ufficiali usati per le comunicazioni @shopify.com, @email.shopify.com, @em.shopify.com e, per specifiche comunicazioni Bill Pay, @shopify-billpay.melio.com. Shopify può inoltre utilizzare servizi di invio affidabili e alcuni link legittimi possono includere il dominio shopifysvc.com.

Per questo non uso una regola semplicistica come “se non arriva da un solo dominio è phishing”. Se il messaggio resta dubbio, la verifica corretta è contattare direttamente l'Assistenza Shopify tramite i canali ufficiali.

Cosa non fornire tramite un messaggio sospetto

Non inserire password, codici di autenticazione in due passaggi, dati bancari o altre informazioni sensibili in una pagina raggiunta da un link di cui non hai verificato l'origine. Un attacco può anche chiederti di scaricare un file, aprire un allegato o rispondere direttamente con dati personali.

Se hai già cliccato o condiviso dati

La guida Shopify raccomanda di agire subito: modifica la password dell'account, attiva l'autenticazione in due passaggi se non è già attiva e contatta l'Assistenza Shopify per verificare eventuali accessi non autorizzati. Puoi inoltre controllare i dispositivi che hanno effettuato accessi recenti e disconnettere quelli che non riconosci.

Autenticazione in due passaggi e passkey

Shopify raccomanda metodi di accesso sicuro perché una password, da sola, non protegge l'account se viene sottratta. Le opzioni includono autenticazione in due passaggi e passkey. Le passkey riducono anche il rischio di inserire la password in una pagina di phishing.

Se più persone accedono allo store, ogni utente dovrebbe avere il proprio account e i permessi necessari al proprio lavoro, evitando condivisioni di credenziali.

Come segnalare un tentativo di phishing

Shopify indica l'indirizzo phishing@shopify.com per inoltrare i messaggi di phishing ricevuti. Questo aiuta Shopify a raccogliere informazioni sugli attacchi rivolti ai merchant.

Il mio perimetro

Sono Francesco Guiducci, freelance Shopify e sviluppatore di app Shopify. Quando intervengo sulla sicurezza operativa di uno store mi occupo di configurazione, permessi, tema, app e verifiche tecniche; non presento queste attività come garanzia contro ogni attacco futuro.

Fonte principale: Centro assistenza Shopify: phishing, vishing e smishing.

Aggiornato il 3 settembre 2026.