# Phishing Shopify: come verificare email sospette e proteggere l'account

> Come riconoscere email sospette rivolte ai merchant Shopify, verificare mittente e link, usare 2FA/passkey e reagire dopo un possibile phishing.

- Autore: [Francesco Guiducci](https://ifgdigital.com/francesco-guiducci/)
- Pubblicato: 2026-05-14 · Aggiornato: 2026-09-03
- Argomento: [Conformità e normativa](https://ifgdigital.com/ifgwebdesign/ecommerce/blog/categoria/normativa/)
- Lingua: Italiano · English version: https://ifgdigital.com/en/ifgwebdesign/ecommerce/blog/shopify-phishing-suspicious-emails-account-security/
- Lettura: 2 min
- URL: https://ifgdigital.com/ifgwebdesign/ecommerce/blog/sicurezza-shopify-phishing-spam-2026/

**Risposta diretta:** se ricevi un messaggio urgente che sembra provenire da Shopify, non decidere dalla grafica o dal tono. Controlla mittente e URL, evita di fornire credenziali o codici di autenticazione e, se hai dubbi, contatta Shopify attraverso i canali ufficiali. Shopify pubblica una guida specifica per phishing, vishing e smishing.

## Segnali che richiedono attenzione

Secondo il Centro assistenza Shopify, tra i segnali comuni ci sono email inattese provenienti da servizi di posta gratuiti, richieste di dati personali, linguaggio urgente o minaccioso e link verso siti non familiari. Nessuno di questi elementi, preso da solo, dimostra matematicamente che un messaggio sia fraudolento: serve verificare il contesto.

## Come verificare un'email che sembra inviata da Shopify

Shopify indica tra i domini ufficiali usati per le comunicazioni `@shopify.com`, `@email.shopify.com`, `@em.shopify.com` e, per specifiche comunicazioni Bill Pay, `@shopify-billpay.melio.com`. Shopify può inoltre utilizzare servizi di invio affidabili e alcuni link legittimi possono includere il dominio `shopifysvc.com`.

Per questo non uso una regola semplicistica come “se non arriva da un solo dominio è phishing”. Se il messaggio resta dubbio, la verifica corretta è contattare direttamente l'Assistenza Shopify tramite i canali ufficiali.

## Cosa non fornire tramite un messaggio sospetto

Non inserire password, codici di autenticazione in due passaggi, dati bancari o altre informazioni sensibili in una pagina raggiunta da un link di cui non hai verificato l'origine. Un attacco può anche chiederti di scaricare un file, aprire un allegato o rispondere direttamente con dati personali.

## Se hai già cliccato o condiviso dati

La guida Shopify raccomanda di agire subito: modifica la password dell'account, attiva l'autenticazione in due passaggi se non è già attiva e contatta l'Assistenza Shopify per verificare eventuali accessi non autorizzati. Puoi inoltre controllare i dispositivi che hanno effettuato accessi recenti e disconnettere quelli che non riconosci.

## Autenticazione in due passaggi e passkey

Shopify raccomanda metodi di accesso sicuro perché una password, da sola, non protegge l'account se viene sottratta. Le opzioni includono autenticazione in due passaggi e passkey. Le passkey riducono anche il rischio di inserire la password in una pagina di phishing.

Se più persone accedono allo store, ogni utente dovrebbe avere il proprio account e i permessi necessari al proprio lavoro, evitando condivisioni di credenziali.

## Come segnalare un tentativo di phishing

Shopify indica l'indirizzo `phishing@shopify.com` per inoltrare i messaggi di phishing ricevuti. Questo aiuta Shopify a raccogliere informazioni sugli attacchi rivolti ai merchant.

## Il mio perimetro

Sono **Francesco Guiducci**, freelance Shopify e sviluppatore di app Shopify. Quando intervengo sulla sicurezza operativa di uno store mi occupo di configurazione, permessi, tema, app e verifiche tecniche; non presento queste attività come garanzia contro ogni attacco futuro.

Fonte principale: [Centro assistenza Shopify: phishing, vishing e smishing](https://help.shopify.com/it/manual/privacy-and-security/account-security/phishing).

*Aggiornato il 3 settembre 2026.*