Risposta diretta: se ricevi un messaggio urgente che sembra provenire da Shopify, non decidere dalla grafica o dal tono. Controlla mittente e URL, evita di fornire credenziali o codici di autenticazione e, se hai dubbi, contatta Shopify attraverso i canali ufficiali. Shopify pubblica una guida specifica per phishing, vishing e smishing.
Segnali che richiedono attenzione
Secondo il Centro assistenza Shopify, tra i segnali comuni ci sono email inattese provenienti da servizi di posta gratuiti, richieste di dati personali, linguaggio urgente o minaccioso e link verso siti non familiari. Nessuno di questi elementi, preso da solo, dimostra matematicamente che un messaggio sia fraudolento: serve verificare il contesto.
Come verificare un'email che sembra inviata da Shopify
Shopify indica tra i domini ufficiali usati per le comunicazioni @shopify.com, @email.shopify.com, @em.shopify.com e, per specifiche comunicazioni Bill Pay, @shopify-billpay.melio.com. Shopify può inoltre utilizzare servizi di invio affidabili e alcuni link legittimi possono includere il dominio shopifysvc.com.
Per questo non uso una regola semplicistica come “se non arriva da un solo dominio è phishing”. Se il messaggio resta dubbio, la verifica corretta è contattare direttamente l'Assistenza Shopify tramite i canali ufficiali.
Cosa non fornire tramite un messaggio sospetto
Non inserire password, codici di autenticazione in due passaggi, dati bancari o altre informazioni sensibili in una pagina raggiunta da un link di cui non hai verificato l'origine. Un attacco può anche chiederti di scaricare un file, aprire un allegato o rispondere direttamente con dati personali.
Se hai già cliccato o condiviso dati
La guida Shopify raccomanda di agire subito: modifica la password dell'account, attiva l'autenticazione in due passaggi se non è già attiva e contatta l'Assistenza Shopify per verificare eventuali accessi non autorizzati. Puoi inoltre controllare i dispositivi che hanno effettuato accessi recenti e disconnettere quelli che non riconosci.
Autenticazione in due passaggi e passkey
Shopify raccomanda metodi di accesso sicuro perché una password, da sola, non protegge l'account se viene sottratta. Le opzioni includono autenticazione in due passaggi e passkey. Le passkey riducono anche il rischio di inserire la password in una pagina di phishing.
Se più persone accedono allo store, ogni utente dovrebbe avere il proprio account e i permessi necessari al proprio lavoro, evitando condivisioni di credenziali.
Come segnalare un tentativo di phishing
Shopify indica l'indirizzo phishing@shopify.com per inoltrare i messaggi di phishing ricevuti. Questo aiuta Shopify a raccogliere informazioni sugli attacchi rivolti ai merchant.
Il mio perimetro
Sono Francesco Guiducci, freelance Shopify e sviluppatore di app Shopify. Quando intervengo sulla sicurezza operativa di uno store mi occupo di configurazione, permessi, tema, app e verifiche tecniche; non presento queste attività come garanzia contro ogni attacco futuro.
Fonte principale: Centro assistenza Shopify: phishing, vishing e smishing.
Aggiornato il 3 settembre 2026.
Fonti citate nell’articolo
Documentazione ufficiale e riferimenti esterni collegati nel testo. Le funzioni di Shopify cambiano: confronta sempre con la versione corrente.
- Centro assistenza Shopify: phishing, vishing e smishing Shopify · help.shopify.com
