【Shopify】Swym Wishlist Plusにおける不正スクリプト挿入と機能一時停止について

👉運営者の詳しいプロフィールはこちら

Swym Wishlist Plusにおいて不正スクリプト挿入が発見された

Shopifyでよく利用されるウィッシュリストアプリ（お気に入りアプリ）の「Swym Wishlist Plus」において、決済画面へ遷移する際に悪質なサードパーティサイト（フィッシングサイト等）へ強制的にリダイレクトされるセキュリティインシデントが確認されています。

今回確認されている攻撃は、お客様がカート画面から「決済に進む（Checkout）」ボタンを押したタイミングで発生します。通常であれば自社ドメインやShopifyの正規決済ページへ移動するはずが、クレジットカード情報などの詐取を目的とした第三者の偽サイトへ強制的に切り替わってしまうというものです。

この問題は2026年10月中旬、特に10月14日前後から報告が急増しました。対象は「Swym Wishlist Plus」にとどまらず、「Hulk Product Options」や「Selleasy」といったフロントエンドでスクリプトを読み込む複数の人気アプリでも同様の不正利用が確認されています。

現在、Shopify公式ストアでは対象アプリの新規配布が一時的に取り下げられており、アプリ開発元であるSwym社側でもストアフロント用スクリプトの修正および無害化アップデートが進められている状況です。

Swym Wishlist Plusの公式発表（2026.10.19）

Swym Wishlist Plusの公式からは下記のメールが届きました。

日時：
2026/10/19

件名：
Action Taken: Swym Wishlist Plus Disabled as a Security Precaution

本文：
Dear Merchant,
We are writing to tell you about a security matter affecting the Swym Wishlist Plus application.

What happened
On October 18th 2026 at 21:17:07 UTC (October 19th 2026 07:17:07 AEST), Swym detected attempts by an unauthorized third party to inject scripts into a limited number of merchant storefronts. In the affected cases, these scripts attempted to redirect shoppers away from the merchant’s store.

What we have done
As a precautionary measure, we have temporarily disabled the Swym Wishlist Plus application for all merchants. While the application is disabled, Wishlist functionality will not be available on your storefront.
We took this extreme step to limit any potential impact on you and your shoppers while our investigation continues.
With Swym Wishlist Plus disabled, the app can no longer be used to load scripts on merchant storefronts.

What we are doing now
Our team is actively investigating this matter to determine its scope and cause. We will restore Wishlist functionality only once we are satisfied it is appropriate to do so.
If the app being disabled is affecting your store and you’d like help reducing the impact, please reach out to us at support@getswym.com.
We will share more updates as the situation progresses within the next 24 hours.

内容を日本語に翻訳してサマリーしたものは下記です。

Swym社の公式通知によると、UTC時間で2026年10月18日21時17分（日本時間10月19日6時17分）頃、権限を持たない第三者が一部のマーチャントのストアフロントに対してスクリプトを注入しようとした試みが検知されました。不正に挿入されたスクリプトは、ストアを訪れた購入者を本来の決済画面から別の外部サイトへと強制的にリダイレクトさせる目的で動作していたとのことです。

これを受け、Swym社は影響の拡大を防ぐための予防措置として、すべてのマーチャントにおいて「Swym Wishlist Plus」の機能を全般的に一時停止する対応を実施しました。現在、全ストアでウィッシュリスト機能が利用できない状態となっていますが、アプリ自体が停止されたことでストアフロント上で新たに悪質なスクリプトが読み込まれるリスクは遮断されています。

Swym社は現在、問題の範囲と原因を究明するための調査を進めており、安全が完全に確認されるまでは機能の再開を行わない方針を示しています。今後の進捗については24時間以内に追って報告するとしています。

なお、公式発表は公式サイトにも掲載されています。

Security Incident Update – Swym
https://www.getswym.com/resources/security-response

【続報】Swym Wishlist Plusサービスの復旧について（2026年10月21日）

開発元のSwym社より、一時停止していたアプリ機能の再開に向けた進捗報告（続報）が届きました。今回の公式発表によると、セキュリティ対策の強化が完了したため、一時停止していたアプリの各機能が順次オンラインへ復帰し始めているとのことです。

エンジニアチームによる復旧作業は段階的に行われており、ストア上でウィッシュリスト機能が順次再表示されるようになります。なお、作業完了までの展開期間中は、一時的に機能が不安定になったり短時間のアクセス断が発生したりする可能性がありますが、早期の正常化とシステムセキュリティの確保を最優先として対応が進められています。

全ストアフロントでの完全復旧が確認され次第あらためて通知が配信される予定であり、現時点でマーチャント側が実施すべき特別な操作や対応はありません。

英語の原文は下記の通りです。

Dear Merchant,
We are writing with an update on bringing the Swym Wishlist Plus application back online.”

Status & Restoration Progress
Restoration Underway: While the application was temporarily disabled to implement enhanced security measures, features and functionality are now starting to come back online in phases.
Phased Rollout: Our engineering team is actively working to restore full app functionality as quickly as possible. As we roll out these updates, you may begin to see Wishlist features returning to your store, though you may also experience brief, intermittent interruptions while the process completes.
Security Priority: We are moving as fast as we can to get everything back to normal, but ensuring complete system security remains our absolute priority throughout this rollout.
Next Steps: We are closely monitoring each stage and will notify you as soon as full service is completely restored across all storefronts. No action is required on your end at this time.

まとめ

Shopify本体のセキュリティは極めて高いですが、サードパーティアプリの脆弱性をついて攻撃してくるケースが散見されます。現状、「Swym Wishlist Plus」に関しては一時的に機能が全停止しているため、これ以上の被害は拡大しないようになっています。ただ、アプリ停止に伴い自社ストアの表示やレイアウトに崩れが生じている可能性があるのでチェックしましょう。

続報があればここに書いていきます。