店主账号被钓鱼登录后要先做哪几步止损

现象#

点开一封伪装成 Shopify 账单逾期的邮件并输入密码和验证码后，后台密码被改，Settings > Users 里多出一个陌生管理员，Payments 的结算银行尾号也变了。

原因#

• 攻击者先拿下登录邮箱，再用密码重置接管 Shopify ID，2FA 是在新设备上重新绑定的
• 店主是店铺最高权限，员工无法停用，只能由本人或 Shopify 支持验证身份后恢复
• custom app 的 shpat_ 令牌不随登录密码修改而失效，攻击者仍可调用 Admin API
• 支付与域名是分开的设置项，只改登录密码不会回滚已经改掉的收款账户

处理步骤#

1. 先用还能登录的设备改登录邮箱密码，再到 accounts.shopify.com 改 Shopify 密码并移除陌生 2FA 设备
2. 在 Settings > Users 停用陌生账号，逐个核对现有账号的角色与最近登录
3. 到 Settings > Payments 核对结算银行与 Shopify Payments 状态，发现改动立即联系支持冻结
4. 在 Settings > Apps 卸载不认识的 app，并重装所有 custom app 换掉 shpat_ 令牌
5. 翻活动日志与订单时间线，记录攻击者创建的草稿订单、折扣码和发货记录，逐条回滚

验收标准#

能正常登录且 2FA 绑定在自己设备上，Users 列表只剩已知账号，Payments 银行尾号与原记录一致，连续 24 小时活动日志无新改动。