Shopify 顾客账户被撞库怎么防护

现象#

客服一周内接到十几起「账号不是我登录的」投诉，后台出现陌生地址的订单，客户账户页的地址簿被改过。

原因#

• 客户在其它网站泄露的邮箱密码被批量尝试登录
• 客户账户登录没有失败次数限制与验证码
• 密码策略过弱，允许纯数字或与邮箱相同
• 同一 IP 短时间内尝试大量不同账号

处理步骤#

1. 在「设置 → 客户账户」启用邮箱验证码（免密码登录），从根上消除密码撞库
2. 对连续失败登录做限流：同 IP 5 次失败后要求验证码或冷却 15 分钟
3. 对被命中账号强制下线并发送重置邮件，附上异常登录时间与地点
4. 排查撞库时段的订单，对高风险订单拦截或电话核实
5. 在账户页显示最近登录记录，让客户自己能发现异常

验收标准#

撞库尝试的成功率降到接近 0，异常订单清零，客户投诉在两周内回落，登录失败有可查日志。