Honte本手 — AI を使う攻撃者から、広告アカウントを守る

広告アカウント保護ベースライン v0.1に沿った点検

広告アカウントの備えを、約5分で点検する

30項目に答えると、100点満点の点数とレベル（1〜3）が出ます。分からない項目は「分からない」を選んでください（記憶で答えれば約5分、画面で確かめながらなら約15分）。

権限

A1MCC にアクセスできるユーザーの人数（数字で）

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの上部の「総ユーザー」。一覧は右上の「ダウンロード」で書き出せる

（分からなければ空欄）
A2そのうち「管理者」の人数（数字で）

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの上部の「管理者ユーザー」

（分からなければ空欄）
A3自社以外のドメインのメールアドレスのユーザーの人数（数字で）

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの一覧のメールアドレスの列

（分からなければ空欄）
A4無料のメール（gmail.com など）のユーザーの人数（数字で）

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの上部の「ビジネス用以外のメールアドレスを使用しているユーザー」

（分からなければ空欄）
A5複数の人で使い回しているログイン（共有アカウント）で MCC を操作しているか

確認する場所：社内の運用の確認

A6退職者・契約が終わった外注先のアカウントが残っていないかを、直近3か月以内に確認したか

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブ（一覧の「追加日」「招待者」の列）と社内の名簿の突き合わせ

A7見覚えのない「招待中」（承認待ち）のユーザーがいるか

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの上部の「ユーザー更新リクエスト」

A8外部の MCC とのつながりで、理由を説明できないものがあるか

確認する場所：Google 広告：MCC の「アクセスとセキュリティ」→「管理者」タブ（リンクのリクエスト、リンクしている MCC）と「関連する管理者」タブ

A9管理者の Google アカウントに、Google 広告などへのアクセス権を持つ外部のアプリや AI の道具（運用の自動化、レポート、AI エージェントなど）が残っていないかを、直近3か月以内に確認したか

確認する場所：各管理者の Google アカウントの「リンク済みアプリ」のページ（https://myaccount.google.com/linkedapps）で「Google アカウントへのアクセス権」を選び、アプリごとに「詳細を表示」で確かめる

認証

B1MCC のセキュリティ要件で、2段階認証を「この MCC アカウントおよび所有するすべてのアカウント」に必須にしているか

確認する場所：Google 広告：MCC の「アクセスとセキュリティ」→「セキュリティ」タブ→「認証」

B2「許可されたドメイン」を設定しているか

確認する場所：Google 広告：「セキュリティ」タブ→「許可されたドメイン」

B3管理者全員が、パスキーかセキュリティキーでログインしているか（全員／一部／いいえ）

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの上部の「パスキーが無効になっているユーザー」と、一覧の「パスキーのステータス」の列

B4運用に使う端末を限定し、ウイルス対策と OS の更新を行っているか

確認する場所：社内の運用の確認

B5パスキーが無効になっているユーザーの人数（数字で）

確認する場所：Google 広告：MCC の「管理者」→「アクセスとセキュリティ」→「ユーザー」タブの上部の「パスキーが無効になっているユーザー」

（分からなければ空欄）

監視

C1管理者の追加や権限の変更に、当日中に気づける仕組みがあるか

確認する場所：社内の運用の確認

C2夜間・休日の費用の急増に、数時間以内に気づける仕組みがあるか

確認する場所：社内の運用の確認

C3変更履歴を、週1回以上確認しているか（特に「ユーザー別」）

確認する場所：Google 広告：「キャンペーン」→「変更履歴」→「ユーザー別」

C4セキュリティ エージェントの「セキュリティ分析情報」を確認しているか

確認する場所：Google 広告：「アクセスとセキュリティ」→「セキュリティ」タブ→「セキュリティ分析情報」

C5Google 広告からの通知のメール（送信元 [email protected]）を、複数の管理者が受け取り、迷惑メールにならない設定で、すぐ気づける状態にしているか

確認する場所：各管理者の受信箱（Gmail なら、この送信元で検索して届いているかを見る）

予算

D1広告費の支払いの形（代理店の立て替え／広告主の直接払い／混在）

確認する場所：社内・契約の確認

D2アカウントの予算、またはクレジットカードの利用上限で、費用の上限を決めているか

確認する場所：Google 広告：「アカウント」→対象→「料金」→「アカウントの予算」（請求書払いのみ）／カード会社の設定

D3配下のアカウントの中で、最も大きい1日の予算（円・数字で）

確認する場所：Google 広告：各アカウントのキャンペーンの予算

（分からなければ空欄）

事故対応

E1乗っ取りが起きたときの初動の手順が、文書になっているか

確認する場所：社内の文書の確認

E2顧客への第一報を、発覚から何時間以内に出すかを決めているか

確認する場所：社内の運用の確認

E3Google への報告に必要な証拠（変更履歴の時刻、不正な MCC の ID、予算の増額や自動ルールの証拠）の集め方を、担当者が知っているか

確認する場所：社内の運用の確認

Meta

F1ビジネスポートフォリオで、二段階認証を「全員」に必須にしているか

確認する場所：Meta Business Suite の「設定」→「ビジネスポートフォリオ情報」→「二段階認証」

F2退職者・外注先の人を、定期的にビジネスポートフォリオから外しているか

確認する場所：Meta Business Suite の「設定」→「人」

F3広告アカウントの上限予算を設定しているか

確認する場所：広告マネージャの支払いの設定

契約・保険

G1不正な消化が起きた場合の費用の負担（返金までの立て替えを含む）を、顧客との契約で決めているか

確認する場所：顧客との契約書

G2乗っ取りによる顧客への賠償を補償する保険に加入し、補償の範囲を書面で確認しているか

確認する場所：保険の約款・保険代理店