本手 — 代理店の広告アカウントの乗っ取りへの備え報告書の見本
これは見本です。回答は架空（サンプル広告代理店）で、本番と同じ処理（決まった文面と計算）に通して作りました。実際の報告書は PDF でお届けします。AI は使っていません（本番の総評と「先に直す理由」は、AI が結果の数と項目の番号だけをもとに作り、Honte が確かめます）。
この見本で分かること：自己申告の点検であることを、冒頭と前提に書いています。弱点は配点の大きい順に並び、直し方と、回答どうしの食い違いの指摘が付きます。取引先から聞かれる設問への回答の下書きは、そのまま使えるのではなく、【 】を埋めて事実と照らしてお使いください。
保護診断レポート
広告アカウントの乗っ取りへの備え
| 項目 | 内容 |
|---|---|
| 会社名 | サンプル広告代理店（架空） |
| 点検した日 | 2026-10-26 |
| 申込番号 | H-0000 |
| 準拠 | 広告アカウント保護ベースライン v0.2（案） |
| 発行 | Honte（本手） 封じ手 保護診断 |
この報告書は、ご入力いただいた内容（自己申告）に基づくものです。媒体のデータを自動で読んで確かめたものではありません。
1. 総合の点数とレベル
| 総合の点数 | レベル | 満たしている項目 | 「分からない」の回答 |
|---|---|---|---|
| 63 / 100 点 | レベル1未満 | 26項目中14項目 | 2 件 |
レベルの基準（案（聞き取りの結果で見直します））
- レベル1（布石）：乗っ取りに気づき、最初の手を打てる最低限の備え（2段階認証の必須化、通知のメールの受け取りの体制、退職者の見直し、初動の手順）
- レベル2（定石）：レベル1に加えて、総合の点数が70点以上
- レベル3（盤石）：レベル2に加えて、管理者全員がパスキー、管理者の追加に当日中に気づける仕組みがあり、総合の点数が85点以上
2. 区分ごとの点数
| 区分 | 点数 | 満点 |
|---|---|---|
| 権限 | 19 | 32 |
| 認証 | 20 | 24 |
| 監視 | 8 | 19 |
| 予算 | 3 | 6 |
| 事故対応 | 7 | 9 |
| Meta | 6 | 8 |
| 契約・保険 | 0 | 2 |
3. 弱点と直す順番
配点の大きい順に並べています。上から順に直すのが効果的です。
| 順 | 番号 | 確認したこと | 直し方 | 配点 |
|---|---|---|---|---|
| 1 | B3 | 管理者全員が、パスキーかセキュリティキーでログインしているか | SMS や認証アプリより、偽のログイン画面に強いパスキーかセキュリティキーに切り替える。乗っ取りの後は、見覚えのないパスキーが登録されていないかも確認する | 8 |
| 2 | A5 | MCC は、一人一つのログインで操作しているか（複数の人で使い回すアカウントが無い） | 共有アカウントは、誰が操作したかが残らず、パスキーも使いにくく、退職者がパスワードを知ったままになる。1人1アカウントに切り替える | 6 |
| 3 | C2 | 夜間・休日の費用の急増に、数時間以内に気づける仕組みがあるか | 国内の事件は連休前夜・年末の夜・日曜の午後に起きている。時間ごとの費用の急増を自動で知らせる仕組みを入れる | 6 |
| 4 | D2 | 顧客の広告アカウントで、費用の上限（アカウントの予算、またはカードの利用上限）を決めているか | 請求書払いなら「アカウントの予算」、カード払いならカードの利用上限で、1件の事故の損失に上限をかける | 6 |
| 5 | A3 | 取引先・外注先など、自社以外の会社のメールアドレスで MCC にアクセスしているユーザーの人数（数字で） | 取引先・外注先のアドレスは、必要な期間だけ・最小の権限で付与し、終わったら外す。「許可されたドメイン」の設定（B2）で新たな招待を防ぐ | 4 |
| 6 | C5 | Google 広告からの通知のメール（送信元 [email protected]）について、次の3つを満たしているか：複数の管理者が受け取る、迷惑メールに入らない、すぐ気づける | 管理者の招待・追加・取り消し、外部の MCC とのリンクの依頼・成立・解除は、このメールで通知される（筆者の検証）。迷惑メールに振り分けない設定にし、1人に頼らず複数で受け取る。取り消された管理者には以後届かないことがある | 4 |
| 7 | A9 | 外部のアプリや AI の道具に渡した、Google アカウントへのアクセスの許可を、直近3か月以内に見直したか | 使っていないアプリ、心当たりのないアプリ、AI の道具のアクセス権を「アクセス権を削除」で外す。外部のツールや AI エージェントに Google 広告の権限を渡すと、そのツールが破られたり、偽の AI サービスに許可を与えたりしたときの入口になる（パスワードではなく許可を奪う手口）。新しく許可するときは、提供元と必要な範囲を確かめ、担当者と時期を記録する | 3 |
| 8 | E2 | 顧客への第一報を、発覚から何時間以内に出すかを決めているか | 第一報の目安の時間と、連絡の文例を決めておく | 2 |
| 9 | F2 | 退職者・外注先の人を、定期的にビジネスポートフォリオから外しているか | 毎月1回、人と権限の一覧を社内の名簿と突き合わせる | 2 |
| 10 | C4 | セキュリティ エージェントの「セキュリティ分析情報」を確認しているか | 普段と違うログイン、不審なドメイン、使われていないアカウントの指摘を月1回確認する | 1 |
| 11 | G1 | 不正な消化が起きた場合の費用の負担（返金までの立て替えを含む）を、顧客との契約で決めているか | 返金まで数週間〜数か月かかる。立て替えの負担を契約で決めておく | 1 |
| 12 | G2 | 乗っ取りによる顧客への賠償を補償する保険に入っているか | 一部のサイバー保険には、広告宣伝の活動を対象外にする条項がある。業務過誤保険を含め、補償されるかを書面で確認する | 1 |
回答について確かめていただきたい点
- 2段階認証を必須にしているが、共有アカウントを使っている。共有アカウントでの2段階認証の運用を確かめる
- 当日中に気づける仕組みがあると回答しているが、通知のメールを複数で受け取っていない。仕組みの中身を確かめる
4. 貴社用の、最初の1時間の手順
ご回答の内容（支払いの形、管理者の数、通知の受け取りの体制、Meta の利用）に合わせた手順です。印刷して、担当者の手元に置いてください。
1. 【先に整える】Google 広告からの通知のメール（送信元 [email protected]）を、複数の管理者が受け取り、迷惑メールに振り分けない設定にする。乗っ取りの最初の兆候は、このメールで届きます
2. 心当たりのない通知（ユーザーの招待・管理者の追加・外部の MCC からのリンクの依頼）が届いたら、5分以内に「管理者」→「アクセスとセキュリティ」で、招待の取り消し・ユーザーの削除・リンクの拒否を行う
3. 不審なキャンペーンを一時停止し、自動ルールとスクリプトも止める（止めても自動で再開した事例があります）
4. 貴社が立て替えている支払いのカードを、カード会社に連絡して一時停止する（立て替えの損失を止めることを優先します）
5. 各管理者の Google アカウントで、見覚えのないパスキーと、ログインしている端末を確かめて外し、パスワードを変える
6. Google の「不正使用されたアカウントの報告」を送る前に、変更履歴の時刻・不正な MCC の ID・予算の増額の証拠をそろえる（送信後は変更できません）
7. Meta が関係する場合は、Business Suite のサポートから報告する
8. 影響を受けた可能性のある顧客に、発覚から数時間以内に第一報を送る
5. 取引先から聞かれる15の設問への回答の下書き
【 】の部分を埋め、事実と違う部分は直してからお使いください。
| No | 設問 | 回答の下書き |
|---|---|---|
| 1 | アクセスできる人の一覧を、定期的に見直しているか | はい。直近3か月以内に、アクセスできるユーザーを社内の名簿と突き合わせて確認しています（頻度：【毎月】）。 |
| 2 | 退職者・外注先・終わった案件の関係者のアクセスを、いつまでに外すか | 退職・契約の終了から【 】営業日以内に外します。毎月の見直しで残りがないことを確認しています。 |
| 3 | 組織の外のメールアドレスや共有アカウントでのアクセスを制限しているか | はい。Google 広告の「許可されたドメイン」で、自社のドメイン以外への招待を制限しています。無料のメールのアドレスのユーザーはいません。共有アカウントを使用しています。【時期】までに個人のアカウントに切り替えます。 |
| 4 | アクセスする全員に2段階認証を必須にしているか | はい。MCC のセキュリティ要件で、MCC と所有するすべてのアカウントに2段階認証を必須にしています。 |
| 5 | 2段階認証の方式 | 管理者の一部がパスキーまたはセキュリティキーを使っています。残りは【方式】で、【時期】までに切り替えます。 |
| 6 | ユーザーの追加や権限の変更に、2人目の承認を求めているか | はい。管理者が4名以上の構成のため、Google 広告の「複数の関係者による承認」が適用され、ユーザーの追加・削除・権限の変更には別の管理者の承認が必要です。 |
| 7 | 管理者の追加、権限の取り消し、MCC のつながりの変化を、どのくらいの速さで検知できるか | 【 】以内に検知し、担当者に通知される仕組みがあります。 |
| 8 | 夜間・休日の費用の急増に、誰がどのくらいで気づくか | 現在、夜間・休日に自動で気づく仕組みはありません。【時期】までに導入します。 |
| 9 | 変更の履歴と権限の一覧を、どのくらいの期間保存しているか | Google 広告の変更履歴（管理画面で過去2年分を確認可能）を、週1回以上確認しています。権限の一覧は【 】の期間、記録しています。 |
| 10 | 乗っ取りの初動の手順は文書になっているか | はい。通知ごとの最初の操作、停止の範囲、不正なユーザーの削除、支払いの停止、連絡の順番を手順書にしています。 |
| 11 | 発覚から何時間以内に第一報を出すか | 第一報の目安の時間は、【時期】までに定めます。 |
| 12 | 媒体への報告と払い戻しの申請は、誰が行うか | 弊社の【担当】が、必要な証拠をそろえて媒体に報告し、払い戻しの申請を行います。 |
| 13 | 支払いは誰の支払い方法か、予算の上限はあるか | 支払いの形：【代理店の立て替え】。費用の上限は、現在設定していません。【時期】までに設定します。 |
| 14 | 不正な消化の費用は、返金までの間、誰が負担するか | 現在、契約では定めていません。【時期】までに取り決めます。 |
| 15 | 乗っ取りによる損害を補償する保険に加入しているか | 現在、乗っ取りによる賠償を補償する保険には加入していません（または補償の範囲を確認中です）。 |
6. 保険や取引先への、対策の説明の下書き
当社では、広告アカウントの不正なアクセスへの対策として、次のことを行っています（2026-10-26 時点、自社の点検に基づく）。
- MCC のセキュリティ要件で、MCC と配下のすべてのアカウントに2段階認証を必須にしている
- 「許可されたドメイン」を設定し、自社のドメイン以外のアドレスを招待できないようにしている
- 退職者・外注先のアカウントを、3か月以内に社内の名簿と突き合わせて見直している
- 管理者の追加や権限の変更に、当日中に気づける仕組みがある
- 乗っ取りが起きたときの初動の手順を文書にしている
今後、次の対策を【時期】までに行います。
- 管理者全員が、偽のログイン画面に強いパスキーまたはセキュリティキーでログインしている
- 管理者の Google アカウントに許可した外部のアプリや AI の道具のアクセス権を、3か月以内に見直している
- 夜間・休日の費用の急増に、数時間以内に気づける仕組みがある
- Google 広告からの通知のメールを、複数の管理者が受け取る体制にしている
- アカウントの予算またはカードの利用上限で、1件の事故の損失に上限をかけている
7. 総評
入力の内容に基づく総合の点数は 63 点で、レベル1未満です。まず B3、A5、C2 の順に対応すると、乗っ取りに気づく速さと被害の上限が大きく改善します。「分からない」と回答した項目が 2 件あります。確かめたうえで、弱点の一覧を見直してください。
8. 前提と限界
- この報告書は、ご入力いただいた内容（自己申告）に基づきます。
- 乗っ取りを防ぐこと、被害の返金を保証するものではありません。
- 画面の名前や場所は 2026年10月時点のものです。媒体の変更で変わることがあります。
- 総評は、診断の結果から決まった文面で作っています。
同業の方に、無料の点検（約5分）をお勧めください：https://honte.jp/check/?from=report