本手 — 代理店の広告アカウントの乗っ取りへの備え顧客の広告アカウントを預かる代理店のために
代理店の MCC の乗っ取りを、兆候から初動まで。
2段階認証やパスキーを設定していても、MCC に入られた事例があります。Honte は、気づくための通知と、気づいた後の最初の一手を整えます。
乗っ取りを防ぐと約束するものではありません。穴を減らし、早く気づき、記録を残すための備えです。
① いま被害に遭っている最初の5分にやること心当たりのない通知や、管理者の変更に気づいたとき。
② 備えを点検したい無料で点検する（約5分）26の質問に答えると、点数とレベルがその場で出ます。登録は要りません。
③ 導入を検討しているいま何が使えるかを見る提供の状況と、押すと何が完了するかを一覧にしています。
2026年10月と11月に、検証用の Google 広告アカウントで通知を確認（2回） ／ 白書の出典 48件 ／ 運営：Honte（本手）
提供の状況
| 機能 | 状態 | 押すと完了すること | 料金 |
|---|---|---|---|
| 無料の点検 | 今すぐ使える | その場で結果が出ます。登録は要りません 無料で点検する → | 無料 |
| 保護診断（報告書） | 先行の受付中 | 先行案内のフォームを送ると、提供の条件がメールで届きます 保護診断の先行案内 →（受付の準備中） | 3・5・10万円（税別） 見るアカウントの数で決まります |
| 代理店向けの見張り（通知） | 先行の受付中 | 登録のフォームを送ると、入手の案内が届きます Free に登録 →（受付の準備中） | 無料 |
| 代理店向けの見張りと月次の記録 | まだ無い | 先行案内のフォームを送ると、準備ができたときに条件が届きます Pro の先行案内 →（受付の準備中） | 予定（アカウントの数で月額） |
攻撃者の手口は、大きく三つ
本物そっくりの招待と見込み客
Google の招待メールを装ったフィッシングや、大企業を名乗る偽の問い合わせで、代理店の担当者に承認やログインをさせます。
偽の AI 広告運用サービス
ChatGPT・Gemini・Claude などの名をかたる偽のサービスの「接続」のボタンから、偽のログインの窓を出して認証情報を集めます（Island、2026年10月）。
自社の AI の道具に渡した権限
運用に入れた AI の道具は、広告アカウントを操作する権限を持ちます。その権限が悪用されると、2段階認証を通らずに操作されます。
注意報
2026.10.25
2026.10.25
自社の AI の道具を入口にした MCC の乗っ取りが報告されています
2026年2〜3月、代理店が AI の道具を導入した後に MCC が乗っ取られ、8桁後半の被害が出たと報告されました。原因は特定されていません。
報告された事案と、見直す5つのこと → 注意報の一覧（RSS あり）→なぜ、被害の前に気づけるのか
| Google から届く通知 | 起きていること | 重さ |
|---|---|---|
| 新しい（管理者権限）ユーザーが追加されました | 攻撃者が管理者になった | 最重要 |
| 管理者ユーザーが削除されました／権限が取り消されました | 正規の管理者が締め出された | 最重要 |
| 新規ユーザーが招待されました | 入口が作られようとしている | 重要 |
| リンク リクエストが保留中です | 外部の MCC がつながろうとしている | 重要 |
| …にリンクされました／リンクが解除されました（届かないことがあります） | 顧客のアカウントが付け替えられた | 重要 |
1分
国内の事件では、管理者の追加から正規の管理者の取り消しまで、1分でした。
30分
最初の通知から不正なキャンペーンの作成までには、30分以上ありました。この間に気づけば、止められる可能性があります。
2026年10月5日の事件を、時間で見る
Google の標準機能と、Honte が補うこと
| 論点 | Google の標準機能 | Honte が補うこと |
|---|---|---|
| 変更の通知 | 管理者の追加・削除、招待、リンクの依頼などに、通知のメールが届く（Honte の検証） | 複数の顧客のアカウントを預かる運用で、夜間や休日も見落とさず、「次の一手」つきで知らせる |
| 複数の関係者による承認 | 管理者が3人を超えるアカウントに適用される | 管理者が少ない小さな MCC は対象外になる。点検で、その穴を見つける |
| 変更の履歴 | Google Ads API で取れる変更イベントは、過去30日分 | 毎日取り貯めて、取引先に出せる記録にする（封じ手 Pro、予定） |
| セキュリティ エージェント | アカウントの通常の動作を学習し、異常なユーザーやログインを検出して、「セキュリティ分析情報」に提案を出す（Google 広告ヘルプ） | 見ているか、出た提案に動けているかを、点検の質問で確かめる |
| 2段階認証、許可されたドメイン | 標準の設定で整えられる | 設定されているかを、点検で確かめる。Meta も含めて横断して見る |
備えは、三つの手順で
- 無料の点検
点検する：穴を知る
外部のアプリや AI の道具に渡した権限を含め、26の質問で今の備えを点検します。無料の点検で点数とレベルが分かり、弱点と直す順番、取引先への説明は保護診断でお届けします。
- 封じ手 Free
見張る：入られたら、すぐ知る
Google 広告からの通知のメールを1分ごとに見張り、乗っ取りの兆候を「今すぐやること」つきで知らせます。
- 封じ手 Pro
残す：説明できる記録を
通知、変更の履歴、費用の急増を見張り、毎月、取引先や保険会社への説明に使える記録を残します（準備中）。
運営と、扱うデータ
- 運営：Honte（本手）。運営者の氏名・住所・電話は、請求があれば遅滞なくお知らせします
- 対応の時間：問い合わせは平日の日中に確認します。夜間や休日の有人の対応はしません。通知は自動で届きますが、対応は代理店ご自身が行います
- Honte が受け取るもの：申し込みの連絡先、保護診断の点検表の回答、報告の窓口の内容。道具が読む情報は、御社の Google の中にだけ残ります。広告アカウントのパスワードや許可は、どの場面でも受け取りません
- 保証しないこと：すべての兆候を漏れなく、遅れなく知らせることは保証しません。媒体の通知や上限で止まることがあります
- 自分で確かめたことを書く：通知のメールの検証は、検証用の Google 広告のアカウントで実際に操作して確かめたもの（2026年10月）。白書は出典つきで、推測は推測と書き分けています
よくある質問
広告アカウントの乗っ取りとは何ですか
Google 広告の MCC（クライアント センター）や Meta のビジネスアカウントに第三者が入り込み、攻撃者を管理者に加え、正規の管理者を外したうえで、配下の顧客のアカウントで不正な広告を配信することです。国内では1件で数百万〜数千万円の被害が公表されています。
攻撃者は AI をどう使っていますか
AI で、本物そっくりの招待メールや見込み客を装った問い合わせ、偽のログイン画面を作ります。ChatGPT・Gemini・Claude などの名をかたる偽の AI 広告運用サービスを作り、代理店の Google や Meta の認証情報を奪う手口も報告されています（Island、2026年10月）。
自社の AI の道具が狙われるとは、どういうことですか
広告の運用に入れた AI の道具は、広告アカウントを操作する権限を持ちます。その道具が騙されたり、権限が漏れたりすると、攻撃者は2段階認証を通らずに、正規の操作として広告アカウントを動かせてしまいます。2026年2〜3月には、代理店が AI の道具を導入した後に MCC が乗っ取られたという事案が報告されました（原因は特定されていません）。
2段階認証やパスキーを設定していれば安全ですか
必要ですが、それだけでは足りません。ログイン後の情報（セッション Cookie）を盗む手口や、外部のアプリに渡した許可を悪用する手口は、2段階認証を通り抜けます。管理者の追加などの通知に、すぐ気づける体制もあわせて整えます。
乗っ取りに早く気づく方法はありますか
Google 広告では、管理者の招待・追加、正規の管理者の取り消し、外部の MCC とのリンクの依頼と成立のときに、管理者に通知のメールが届くことを、検証用のアカウントで確かめました。このメールを複数の人が受け取り、すぐ気づける状態にするのが第一歩です。
料金はいくらですか
無料の点検と封じ手 Free は無料です。封じ手 保護診断（1回）は、見るアカウントの数で3万・5万・10万円（税別）で、最初の10社は半額です。封じ手 Pro（月額）の料金は準備中で、先行案内に登録いただいた方に先にお知らせします。
何を預けることになりますか
Honte が受け取るのは、申し込みの連絡先（お名前、会社名、メールアドレス）、保護診断の点検表の数と回答、報告の窓口の内容です。封じ手 Free が読むメールなどの情報は、お客さまの Google アカウントの中にだけ残り、Honte には送られません。広告アカウントのパスワードや許可は、どの場面でも受け取りません。
封じ手 Free と Pro は、何が違いますか
Free は、乗っ取りの最初の兆候（管理者の招待・追加、正規の管理者の取り消し）を、Google の通知のメールで知らせます。Pro（提供の準備中）は、後半（不正なキャンペーンの作成と費用の急増）まで見張り、警告と同時に連絡の下書きを用意し、取引先への説明に使える記録を残す予定です。検証や自社だけの運用には Free、取引先の広告アカウントを預かる業務には Pro が向きます。
Honte の運営が止まったら、どうなりますか
封じ手 Free は、お客さまの Google アカウントの中で動くため、動き続ける見込みです（版の更新のお知らせは止まります。実機での確認は準備中です）。提供していない有償のサービスの分は返金します。保管している情報は、ご請求があれば消去します。
Meta や LINEヤフー広告にも対応していますか
白書は Google 広告・Meta・LINEヤフー広告を扱います。無料の点検は Google 広告と Meta を扱います。見張り（封じ手）は Google 広告から始めます。
社内の対策と、封じ手は何が違いますか
設定の多くは、媒体の標準の機能で整えられます（白書の5章）。封じ手が引き受けるのは、その先です。夜も休日も全顧客のアカウントを見続けること、気づいた瞬間に次の一手を示すこと、取引先や保険会社に示せる記録を残すことです。