【2026】楽天・Amazon出店者のセキュリティ対策｜紙1枚から始める77項目

📌 この記事でわかること

• 1人で回す楽天・Amazon出店者ほど、1つの事故で店が止まります。セキュリティ対策は、守る順番を決めて紙1枚から始めれば怖くありません

• 最初の1歩は、30分で「緊急連絡先と復旧情報」を紙1枚に書くこと

• 楽天・Amazon・Yahoo!の2段階認証から、メール、PC、バックアップまでの58の対策を並べました。77項目の印刷用チェックリスト（□を付ける形）にもまとめました

• 生成AI時代の守りも入れました。APIキーの置き場所、AIに貼らないもの、AIエージェントを止める仕組み（hooks）、AIでの自己点検まで扱います

• いま乗っ取りが疑われる方は、第9部（事故が起きたら）へ

※ 店名・人物・ロゴはすべて架空のものです

※ この記事で名前を出す製品・サービスは選択肢の一例です。各社から報酬や商品提供は受けておらず、アフィリエイトリンクも使っていません。

※ 2026年10月時点の情報です。モールや各サービスの仕様は変わるため、設定前に公式ヘルプを確認してください。

はじめに｜1人で回す店ほど、1つの事故で止まる

1人で回す店では、1つのアカウントの乗っ取りや1台のPCの故障が、そのまま営業停止につながります。

こんにちは。白い陶器のマグカップや木のカトラリーを扱うネットショップ「ミント雑貨店」の店長、あいです。

モールの管理画面、受注メール、会計、広告、在庫連携。それが1台のPCと1台のスマホに集まっていませんか。レジも金庫も鍵も、全部ひとりの手元にある店と同じです。

だから私は、こう考えています。守る順番を決めて、紙1枚から始めれば、セキュリティ対策は怖くありません。

警察庁などのまとめでは、数字はこうなっています。

• 2025年のランサムウェア（データを人質にしてお金を要求するウイルス）の被害は226件。うち143件、約6割が中小企業

• 2026年の上半期は123件で、半期としては統計開始以来の最多

• 2025年の不正アクセスの検挙では、手口の最多が「パスワードの設定・管理の甘さ」で21.1%。元従業員や知人などによる犯行も15.3%

国家サイバー統括室（旧NISC）のハンドブックも、管理者が1人だけの状態に注意を促しています。さらに今は、生成AIとAPI（ソフト同士をつなぐ窓口）を使う店が増えました。

IPA（情報処理推進機構）が毎年まとめる「情報セキュリティ10大脅威 2026」。その組織編の3位に、「AIの利用をめぐるサイバーリスク」が初めて入りました。APIキー（その窓口の合い鍵）の置き場所も、守る範囲です。

この記事は、AIに貼らない約束、AIエージェントを止める仕組み（hooks）、AIでの自己点検まで扱います。

EC事業者のセキュリティ対策とは

EC事業者のセキュリティ対策とは、モールの仕組みに任せきりにせず、出店者自身が守る取り組みです。守る対象は、メール・認証・端末・秘密情報・バックアップ・連絡手段です。事故が起きても店を止めずに復旧できる状態をつくります。

モールの仕組みは店の入口を守ってくれます。でも出店者側のメールやパスワード、PCが破られると、正しい鍵を持つ人として中へ入られます。目指すのは、破られにくく、破られたら気づき、早く戻せる店です。生成AIやAPIを使う店では、APIキーとAIに渡す情報も守る対象です。

全体地図｜守る順番は「連絡→メール・認証→端末→バックアップ→秘密情報→ネットワーク→顧客情報→事故対応」

守る順番は、まず緊急時の連絡先と復旧情報、次にメールと認証です。そのあとに端末、バックアップ、秘密情報、ネットワーク、顧客情報、事故対応と進めると、整理しやすくなります。

この順番どおりに、10の部に分けました。各対策はなぜ→やることが基本で、必要ならつまずきを足します。対策の番号は1〜58、チェックリストの番号は1〜77で、別の番号です。参照用に固定した番号なので、対策の並びが前後する所があります。

初めての人は第1部から、API・AIを使う人は第6部から、事故のときは第9部から読めます。フィッシングは第4部、AI点検は第10部で扱います。

AIに頼むときの4つの約束

記事中の「AIに頼むなら」は、この4つが前提です。

約束1：秘密を入れない。 APIキー・パスワード・トークンは貼りません。

約束2：顧客の個人情報は入れない。

約束3：状況は項目で渡す。 端末・OS・対策ソフト・サービス名・時系列・判断の理由の順です。

約束4：点検は「自分の管理する環境」を「読み取り」で。 他人のサービスを調べる頼み方はしません（第10部）。

まず30分と最低限｜77項目を全部やる前に

全部をやる前に、今日の30分で紙1枚を書きます。そのあと、次の10項目を今週と今月に分けて進めれば、店が止まる危険を減らす土台ができます。

今日の30分：紙1枚に書くもの

A4の紙とペンで、3つだけ書きます。

① 復旧に要るもの。 パスワード管理ソフトに入る情報、バックアップコード、PCの回復キー、Googleの復旧情報、バックアップの保存場所。「何が、どこにあって、どう戻すか」を書きます。まだ使っていない物は空欄のままで、第2部と第3部を読みながら埋めていけば十分です。

② 緊急連絡先。 自分と家族の携帯、モールのコールセンター、銀行・決済・カード会社、ドメイン・サーバー・回線の会社、外注先。まず見出しだけで構いません。

③ 保管のルール。 鍵付きの引き出しか金庫。貼らない、持ち歩かない。

最低限これだけ（優先度順）

最優先の10項目です。目安は、1〜4を今週、5〜10を今月。APIやAIを使っていない人は5を、外注先がいない人は10の外注を飛ばして構いません。

1. 紙のバックアップ（パスワード・復旧情報、緊急連絡先）。鍵のかかる場所にしまい、貼らず、持ち歩かない

2. 登録専用メールアドレスを分ける

3. 2段階認証を設定し、認証アプリやパスキー（指紋や顔で入る鍵）も使う

4. パスワード管理ソフト（例：1Password）で一元管理する

5. APIキー・トークン・秘密鍵も同じ「正本」（大元になる保管場所）で管理する。「.env」「.ini」・環境変数に置きっぱなしにしない。ソースコードやGitHubにも入れない

6. 業務用のPCとスマホを分け、PCを暗号化し、管理者権限を分ける

7. ウイルス対策を入れ、業務用ブラウザを分ける

8. ログイン履歴と振込先を確認する

9. バックアップを取り、戻せるか確かめる

10. 外注先の権限とドメインの管理を見直す

次の段階（ネットワークと店のまわり）は、ルーターの更新確認と管理者パスワードの見直しです。ホワイトリスト（許可したものだけ通す方式）での運用と、自社ECのWAF（サイトの防御壁）の更新も入ります。

最後の段階（点検と事故対応）は、AI支援ツールでの点検、緊急時の対応の決定、定期的な棚卸しです。

第1部｜紙1枚の備え：緊急連絡先・復旧情報をスマホの外に置く

スマホやクラウドが使えなくなる日に備えて、連絡先と復旧情報を紙にも残し、鍵のかかる場所にしまうのが第1部です。

紙の控えは、停電の夜の懐中電灯です。ふだん使わなくても、真っ暗な日に頼れます。

【重要】パスワード・復旧情報・緊急連絡先は紙でもバックアップする

なぜ：管理ソフト、スマホ、クラウドだけに全部を預けると、1つが止まった瞬間に身動きが取れません。連絡先まで同じ場所なら、助けも呼べません。

やること：特に重要な情報だけ、紙にも書きます。

• パスワード系：管理ソフトに入る情報／管理ソフトが使えない日の最小限のパスワード

• 復旧コード系：2段階認証のバックアップコード／BitLockerなどの回復キー／Googleの復旧情報

• 店の情報：楽天・Amazon・Yahoo!の登録情報／ドメイン管理の情報

• 機器と保管：NAS（データ置き場）・ルーターの管理情報／バックアップの保存場所／復旧の手順

• 連絡先：自分・家族・従業者の携帯／モール／銀行・決済／ドメイン・サーバー・回線／外注先（書き方は対策53）

つまずき：全部を写すと紙が「宝の地図」になります。優先するのは「復旧に要るもの」。1Passwordは公式に、復旧用書類 Emergency Kit の印刷と保管を勧めています。

対策53　緊急連絡先を紙でも保管する

なぜ：連絡先がスマホの中にしかなければ、スマホをなくした日に誰にも電話できません。

やること：紙1枚に4区分で書きます。

• 本人・関係者：自分の携帯／家族／従業者／業務協力者

• ECモール：各モールの担当者（氏名・部署・電話・メール）／コールセンター／緊急の窓口

• 金融：銀行／ネット銀行／カード会社／決済代行会社

• IT：Google・Google Workspace／ドメイン管理会社／サーバー／回線／システム保守／外注先

つまずき：担当者がいないモールは、コールセンターと問い合わせ入口の場所を書きます。半年ごとに見直します（対策58）。

対策54　パスワード・復旧情報を紙でも保管する

なぜ：管理ソフトも認証アプリも、入れなくなる日があります。戻る道筋が紙にあれば助かります。

やること：【重要】の「パスワード系」「復旧コード系」「店の情報」「機器と保管」を、紙に書きます。1Passwordでは、アカウントパスワードをSecret Key（1Password独自の秘密の鍵）とセットで残します。

Googleのバックアップコードは10個で1セット。印刷して重要書類と同じ安全な場所に置けます。

つまずき：古いセットは、新しいセットを作った時点で使えなくなります。紙も入れ替えます。

紙の保管場所と「机に貼らない」ルール

パスワードを紙に書くこと自体は、国の資料でも条件付きで認められています。 国が勧めている、という意味ではありません。条件は2つです。

• 机やモニターに貼るなど、人目に触れる場所に置かない

• 鍵のかかる引き出しや金庫にしまい、なくしたときの備えをする

総務省は、やむを得ずメモするなら鍵のかかる机や金庫に、としています。

国家サイバー統括室のハンドブックは、紙のノートも、紛失・盗難に備えれば安全性は高いとしています。持ち歩かず、自宅などに置く、という条件です。私も紙の控えは、鍵付きの引き出しに入れています。

AIに頼むなら：「ネットショップの緊急連絡シートの見出しを作って。連絡先の中身は自分で書くので、項目名だけ」。

第2部｜メールと2段階認証：楽天・Amazonの乗っ取りを防ぐ

メールを最重要アカウントとして守り、2段階認証を認証アプリやパスキーで固めることが、モールの乗っ取りを防ぐ近道です。

メールを乗っ取られると、玄関の鍵が頑丈でも破られます。パスワード再設定の連絡はメールに届き、メールは家の「合鍵の再発行窓口」にあたるからです。

対策1　登録専用メールアドレスを分ける

なぜ：ふだん使いのメールは、SNSや懸賞で広まりやすいものです。そのアドレスでモールに登録すると、偽メールの宛先として狙われます。

やること：個人用／お客様問い合わせ用／受注用／モール・サービス登録専用の4つに分けます。

登録専用は、ホームページ・SNS・問い合わせ窓口に公開しません。SNSや懸賞、不要な会員登録にも使いません。

つまずき：登録済みのアカウントは、管理画面で1つずつ切り替え、確認メールが届くかも見ます。

対策2　業務メールを安全に管理する

なぜ：メールが乗っ取られると、楽天・Amazonなどのパスワード再設定まで突破されるおそれがあるからです。

やること：業務メールの管理は、次のどちらかにします。

• Gmailへ転送して、一元管理する

• Google Workspace（Googleの法人向けサービス）へ移行し、独自ドメインのメールにする

どちらでもGoogleアカウントに2段階認証を設定します。

つまずき：転送先のGmailが新しい弱点になります。転送先にこそ強い守りを付けます。

対策3　2段階認証・多要素認証を設定する

なぜ：パスワードが漏れても、2つ目の確認がログインを止めます。

国家サイバー統括室のハンドブックは、SMSのコードが破られた例を挙げています。海外では、SIMハイジャック（電話番号の乗っ取り）という手口です。選べるなら、認証アプリ・セキュリティキー・生体認証を勧めています。

やること：モールごとに仕組みが違います（2026年10月時点）。

• 楽天：楽天市場の店舗管理画面 RMS の前に、R-Loginがあります。「お店の鍵」と各スタッフの「個人の鍵」の二重ログインです。

• 楽天ビジネスログインは、Viberに届く認証コードで2段階認証をします。認証アプリやSMSは、公式手順に出てきません。

• 楽天のスタッフや外注先は、自分の楽天IDで個別登録します。IDは使い回しません。

• Amazon：セラーセントラル（Seller Central）は、2段階認証が必要です。方法は、SMS・音声通話・認証アプリから選べます。

• Amazonのパスキーも案内されています。必須ではないので、自分の画面で確認を。

• Yahoo!ショッピング：ストアクリエイターProには、ビジネスIDと連携したYahoo! JAPAN IDで入ります。2027年春頃までに、パスワードのみのログインを終える予定です。パスキーへ移ります（時期は変わることがあります）。

認証アプリは Google 認証システム（Google Authenticator）などが選択肢です。バックアップコード・復旧方法・代わりの認証手段は別の安全な場所に置き、バックアップコードは紙にも残します。

つまずき：Google 認証システムは、同期をオンにすると全コードがGoogleアカウント1つに集まります。そのアカウントの守りが、全部の鍵の守りです。もう1つ、Amazonの入金口座変更で通知が来るかは公式で確認できませんでした。決めつけず自分で見ます（対策18）。

対策4　パスキー・セキュリティキーも活用する

なぜ：パスキー（指紋・顔・PINで入る、パスワードのいらない鍵）は、偽サイトにだまされにくい仕組みです。

やること：対応サービスでパスキーを検討します。重要なアカウントには、物理的なセキュリティキー（USBなどの小さな鍵）も選べます。対象は、Google、Google Workspace、パスワード管理ソフト、ドメイン管理などです。予備のキーは、別の安全な場所に置きます。

つまずき：1本しか無い鍵は、なくした瞬間に自分を締め出します。登録は2本以上、保管は別々に。

対策5　パスワードを使い回さない

なぜ：1か所で漏れたパスワードは、別のサービスで試されます。

やること：モール・メール・FTP（ファイル転送）・サーバー・NAS・業務サービスで、全部別々にします。総務省は10文字以上のランダムな文字列を目安にしています。

つまずき：末尾の数字だけ変える形は、推測されやすいものです。覚えるのをやめて対策6に任せます。

定期変更は、漏れた事実がなければ基本的に不要で、楽天R-Loginなど期限のあるサービスは期限に従います。

対策6　パスワード管理ソフトを使用する

なぜ：Excel、メモ帳、メールに平文（そのままの文字）で置くと、PCに入られたときに全部見られます。

やること：専用のパスワード管理ソフトを使います。選択肢の一例は、クラウド型の1Passwordです。自動生成・自動入力・パスキー保存ができ、APIキーなども入れられます。

ソフト自体にも2段階認証を付け、アカウントパスワード（ソフトに入るパスワード）は使い回しません。紙には「アカウントパスワード＋Secret Key（Emergency Kit に載っています）＋復旧方法」を残します。ほかの製品も、2段階認証への対応・復旧の方法・データの保管先の3点で比べます。

つまずき：クラウド型の管理ソフトは、複数の端末で使える反面、データの預け先の会社を信頼する前提になります。国家サイバー統括室は、スマホの管理アプリでは、まず端末内で管理する方法を勧めています。迷うときは、端末内保存のタイプを選ぶか、クラウド型に2段階認証と紙の復旧情報を重ねます。

AIに頼むなら：「認証アプリとSMS認証の違いを、乗っ取りへの強さで比べて」。

第3部｜PC・スマホ・ブラウザ：業務用と私用を分ける

仕事の道具を私用と分け、暗号化・更新・ウイルス対策で固めると、1台の事故が店全体に広がりにくくなります。

店のレジと自宅の財布を分けるのと同じです。

対策7　業務用PCと私用PCを分ける

なぜ：ゲームや不明なフリーソフトからウイルスが入ります。同じPCに管理画面と顧客情報があると、一緒に狙われます。

やること：モール・自社ECの管理は、できるだけ業務専用PCで行います。ゲーム、個人アプリ、不明なフリーソフト、不要な拡張機能は入れず、家族との共用も避けます。

つまずき：2台目が買えない間は、段階で近づけます。まずWindowsのアカウントを分け、次にブラウザを分けます（対策14）。

対策8　管理者アカウントと通常業務アカウントを分ける

なぜ：管理者の権限で毎日作業すると、うっかり開いたファイルがPCの設定まで書き換えられます。

やること：ふだんは標準ユーザーで作業し、ソフトの導入や重要な設定変更のときだけ管理者を使います。Windowsでは「設定」→「アカウント」→「その他のユーザー」あたりで追加できます。

つまずき：パスワードを聞かれる一手間が、そのまま守りです。

AIに頼むなら：「Windowsで標準ユーザーと管理者を分ける手順を、設定画面の名前だけで」。

対策9　PCのストレージを暗号化する

なぜ：PCを盗まれても、中身を読まれにくくなります。暗号化は、鍵がないと読めない文字に変える仕組みです。

やること：OSごとに、使う機能が違います。

• WindowsのProなど：「BitLocker ドライブ暗号化」

• WindowsのHome：簡易版の「デバイスの暗号化」。対応機種でMicrosoftアカウントに初回サインインすると有効になり、回復キーがそのアカウントに付きます。ローカルアカウントでは自動で有効になりません。「設定」→「プライバシーとセキュリティ」→「デバイスの暗号化」で確認します。項目が無い機種は対応外です。

• Mac：「FileVault」。Apple シリコンやT2のMacは自動で暗号化され、オンにすると、さらに守りが増えます。

つまずき：Microsoftは失った回復キーを再発行できません。回復キーは紙または別の安全な媒体にも保管します。回復キーの紙は、PCと同じかばんに入れません。盗まれると、暗号化の意味がなくなります。

対策10　業務用スマートフォンと私用スマートフォンを分ける

なぜ：2段階認証、業務メール、モールの重要通知はスマホに届きます。私用で怪しいアプリを入れると「鍵の受け取り口」が危なくなります。

やること：分けるのが理想です。業務用は、2段階認証、業務メール、モールの重要通知、業務用電話に使います。重要な設定変更や振込先の変更は、できるだけ業務用PCから行います。

つまずき：2台持てなければ、遊びアプリの少ない端末に認証アプリを集めます。

対策11　スマートフォン自体を守る

なぜ：拾った人が画面を開けたら、メールも認証も一緒に開くからです。

やること：PIN・パスコード、指紋・顔認証、自動ロックを設定します。OSとアプリの更新、端末を探す機能、遠隔ロック・遠隔消去も使います。

つまずき：国家サイバー統括室によると、遠隔消去すると位置情報が取れなくなります。リスクが小さければ、ロックだけにして遺失物として相談する手もあります。

対策12　業務用PCのウイルス対策を行う

なぜ：更新が止まったPCは、知られた穴から入られます。

やること：対策ソフトを入れ、リアルタイム保護（常に見張る機能）を常時ONにします。Windows Update、macOS Update、ブラウザ、Office、Adobe、業務ソフトも最新に。

Windowsなら、標準の Microsoft Defender が最初から入っています。有料ソフトは必須ではありません。フルスキャンの目安は、週1回程度です。製品の既定のままでも構いません。

つまずき：更新は、再起動するまで終わっていません。終業時に再起動します。

対策13　ウイルス対策ソフトを複数常駐させない

なぜ：同じ役目のソフトを重ねると、邪魔し合って不安定になることがあるからです。

やること：常駐型は基本的に1つです。Windowsは、他社の対策ソフトを主に使うと、Microsoft Defender ウイルス対策が自動で切り替わります。状態は、「無効」か、控えめに待機する「パッシブ」です（Microsoft公式）。

つまずき：試用版の入れっぱなしです。使わない対策ソフトは削除します。

対策14　業務用ブラウザを分ける

なぜ：私用で入れた拡張機能や踏んだリンクが、管理画面のログイン状態とつながるからです。

やること：業務用と私用でブラウザを分けます。例えば業務用はBrave、私用はChromeやEdgeです。業務用ブラウザで使うのは、モール・自社ECの管理画面、Google Workspace、会計、銀行・決済が中心です。

拡張機能は、不要なものと提供元不明のものを入れません。使わないものは消して、最新版にします。

つまずき：管理画面が動かないときは、ブラウザの保護機能を全部オフにせず、そのサイトだけ個別に調整します。

対策43　公衆Wi-Fiで重要操作をしない

なぜ：カフェやホテルの共有Wi-Fiは、同じ回線に誰がいるか分かりません。

やること：公衆Wi-Fiでは、モール管理と振込先の変更をしません。パスワード変更、顧客情報の閲覧、管理者設定の変更も同じです。必要ならスマホ自身の回線を使います。

対策44　USBメモリ・外付け機器を安易に接続しない

なぜ：出所の分からないUSBメモリや外付けSSDに、ウイルスが入っている例があるからです。

やること：業務用PCに、出所不明のUSBメモリや外付けSSDをつなぎません。

第4部｜フィッシングと不正ログインに早く気づく

偽メールのリンクからログインせず、変更通知・ログイン履歴・振込先を自分で見る習慣が、乗っ取りに早く気づく決め手です。

「宅配です」と言われても、本物の配達員かは分かりません。フィッシング（本物そっくりの偽メールや偽サイトでIDとパスワードを盗む手口）は、そのメール版です。ドアを開ける前に、本物か確かめます。

対策15　フィッシングメールに注意する

なぜ：フィッシング対策協議会によると、2025年の報告は2,454,297件でした。2026年は減少傾向で、1〜8月の累計は879,827件、前年同期比で約46%減です。

それでも2026年8月は82,338件ありました。分野別ではEC系が約43.3%で最多で、Amazonをかたるものが約26.1%でした。これは消費者向けの報告で、出店者が狙われた件数ではありません。

やること：次のようなメールに注意します。アカウント停止／支払いエラー／規約違反／本人確認／パスワード更新／売上金確認です。メール内のリンクからはログインせず、公式管理画面のブックマークから入ります。

つまずき：ブックマークが偽物に置き換わっていないか、時々確かめます。

対策16　重要な変更通知を有効にする

なぜ：乗っ取られて振込先を書き換えられても、通知がなければ気づけません。

やること：モール・Google・ドメイン管理・銀行・決済サービスで、通知があれば有効にします。特に受け取りたい通知は、新しい端末からのログイン／パスワード変更／メールアドレス変更です。2段階認証の変更／振込先変更／管理者情報の変更も、受け取れるようにします。

つまずき：通知のないサービスもあります。通知のリンクは押さず、公式サイトやアプリから確認します。

対策17　ログイン履歴を定期的に確認する

なぜ：誰かが入った痕跡は履歴に残りますが、見なければ気づけません。

やること：次のログイン履歴と接続端末を確認します。Google、Amazon、楽天、Yahoo!、Microsoft、NAS、クラウドです。見覚えのない端末／地域／IPアドレス（ネット上の住所）／時刻があれば、すぐ対処します。

つまずき：スマホ回線やVPN（通信を暗号化してつなぐ仕組み）では、地域がずれて見えます。時刻と端末名で見分けます。

対策18　振込先口座を定期確認する

なぜ：口座を書き換えられると、売上がそのまま他人に渡ります。ネットバンキングの不正送金は、2025年に4,747件・約103億9,700万円で、手口の約9割がフィッシングでした。

やること：楽天の振込先、Amazonの入金口座、Yahoo!の振込先を、定期的に確認します。

つまずき：Amazonでは、入金方法の更新を求める偽メールが報告されています。メールのリンクは使わず、自分で管理画面を開いて確かめます。

AIに頼むなら（本格プロンプト①）：怪しいメールの件名と差出人ドメインだけを貼り、危ない点を挙げてもらいます。リンクは開かせません。

【Role】
私は小さなネットショップの運営者です。あなたは、フィッシングメールの見分け方を教える相談役です。

【Goal】
下の「メールの手がかり」から、このメールが疑わしいかどうかの判断材料を整理してください。

【Success criteria】
疑わしい点と安全そうな点が理由つきで分かれ、私の次の行動が、公式の管理画面から確認する方法で示されていること。

【Constraints】
・リンクは開かない。検索もしない。貼られた情報だけで考える。
・本物か偽物かを断定せず、「疑わしさの度合い」と理由を述べる。

【メールの手がかり】
件名：（ここに貼る）
差出人の表示名：（ここに貼る）
差出人のドメイン（@より後ろだけ）：（ここに貼る）
本文の要求（1行で）：（例：本人確認を求めている）

【Output】
見出し「疑わしい点」「安全そうな点」「次に私がすること」。各見出しの下は1行ずつの箇条書き。

【Stop rules】
手がかりが足りないときは、推測で埋めず「情報不足」と書き、何を足せばよいか伝える。

※対象モデル：

• Claude（Opus 5.5 / Sonnet 5.5 世代）

• ChatGPT（GPT-6 世代）

• Gemini（Gemini 4 Argon・3.8 世代）

2026年10月時点。チャット画面だけで使う場合、考える深さの設定は既定のままで問題ありません。

サンプル出力例（執筆時の想定アンサー）：

【疑わしい点】
・件名が「アカウント停止」で、急がせて不安をあおっています。
・差出人ドメインが rakuten-secure-info.example のように、正式な社名とは別の長い名前です。
・「本人確認」を求めて、入力へ誘導しています。

【安全そうな点】
・今回の手がかりだけでは、安全と言える材料は見当たりません。

【次に私がすること】
・リンクは開かない。
・ブックマークの公式管理画面から入り、お知らせを確認する。
・同じ案内がなければ、メールを削除し、モールの窓口へ報告する。
・すでに入力した場合は、パスワードを変え、第9部の手順へ。

やってはいけない線：AIの答えを最終判断にしないことです。最後は公式の管理画面で確かめます。

第5部｜バックアップ：「取れている」より「戻せる」か

バックアップは、ネットワークから切り離して持ち、実際に戻せるかを試して初めて、事故のときに役に立ちます。

消火器は、置いてあるだけでは火を消せません。使えるかまで確かめて、はじめて備えです。

警察庁の統計（2025年）では、ランサムウェアの被害組織の約8割が、バックアップから復元できませんでした。有効回答99件中79件で、理由の約3分の2は「バックアップも暗号化された」でした。

対策19　業務データをバックアップする

なぜ：商品画像や説明は作り直しに何日もかかり、受注や会計の資料をなくすと仕事も税の手続きも止まります。

やること：定期的にバックアップします。対象は、商品画像／商品説明／CSV／受注関連データ／会計資料／仕入資料／業務資料です。

つまずき：取り忘れの原因は、どこに何があるか分からないことです。保存場所は第1部の紙に書きます。

対策20　PC全体もバックアップする

なぜ：PCが壊れたとき、データだけ戻しても、ソフトや設定の入れ直しに時間がかかります。

やること：PC全体のシステムイメージ（中身を丸ごと写した複製）も取ります。基本は「業務PC」→「NASまたは外付けHDD」→「クラウド、または切り離したバックアップ」の3段です。

対策21　バックアップをネットワークから切り離す

なぜ：ランサムウェアは、つながっているバックアップごと暗号化することが多いからです。

やること：警察庁は、こまめに取得し、ネットワークから切り離してオフラインで保存するよう案内しています。外付けHDDはバックアップ後に取り外し、NASとは別にもクラウドにも置いて、複数の世代を残します。

一般に「3-2-1」と呼ばれる考え方（コピー3つ・媒体2種類・1つは別の場所）とも重なります。

クラウドの同期フォルダだけでは、バックアップとして足りません。 感染すると、壊れたファイルまで同期されることがあります。

つまずき：外付けHDDの挿しっぱなしは、切り離しになりません。抜く手順を紙に書きます。

対策22　バックアップから復元できるか確認する

なぜ：警察庁は、運用の課題で戻せない例があるとして、復旧手順まで訓練で確かめるよう求めています。

やること：定期的に、ファイルの復元とPC全体の復旧を試します。NASのバックアップの読み出し、クラウドのバックアップへのアクセスも確認します。

つまずき：一度に全部は続かないので、まず商品画像のフォルダ1つを、別の場所へ戻してみます。

AIに頼むなら：「バックアップの棚卸し表を作って。対象・保存先・オンラインかオフラインか・最後に復元テストした日の列で」。

第6部｜外注先・APIキー・生成AIの秘密情報：正本は1か所、AIには貼らない

この記事の山場です。秘密情報の置き場所（正本）を1つに決め、必要なときだけ取り出し、AIのプロンプトには貼らないことが、第6部の中心です。

AIエージェントを使う人は、実行前に止める見張り役（hooks）も置きます。

APIや、PCで動くAIエージェントを使っていない人は、対策23と対策29だけ読んで、第7部へ進んで構いません。

合鍵をあちこちに置くと、どこに何本あるか分からなくなります。鍵は保管庫にまとめ、使うときだけ取り出します。APIキーも同じです。

IPAの「10大脅威 2026」組織編では、2位が「サプライチェーンや委託先を狙った攻撃」でした。

対策23　外注先の権限を管理する

なぜ：メインのIDを渡すと、誰が何をしたか分からず、終わった後も鍵が相手の手元に残ります。国の資料にも、退職者のアカウントを消し忘れて情報を抜かれた事例があります。人を疑う話ではありません。誰が辞めても店が守られる形にするためです。

やること：外注先専用のアカウントを作り、必要最小限の権限だけ付けます。楽天は「ダブルアカウント」の権限で個別登録でき、委託先へIDやパスワードをメールで送ることも避けるよう求めています。終了後の作業は、アカウント削除／権限削除／APIキー無効化／必要ならパスワード変更です。個人データの取扱いを委託する場合、委託先の監督義務があります（個人情報保護法第25条）。

つまずき：終わった案件のアカウントは残りやすいものです。契約の終了日を棚卸し表に書きます。

対策24　API・外部サービスを定期的に見直す

なぜ：昔つないだ在庫連携や広告ツールが、鍵を持ち続けているからです。

やること：使っているものを一覧にします。対象は、楽天API／Amazon SP-API／Yahoo! API／受注管理などです。

不要になったAPIキー、アプリ連携、外注先アカウントは削除します。楽天APIは、関連記事「楽天の管理画面は言葉で動く」にあります。

つまずき：使われているか分からないときは、最終使用日を見て、まず無効化してから削除します。

対策25　生成AI・API・開発ツールの秘密情報は、1か所を正本にして管理する

なぜ：APIキーやパスワードがPCのあちこちにあると、どこに残っているか分からなくなります。「正本」は、大元になるただ1つの保管場所です。

やること：次の秘密情報は、原則としてパスワード管理ソフトを正本にします（例：1Password）。

• APIキー／パスワード／アクセストークン

• OAuth Client Secret（ログイン連携の合言葉）／SSH秘密鍵（サーバー用の鍵ファイル）

• データベース接続情報／Webhook用の秘密情報

• サーバーの認証情報

対象は、生成AI、GitHub、AIエージェント、MCP（AIと道具をつなぐ決まり）、サーバー、NASで使うものです。

やってはいけない置き場所は、設定ファイルと、環境変数に登録したままの状態です。ソースコード、GitHub、メモ帳、AIのプロンプトにも置きません。

つまずき：民間のセキュリティ企業GitGuardianの調査があります。2025年に公開GitHubで新たに見つかった秘密情報は、28,649,024件（前年比34%増）でした。うちAIサービス関連が1,275,105件（同81%増）です。製品会社の自社調査なので、「そういう動きがある」程度に読んでください。

対策26　.env・.ini・設定ファイルへ秘密情報を恒久保存しない

なぜ：設定ファイルは、バックアップや共有で、知らないうちにコピーされます。

やること：次のファイルに、平文のまま長く残しません。「.env」「.ini」「.conf」「.json」「.yaml」「.txt」が対象です。バッチ／PowerShell／ソースコードも同じです。

「OPENAI_API_KEY=実際のキー」や「PASSWORD=実際のパスワード」の行は置きません。

つまずき：アプリに「ファイルに書いて」と求められても、使うときだけ書き、終われば消します。毎晩の自動処理のように、人がいないときにも鍵が要る場合は、例外です。専用の置き場に限り、コードには書かず、権限と上限を最小にします。対策27の方法も探します。

対策27　OSの環境変数にも秘密情報を恒久保存しない

なぜ：環境変数（アプリに値を渡すOSの仕組み）に登録したままだと、同じPCの他のプログラムからも読めます。

やること：公式の勧めは、環境変数やシークレット管理機能で渡す方法です（OpenAI・Anthropic）。問題は、OSに登録したまま（恒久保存）にすることです。

流れは3段です。

• パスワード管理ソフト（正本）に置く

• 必要なときだけ取り出す

• アプリ・CLI（文字で操作する道具）・AIツールで使う

1Password CLI の「op run」は、実行している間だけ環境変数として渡します。「op inject」は出力先に平文ファイルを作れるので、使うときは注意します。

つまずき：一度設定すれば楽、という誘惑です。毎回取り出す手間は、事故の保険料です。

対策28　ソースコードやGitHubへ秘密情報を入れない

なぜ：GitHubには、秘密情報の送信を止めるプッシュ保護があります。公開リポジトリ（ソースコードの置き場）では既定で働きますが、非公開は自動では見張られません。

やること：APIキー・パスワード・秘密鍵を、直接書きません。書かない場所は、Python、JavaScript、PowerShell、バッチ、設定ファイル、GitHubです。公開だけでなく、非公開のリポジトリにも保存しません。

つまずき：一度GitHubに送った秘密は、消しても履歴に残ります。送ってしまったら、キーを無効化して作り直します（対策31）。

対策29　生成AIのプロンプトへ秘密情報を直接貼り付けない

なぜ：貼った秘密は、サービスの規約や設定によっては保存や学習に使われます。IPAも、秘密情報を安易に入力しないことと、学習に使わせない設定（オプトアウト）を勧めています。

やること：設定やエラーを相談するときも、秘密情報は貼りません。対象は、APIキー・パスワード・秘密鍵・トークン・セッション情報（ログイン中の印）です。形を見せたいときは、「OPENAI_API_KEY=xxxxxxxx」のダミーにします。

お客様の名前・住所・電話番号も貼りません。個人情報保護委員会は2023年6月に注意を呼びかけました。本人の同意なく入れた個人データが回答以外の目的（学習など）に使われると、法律違反のおそれがあるという内容です。Anthropicのヘルプも、キーを問い合わせ文やメールに書かないよう求めています。

つまずき：スクリーンショットやログの全文にキーが写っていることがあります。貼る前に、値の部分を消します。

対策30　APIキーはサービス・用途ごとに分ける

なぜ：1本を使い回すと、漏れたときに全部止めるしかなくなります。

やること：AIツールA用／B用／開発PC用／サーバー用／テスト用／本番用に分けます。設定できる範囲で、次も付けます。必要最小限の権限／IP制限／利用上限／課金上限／レート制限（短時間の使いすぎを止める仕組み）です。

Anthropicのキーは、ワークスペース単位で月額の上限を設けられます。OpenAIのキーは、プロジェクト単位で支出の上限を設けられます。

つまずき：できる設定はサービスで違います。できる所から付け、できないことは棚卸し表に残します。

対策31　不要なAPIキー・トークンを削除する

なぜ：使っていない鍵は、持ち主が忘れても有効なまま残ります。

やること：定期的に、使っていないキーやトークンを削除・無効化します。確認する先は、OpenAI、Google、Anthropic、GitHubです。

Anthropicは入れ替えの例として90日ごとを挙げています。漏れた可能性があれば、すぐ無効化して再発行します。

つまずき：無効化すると、そのキーを使う連携が止まります。先に調べ、止まっても困らない時間に行います。

AIに頼むなら（本格プロンプト②）：APIキーの棚卸し表を作ってもらいます。キー本体の列は作りません。

【Role】
私は小さなネットショップの運営者です。あなたは、APIキーの管理を手伝う事務の相談役です。

【Goal】
私が使っているAPIとAIサービスの棚卸し表を、記入しやすい形で作ってください。

【Success criteria】
私が1行ずつ埋めるだけで完成し、見直す日を行ごとに入れられること。

【Constraints】
・キー本体、パスワード、トークンの値を入れる欄は作らない。
・欄は、サービス名／用途／発行日／権限／利用上限／最後に使った日／担当者／次に見直す日／メモ、だけ。
・表は使わず、1件ごとの箇条書きにする。
・私が書いていないサービスを、推測で足さない。

【私が使っているもの（名前だけ）】
（例：楽天API、AIサービスA、広告ツールB）

【Output】
上の欄を縦に並べた記入用の形式を、私のサービスの数だけ。最後に、見直しのルールを3行以内で。

【Stop rules】
不明な点は【要確認】と書き、推測で埋めない。

※対象モデル：

• Claude（Opus 5.5 / Sonnet 5.5 世代）

• ChatGPT（GPT-6 世代）

• Gemini（Gemini 4 Argon・3.8 世代）

2026年10月時点。チャット画面だけで使う場合、考える深さの設定は既定のままで問題ありません。

サンプル出力例（執筆時の想定アンサー）：

■ 楽天API
・サービス名：楽天API
・用途：【要確認】何の更新に使っているか
・発行日／権限／利用上限／最後に使った日／担当者：（記入）
・次に見直す日：（記入）
・メモ：外注先に権限を渡していれば、その名前も

■ AIサービスA、■ 広告ツールB
（上と同じ欄）

■ 見直しのルール
・使っていないキーは、無効化してから削除する。
・入れ替えの目安は、Anthropicが例に挙げる90日ごと。
・漏れた疑いがあれば、その日のうちに失効して再発行する。

やってはいけない線：この表にキー本体を書くと、新しい漏えい元になります。キーは正本のパスワード管理ソフトだけに置きます。

AIエージェントに作業させるなら：settings.json の hooks で「実行前に止める」

危ない操作の直前に自動で止める見張り役（hooks）を置くと、うっかりの事故を減らせます。ただし、入れれば安全になるわけではありません。

（PCでAIエージェントを使っていない人は、⑤だけ読んで第7部へ進んで構いません）

① なぜ要るか

AIエージェントは、PCの中でファイルを読み、コマンドを動かして作業するAIツールです（例：Claude Code）。失敗は2つあります。

• AI自身の判断ミス

• 読み込んだ文書（お客様の問い合わせ、PDF、レビュー）に仕込まれた命令に、従ってしまうこと

後者をプロンプトインジェクションと呼びます。手口の詳しい話は、関連記事「EC運営者のAIが乗っ取られる7つの手口」に書きました。

② 仕組み

Claude Codeの設定は「settings.json」に書きます。場所は3つあります。

• 自分用：~/.claude/settings.json

• プロジェクト共有：.claude/settings.json

• 個人用：.claude/settings.local.json

仕組みは2つあります。

• permissions：してよい（allow）・確認する（ask）・してはいけない（deny）の名簿です。評価の順は deny、ask、allow。denyはどの作業モードでも効きます。

• hooks：ツールを使う直前や直後に自動で動く見張りです。「PreToolUse」は実行の直前で、止められます。「PostToolUse」は成功した後で、止められません。

③ 最小の例

説明用の最小の形で、名前やパスはダミーです。「settings.json」から示します。

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash|PowerShell",
        "hooks": [
          { "type": "command", "command": "python \"$CLAUDE_PROJECT_DIR/.claude/hooks/block_danger.py\"", "timeout": 10 }
        ]
      }
    ]
  }
}

止める判断をするPython（.claude/hooks/block_danger.py）が次です。

import json
import sys

DANGEROUS = ["rm -rf", ".env", "id_rsa"]  # 例示用のダミー

try:
    data = json.load(sys.stdin)
    command = data.get("tool_input", {}).get("command", "")
except Exception:
    print("フックの入力を読めなかったため止めました", file=sys.stderr)
    sys.exit(2)

for pattern in DANGEROUS:
    if pattern in command:
        print(f"止めました: {pattern} を含む操作です", file=sys.stderr)
        sys.exit(2)

sys.exit(0)

BashとPowerShellのコマンドに危ない文字列が入っていたら止めるだけの例です。止めた理由はAIにも返ります。「.env」を読む操作（Readツール）や書き換える操作（Edit・Write）は、この例では止まりません。 matcherを足すのは、止めたいツールごとです。Windowsで変数が展開されない場合は、スクリプトの場所を「C:」のドライブ名から省略せず書きます。

④ つまずき

• 終了コード2で止まり、1では止まりません。 未処理のエラー（終了コード1）は素通りです。

• 入力を読めなかったときも、2で止める書き方にします（上の例）。

• タイムアウトや失敗のときは、止まらず通常の確認に進みます。フックは軽く速く書きます。

• 入れたら、動作を試します。 本物の削除命令では試しません。「rm -rf」と画面に表示するだけの命令が止まり、「こんにちは」と表示するだけの命令が通れば成功です。

• 両方とも通るなら、フックが起動していません。Pythonが無い、コマンド名が違う（Windowsでは「py」のことがあります）などが原因です。

• 両方とも止まるなら、スクリプトのパスが外れている合図です。Pythonは開けないファイルで終了コード2を返すため、何でも止まります。

• 文字列の一致は、書き方を変えると回避されるので、うっかり防止の補助です。

• フックは自分の全権限で動くので、他人のフックは中身を確認してから入れます。「/hooks」で設定済みの一覧を見られます。

• 作業モードによっては、確認（ask）が出ないことがあります。止める確率を上げたいものは、denyとフックの重ねがけです。それでも、すべては防げません。

• AI自身が設定やフックのファイルを書き換えると、見張りが外れます。書き込みを拒否（deny）するルールで止めておきます。

⑤ 💻 Chat UI（ChatGPT・Claudeのアプリ）だけ使う人はこうする

hooksはPCの中で動くAIエージェントの話で、アプリだけの人に設定ファイルはありません。代わりに、次の2つを心がけます。ただし、指示文は破られうるので、本命は権限の絞り込みです。

• 指示文に「読むだけ」「変更する前に私に確認して」と書く

• 接続（コネクタ）の権限を、読み取り中心にする

第7部｜ルーター・Wi-Fi・ドメイン・自社ECを守る

ネットワークは「必要なものだけ許可し、それ以外は原則禁止」が基本です。ドメインと自社ECの入口にも、鍵をかけましょう。

表の入口に頑丈な鍵を付けても、裏口が開いていたら意味がありません。店でいえば、ルーターが裏口です。警察庁によると、2025年のランサムウェアの侵入経路は、6割以上がVPN機器（外から社内につなぐ機器）でした。

対策32　ドメイン管理アカウントを守る

なぜ：ドメイン（サイトの住所）を乗っ取られると、サイトもメールも他人のものになります。

やること：ドメインの管理アカウントに、2段階認証／登録専用メール／強いパスワードを設定します。ログイン履歴と自動更新の設定も確認します。

つまずき：支払い方法が期限切れだとドメインが失効します。棚卸しで見ます。

対策33　更新と保守が続くルーターを使う（必要なら業務用へ）

なぜ：更新が止まったルーターは、弱点が見つかっても直らないことがあるからです。

やること：まずは今のルーターの点検から。ファームウェア（機器の中のソフト）の更新の最終日と保守情報を確かめ、リモート管理も見て、管理者パスワードを変えます。更新が止まっている機種や、保守情報が確かめられない機種は、業務用ルーターへの切り替えを検討します。例は、ヤマハ RTX シリーズ（現行はRTX1300やRTX830など）です。

つまずき：保守体制を確認できないルーターは業務で使わない、と決めると迷いません。特定メーカーを勧める公的資料はありません。

対策34　ルーター・Wi-Fi・NASを管理する

なぜ：初期設定のままだと、外からの入口が開いていることがあります。警察庁によると、2025年の不正送金で、一般家庭の回線が中継に使われました。その事案は少なくとも737件・約13.9億円です。これをレジデンシャルプロキシと呼びます。ルーターやIoT機器（ネットにつながる家電など）の乗っ取りも、その入口の一つです。

やること：まず、管理者パスワードを変えて、Wi-Fiのパスワードを強くします。

不要なポートは開放しません。ポートは外から入る「ドア」で、リモート管理が不要ならOFFにします。NASのアクセス権限も限定します。

つまずき：分からない機能は、急いでOFFにせず、メーカーの説明を見てから触ります。

AIに頼むなら：「ルーター管理画面の項目名を貼るので、初期設定のままだと危ない項目を教えて」。

対策35　ホワイトリストを活用する

なぜ：怪しいものを1つずつ禁止する方法は、新しい手口に追いつけません。ホワイトリストは、招待客リストのあるパーティーです。

やること：設定できるなら、ホワイトリスト方式にします。対象は、ルーター、セキュリティソフト、ファイアウォール（通信の見張り番）、管理ソフトなどです。Wi-Fiは、つなげる端末を決めるより、暗号方式（WPA2・WPA3）と強いパスワードが先です。

つまずき：最初から全部絞ると仕事が止まります。1つの機器、1つの通信から始めます。

対策36　Wi-Fi・ネットワークを分離する

なぜ：来客用Wi-Fiや家のIoT機器の問題を、業務の通信に及ばせないためです。

やること：可能なら、業務用／ゲスト用Wi-Fi／私用端末用／IoT機器用に分けます。業務ネットワークにつなぐ端末も最小限に。例：ミント雑貨店なら、来客用Wi-Fiを受注用PCと別の枠にします。

つまずき：ルーターが分離に対応していないとできません。買い替えの確認項目にします。

対策37　ルーターで通信を制限する（例：ヤマハ RTX）

なぜ：IPAの自社診断も、第4.0版で「外部から内部ネットワークへの不要な通信を遮断する」を加えました。

やること：必要に応じて、通信を制限します。接続元IP／接続先IP／使用ポート／通信の方向を決めます。

つまずき：設定を誤ると自分も入れません。変更前に設定を保存し、1つずつ変えます。

対策38　セキュリティソフト・ファイアウォールでもホワイトリストを使う

なぜ：機器の入口に加えてPCの中も許可制にすると、二重の守りになります。

やること：対応していれば、許可するアプリ／通信／IP／ポート／接続先／実行ファイルを限定します。例：ミント雑貨店なら、受注管理と配送のサイトだけ許可します。

つまずき：リストが古いと新しい業務ソフトが動きません。ソフトを足したらリストも足します。

対策39　業務用ソフトをホワイトリスト管理する

なぜ：知らないうちに入ったソフトを動かさないためです。

やること：可能なら、必要なソフトだけ実行できるようにします。例は、Excel、Word、Adobeです。

Windows 11には、家庭向けにも使える「スマート アプリ コントロール」があります。Pro以上では、「App Control for Business」（旧WDAC）で細かく決められます。

つまずき：一部の古いソフトに影響することがあります。まず評価モードで試します。

対策40　Webサイトも必要に応じて制限する

なぜ：危ないサイトを開かなければ、事故の入口が1つ減ります。

やること：業務用PCで使うサイトは、モール、自社EC、Google Workspace、銀行、会計が中心です。配送会社や仕入先のサイトも使います。危険なサイトや不審なダウンロードサイトは、Webフィルタリングなどで制限します。例：ミント雑貨店なら、業務用PCで動画サイトを開けなくします。

対策41　管理画面へのアクセス元を限定する

なぜ：世界中から管理画面に入れる状態は、鍵穴を道に向けているのと同じです。

クレジットカード・セキュリティガイドライン6.0版（2025年3月）は、EC加盟店向けの脆弱性対策を5つ挙げました。その1つが、管理画面のアクセス制限と、管理者のID・パスワード管理です。

やること：自社ECの管理画面の話です。IP制限ができるなら、事務所の固定IPかVPN経由だけから管理画面に入れる設定を検討します。

つまずき：出先から入れなくなります。VPNや一時許可の手順を紙に書きます。

対策42　プリンター・複合機も管理する

なぜ：ネットにつながるプリンターも、初期パスワードのままだと入口になります。

やること：管理者パスワードの変更／ファームウェアの更新／不要な外部アクセスの停止／不要なクラウド連携の解除。

対策45　自社ECサイト自体を守る

なぜ：2025年のクレジットカード不正利用の被害額は510.5億円でした。クレジット取引セキュリティ対策協議会は、その約9割がEC加盟店で起きていると説明しています。カード決済を扱う店は、管理画面や古い部品など、サイトの弱点にも備えます。

やること：次を行います。

• CMS（サイトを管理する仕組み）やWordPressを、最新版にする

• プラグイン（追加部品）とテーマを更新し、不要なものは削除する

• 2段階認証とWAFを入れる

• SFTP・SSH（暗号化された接続）を使う

• 管理画面のアクセスを制限し、不要アカウントを削除する

WordPress本体に2段階認証はありません。公式ディレクトリのプラグイン「Two Factor」などが選択肢です。

つまずき：レンタルサーバーやネットショップ作成サービス上の店は、土台の持ち主がサービス会社です。できる範囲を案内で確かめます。

第8部｜顧客情報とSNS：漏らさない・写さない

お客様の情報は、法律で残すものを1か所に鍵をかけて残し、作業用のコピーとSNSの写り込みをなくすのが基本です。

お客様の名前や住所は、店が預かっているものです。注文の名簿を検索できる形で持つ店は、1人でも個人情報保護法の「個人情報取扱事業者」で、守る措置は義務です（第23条）。2026年7月に改正法が公布されましたが、主な部分は未施行なので、この記事は今の決まりで書いています。

対策46　顧客情報を必要以上に保存しない

なぜ：古い注文CSVや名簿が、デスクトップやメールの添付に散らばると、漏れる場所が増えます。

やること：型は「法律で残すものは1か所に鍵をかけて残し、作業用のコピーを消す」です。

税金のための帳簿や書類は、消さずに1か所にまとめ、暗号化やアクセス制限をかけます。

• 個人事業主の帳簿は原則7年

• 請求書・納品書・送り状などの書類は5年（国税庁。書類の種類や申告の方法で変わります。法人は別の定めです）

何を何年残すかは、税理士か税務署に確認します。電子で受け取った請求書を印刷だけして保存する方法は、2024年以降は原則使えません。

消すのは、デスクトップ、ダウンロードフォルダ、メールの添付、外注先とのやり取りに散らばった作業用のコピーです。

つまずき：個人情報保護法の第22条は、使わなくなった個人データを遅滞なく消すよう「努める」努力義務です。他の法律で保存期間が決まるものは対象外なので、「送り状CSVはすぐ消す」は危険です。迷ったら残す側に倒して相談します。

対策47　SNSで個人情報をさらさない

なぜ：何気ない投稿から、住所や生活のパターンが分かります。総務省も、氏名・生年月日・住所・電話・顔写真などが悪用されうると注意しています。

やること：私生活の次の情報を、必要以上に公開しません。生年月日／住所／電話番号／家族構成／出身地／母校／ペットの名前／よく行く場所／自宅周辺／長期の不在予定です。

つまずき：店の「特定商取引法に基づく表示」の氏名・住所・電話番号は、法律で決まった表示です。控えるのはそれとは別の私生活の情報です。表示の省略やバーチャルオフィスの利用には条件があり、私書箱は「住所」になりません。消費者庁のガイドで確認してください。

対策48　SNS投稿への写り込みに注意する

なぜ：写真に写った伝票や画面から、お客様の情報が読み取れます。総務省の事例では、位置情報や複数の投稿の組み合わせから、住所や生活圏が割り出されました。

やること：投稿前に、写っていないか確かめます。顧客名／住所／送り状／注文伝票／PC画面／メール画面／パスワードのメモ／QRコードです。位置情報もオフにします。

つまずき：背景の端の伝票は見落としやすいものです。撮影前に机を片づけます。

AIに頼むなら：「SNSに載せる写真の投稿前チェックリストを作って（送り状・画面・QRコード・位置情報）」。

対策49　占い・性格診断・懸賞等へ安易に登録しない

なぜ：診断サイトが集めた氏名やメールが漏れると、他のサービスへの不正ログインに使われます。

やること：占い、性格診断、適職診断、懸賞などに、氏名・生年月日・メール・電話・家族の情報を安易に登録しません。特にモール登録専用のメールは使いません。

つまずき：「無料」「診断だけ」の画面でも登録を求められます。入力の前に立ち止まります。

対策50　不要な外部アカウント連携を増やさない

なぜ：Googleログインなどの連携には、トークン（身分証明の札）が使われます。国家サイバー統括室によると、これが流出した例があります。ハンドブックは、基本的にソーシャルログインを勧めていません。サービスごとに別のIDとパスワードを使うのが基本です。

やること：必要性の低いサイトで、Google／Facebook／Appleログイン、SNS連携を安易にしません。

つまずき：連携済みのものは、アカウント設定の「連携済みアプリ」で見直し、使わないものを外します。

第9部｜不正ログイン・ランサムウェアが起きたら：初動の手順

事故が起きたら、慌てて動き回る前に手順の紙を見て、切り離す・変える・確認する・連絡するの順で動きます。

火事のときは、荷物を探す前に避難経路へ出ます。サイバーの事故も同じで、手順は事故の前に決めておきます。被害にあっても、自分を責めないでください。

対策51　不正ログイン発生時の対応を決める

なぜ：乗っ取られた直後は、遅れるほど商品ページや振込先を書き換えられるおそれがあります。

やること：不正ログインが疑われたら、次の順で動きます。

メールが乗っ取られた疑いがあるときは、手順4のメール確認を先にします。 メールのパスワードを変え、ほかの端末をログアウトさせ、見覚えのない転送設定を消します。受信箱では、見覚えのない送信済み・削除済みのメールを探します。メールを握られたままだと、パスワードを変えても、再設定で奪い返されます。

1. パスワードを変更する

2. 他の端末をログアウトさせる

3. 2段階認証の設定を確認する

4. メールを確認する（パスワード・転送設定・受信箱）

5. API連携を確認する

6. 振込先を確認する（変わっていたら、銀行とモールへ先に電話する）

7. 商品ページを確認する

8. モール運営会社へ連絡する

連絡先は第1部の紙にあります。お客様の個人情報が漏れたおそれがあれば、報告や本人への通知が要る場合があります（下の「漏えい等の報告」）。

つまずき：パスワードは、安全な別の端末から変えます。乗っ取られたPCでは、入力が見られているかもしれません。

対策52　ウイルス・ランサムウェア感染時の対応を決める

なぜ：警察庁によると、被害にあった組織の5割超で、復旧に総額1,000万円以上かかりました（2025年。組織の規模はさまざまです）。広がる前に止めるほど、被害を小さくしやすくなります。

やること：感染が疑われたら、次の順で動きます。

1. LANケーブルを抜く、Wi-FiをOFFにする

2. NASとの接続を切り、外付けHDDを取り外す

3. 安全な別の端末から、重要アカウントを確認する

4. 警察のサイバー相談窓口と、IPAの安心相談窓口に相談する

警察庁は、切り離すときにPCやネットワーク機器の電源は落とさないよう案内しています。調査に必要なログ（作業の記録）が消えるからです。

つまずき：慌てて電源を切る、データを消す、犯人に連絡する。誰でもしがちですが、この3つは避けます。

AIに頼むなら：「IPAの相談前の整理項目に沿って、今起きていることを時系列に並べ直して」。状況は項目で渡し、パスワードや顧客情報は入れません。

相談先と、漏えい等の報告

相談先は紙1枚にも書きます。

• 警察庁・都道府県警察のサイバー事案の相談窓口

• IPAの情報セキュリティ安心相談窓口

• JPCERT/CC（インシデント対応の相談）

• 各モールの出店者向けコールセンター

漏えい等の報告は、次のどれかに当たると義務です。

• ① 要配慮個人情報（病歴など）を含む

• ② 財産的被害のおそれがある（カード番号など）

• ③ 不正の目的が疑われる（不正アクセス、ランサムウェア、画面改ざんのWebスキミング）。ランサムウェアは、復元できない場合や盗まれたおそれがある場合です

• ④ 1,000人を超える

「おそれ」は、盗まれた痕跡などで疑えば足ります。

まず速やかに報告します。目安は3〜5日以内で、法令上の日数ではありません。詳しい報告は30日以内、不正目的の疑いなら60日以内です。

1,000人以下でも、①〜③に当たれば対象になります。報告先は原則、個人情報保護委員会で、業種によっては所管の省庁です。本人への通知も、原則として必要です。

第10部｜AIで自分の環境を点検する：許可された範囲だけ

AIには、自分が管理する環境の設定やコードを「読み取り」で見せて、弱点を挙げてもらいます。直したあとに、もう一度確かめます。他人のサービスは調べません。

健康診断に似ています。自分の体は診てもらっても、他人の家に入って勝手に診断はしません。点検は、自分の持ち物か、持ち主にはっきり許可をもらった範囲だけです。

対策55　AI支援ツールを活用して自社環境を定期的に点検する

なぜ：設定の弱点は、毎日見ている自分には見えにくいものです。目的は「弱点を発見し、穴をふさぐ」ことです。

やること：対象は、自分で所有・管理する次のものです。

• PC／サーバー／NAS

• ルーター／Wi-Fi／ファイアウォール／VPN

• 自社EC／WordPress／ドメインとDNS（ドメインの住所録）

• プリンター・複合機

使うのは、CodexやClaude CodeのようなAIコーディング支援ツールです。点検したい設定の書き出しやコードだけを、専用のフォルダにコピーして読ませ、弱点を挙げてもらいます。

サイトのフォルダ丸ごとや、「wp-config.php」「.env」のようにパスワードを含むファイルは渡しません。ルーターなどの設定の書き出しにも、パスワードや共有鍵が入る機種があります。パスワード・鍵・顧客情報の行は消してから渡し、消せたか不安なら、渡さず項目名だけで相談します。

AIに通信を試させたり、スキャンを実行させたりはしません。

つまずき：AIの指摘には間違いもあります。最終判断は人が行い、メーカーの資料で確認します。

対策56　ペネトレーションテスト・脆弱性診断を行う

なぜ：弱点を先に自分で見つければ、攻撃者より先にふさげます。ペネトレーションテストは、実際に侵入を試して弱点を探すテストです。

やること：自社の所有・管理下、または持ち主に明確に許可された環境だけで行います。見る項目は、次のとおりです。

• 不要ポート／外部公開サービス／ルーター設定

• ファイアウォール／VPN／NAS

• SMB（ファイル共有）／RDP（遠隔操作）／SSH

• Wi-Fi／Webサーバー／WordPress

• SSL/TLS（通信の暗号化）／API／認証設定

線の引き方はこうです。

• 楽天・Amazon・Yahoo!など他社が運営するサービスには、許可なくスキャンも侵入テストもしません。

• レンタルサーバーやネットショップ作成サービス上の自社ECは、土台の持ち主がサービス会社です。診断の前に、規約と申請の手順を確認します。

• 大手クラウドには、自分の環境なら事前申請なしで診断できる範囲と禁止事項を公開する所もあります（例：AWS）。

不正アクセス禁止法は、他人のIDやパスワードでログインしたり、認証をすり抜けたりすることを禁じています。罰則は拘禁刑や罰金です。第8条は、管理する側に守りを点検するよう努めることを求めています（努力義務）。

国の研究機関による調査でさえ、法律に根拠があり、大臣の認可を受けた計画で行われます（総務省・2020年と2024年）。通信を試すだけで違法になるかどうかの線引きは、この記事ではしません。

ただ、業務妨害や規約違反になるおそれはあります。だから、許可のないものは試さない。それが私の線です。

つまずき：自分の店のサイトでも、土台の持ち主が別なら、許可なく診断はしません。まず持ち主と規約を確認します。

対策57　診断後は修正・再確認まで行う

なぜ：弱点が見つかっても、直さなければ見つけなかったのと同じです。

やること：流れは、診断→問題の発見→危険度の確認→修正→再診断→解消の確認です。発見日／対象機器／内容／危険度／修正内容／修正日／再確認の結果を記録します。IPAの「5分でできる！情報セキュリティ自社診断」は公的な自己点検表で、Excel版を記録の土台にできます。

つまずき：直して満足し、再診断を忘れることです。修正日の隣に再確認の日を書きます。

対策58　定期的にセキュリティ棚卸しをする

なぜ：対策は、一度やっても時間とともに古くなります。

やること：周期を決めて見直します。

• 毎月：バックアップ確認／OS・ソフトの更新／ウイルス対策／ログイン履歴／振込先確認／API利用状況の確認

• 3か月ごと（人と連携）：外注先の権限／API連携／外部アプリ連携／不要アカウント／ブラウザ拡張

• 3か月ごと（機器）：ルーター・ファイアウォール／開放ポート／NAS／VPN／ホワイトリスト

• 半年ごと（診断）：社内ネットワークの脆弱性診断／自社EC診断／Wi-Fi構成／ドメイン設定

• 半年ごと（復旧）：バックアップの復元／紙の復旧情報／緊急連絡先の更新

• 大きな変更後：機器の交換・追加／サーバー移転／ECシステム変更／WordPressの大幅更新のあとに再診断

つまずき：全部を一度に始めると続きません。まず「毎月」の6つをカレンダーに入れます。

AIに頼むなら（本格プロンプト③）：自店の棚卸し表を作ってもらいます。

【Role】
私は小さなネットショップの運営者です。あなたは、情報セキュリティの定期点検を手伝う事務の相談役です。

【Goal】
私が使っている道具の名前をもとに、周期ごとの棚卸し表を作ってください。

【Success criteria】
印刷して□を付けられ、各行に「何を見るか」「どこで見るか」「前回の確認日」の欄があること。

【Constraints】
・パスワード、鍵、顧客情報、IPアドレスは入れない。
・私が挙げた道具以外は、推測で足さない。
・製品の購入や乗り換えは提案しない。
・他人のサービスへのスキャンや侵入テストを含めない。

【私が使っている道具（名前だけ）】
モールの管理画面、パスワード管理ソフト、NAS、ルーター、自社EC

【Output】
「毎月」「3か月ごと」「半年ごと」「大きな変更後」の見出しごとに、□から始まる箇条書き。表は使わない。

【Stop rules】
不明な点は【要確認】と書き、推測で埋めない。

※対象モデル：

• Claude（Opus 5.5 / Sonnet 5.5 世代）

• ChatGPT（GPT-6 世代）

• Gemini（Gemini 4 Argon・3.8 世代）

2026年10月時点。チャット画面だけで使う場合、考える深さの設定は既定のままで問題ありません。

サンプル出力例（執筆時の想定アンサー）：

■ 毎月
□ モールの管理画面：ログイン履歴と振込先を見る ／ 管理画面 ／ 前回：＿＿
□ NAS：更新の有無とバックアップの成功を見る ／ NASの管理画面 ／ 前回：＿＿

■ 3か月ごと
□ ルーター：開放しているポートを見る ／ ルーターの管理画面 ／ 前回：＿＿
□ 自社EC：プラグインと管理者アカウントを見る ／ 管理画面 ／ 前回：＿＿

■ 半年ごと
□ パスワード管理ソフト：紙の復旧情報が最新か見る ／ 鍵付きの保管場所 ／ 前回：＿＿

■ 大きな変更後
□ ルーターかNASを交換した：設定と公開範囲を再確認する ／ 各管理画面 ／ 実施日：＿＿

やってはいけない線：この表にIPアドレスやパスワードを書きません。紙の表が、新しい情報の置き場所になります。

ECセキュリティ対策チェックリスト77項目｜印刷して□を付ける

77項目は、各自で「○ △ ×」を付けて、×と△から順に直す道具です。全部が○でなくても、×を1つ△にできれば前進です。

使い方は3つです。

• 印刷して「○（できている）」「△（一部）」「×（できていない）」を付ける。使っていない道具の項目は「該当なし」にして構いません

• ×のうち、最低限の10項目に入るものから直す（1〜19・21・24〜26・28〜30・32〜36・41の32行）

• 半年ごとの棚卸しで付け直す

似た項目が続くのは、見落としを防ぐためです。重なる項目は、1つ直せば両方○にして構いません。

紙の備え（1〜6）

□ 1　パスワード・復旧コードを紙でも保管している

□ 2　紙を金庫・鍵付き書庫で保管している

□ 3　携帯電話番号を紙でも保管している

□ 4　モール担当者の連絡先を紙でも保管している

□ 5　各モールのコールセンターを紙でも保管している

□ 6　銀行・決済・サーバー等の連絡先を紙でも保管している

メール・認証（7〜14）

□ 7　登録専用メールを使用している

□ 8　登録専用メールを公開していない

□ 9　個人・業務・登録用メールを分離している

□ 10　2段階認証を設定している

□ 11　認証アプリを利用している

□ 12　パスキー・セキュリティキーを利用している

□ 13　パスワードを使い回していない

□ 14　パスワード管理ソフトを使用している（例：1Password）

端末・ブラウザ（15〜23）

□ 15　業務PCと私用PCを分けている

□ 16　業務スマホと私用スマホを分けている

□ 17　管理者アカウントを分けている

□ 18　PCを暗号化している（BitLocker・デバイスの暗号化・FileVault等）

□ 19　ウイルス対策を導入している

□ 20　OS・ソフトを更新している

□ 21　業務用ブラウザを分けている（例：Brave）

□ 22　不要な拡張機能を使用していない

□ 23　フィッシングメールから直接ログインしていない

監視（24〜25）

□ 24　ログイン履歴を確認している

□ 25　振込先口座を確認している

バックアップ（26〜29）

□ 26　業務データをバックアップしている

□ 27　PC全体をバックアップしている

□ 28　オフラインバックアップがある

□ 29　復元テストをしている

外注・API・生成AI（30〜40）

□ 30　外注権限を最小化している

□ 31　不要なAPI・連携を削除している

□ 32　AI・APIの秘密情報の正本を1か所（パスワード管理ソフト）で管理している

□ 33　.env・.ini 等へ秘密情報を恒久保存していない

□ 34　OS環境変数へAPIキー等を恒久保存していない

□ 35　ソースコードへAPIキーを書いていない

□ 36　GitHubへ秘密情報を保存していない

□ 37　AIプロンプトへ秘密情報を貼り付けていない

□ 38　APIキーを用途ごとに分離している

□ 39　APIの権限・利用上限を必要最低限にしている

□ 40　不要なAPIキー・トークンを削除している

ネットワーク・自社EC（41〜56）

□ 41　ドメイン管理に2段階認証を設定している

□ 42　更新と保守が続く業務用ルーター（例：ヤマハ RTX）を使っている

□ 43　ルーター・NASを更新している

□ 44　不要なポートを開放していない

□ 45　業務用ネットワークを分離している

□ 46　ホワイトリストを活用している

□ 47　必要な端末だけ接続を許可している

□ 48　ルーター管理画面へのアクセスを限定している

□ 49　不要な通信を遮断している

□ 50　業務用ソフトを必要最低限に限定している

□ 51　危険なWebサイトへのアクセスを制限している

□ 52　IP制限可能な管理画面を制限している

□ 53　プリンター・複合機も管理している

□ 54　公衆Wi-Fiで重要操作をしていない

□ 55　不明なUSB機器を接続していない

□ 56　自社ECのWAF・CMS等を更新している

顧客情報・SNS（57〜62）

□ 57　顧客情報を必要以上に保存していない

□ 58　SNSで個人情報を公開しすぎていない

□ 59　SNS投稿の写り込みを確認している

□ 60　占い・性格診断等へ安易に登録していない

□ 61　登録専用メールを不要なサービスへ使用していない

□ 62　不要な外部アカウント連携をしていない

事故対応（63〜65）

□ 63　不正ログイン時の対応を決めている

□ 64　ランサムウェア時の対応を決めている

□ 65　緊急連絡先を紙でも保管している

点検・棚卸し（66〜77）

□ 66　AI支援ツールで自社の設定・コードを定期点検している

□ 67　自社ネットワークの脆弱性診断を行っている

□ 68　不要な外部公開ポートを確認している

□ 69　ルーター・VPN・ファイアウォールを診断している

□ 70　自社EC・Webサーバーを診断している（レンタルサーバー等は規約の範囲で）

□ 71　発見した問題を修正している

□ 72　修正後に再診断している

□ 73　ペネトレーションテストを許可された環境だけで実施している

□ 74　第三者サービスへ無断スキャンを行っていない

□ 75　システム変更後に再診断している

□ 76　定期的にセキュリティ棚卸しをしている

□ 77　「必要なものだけ許可する」運用を採用している

番外（AIエージェントを使う人）

□ （番外）実行前に止める仕組み（permissions・hooks）を入れている

よくある質問（Q&A）

紙のパスワード、2段階認証、AIへの貼り付け、スキャン、有料ソフト。5点に、結論から答えます。

パスワードを紙に書いても大丈夫？

条件付きで大丈夫です。 机に貼らず、鍵のかかる引き出しや金庫にしまい、持ち歩かないことが条件です。

楽天RMS・セラーセントラルに2段階認証はある？

あります。ただし仕組みはモールごとに違います。 楽天はR-LoginとViberの認証コード、Amazonは2段階認証が必要です。Yahoo!ショッピングは、Yahoo! JAPAN IDがパスキーへ移る予定です（対策3）。

AIにエラーを相談したらAPIキーが写っていた。どうする？

漏れたものとして、すぐ無効化して再発行します。 利用履歴と請求も確認します（対策29・31）。

AIツールで楽天やAmazonをスキャンしてもいい？

いけません。 他人が運営するサービスには、許可なくスキャンも侵入テストもしません。AIを使っても同じです（対策56）。

パスワード管理ソフトは有料のものが必要？

必須ではありません。 スマホやブラウザの機能、専用アプリなど選択肢があります。

向かない場面・限界

この記事は、自分の店に合う順番で少しずつ進めるための地図です。

• 従業員が増えた会社や、社内サーバーを持つ会社には足りません。IPAの中小企業ガイドライン（第4.0版）を土台にしてください。

• 不正注文やカード不正、メールのなりすましの対策は、この記事の範囲外です。

• 事故の最中は、この記事より第9部の窓口が先です。

• 難しい項目や、税・個人情報の個別の判断は、詳しい人や専門家に頼んで構いません。

• hooksは、入れても万能ではありません。

まとめ

楽天・Amazonを1人で回す店ほど、1つの事故で止まります。セキュリティ対策は、紙1枚から始めれば、守る順番を決められます。

🥇 鉄則1：連絡先と復旧情報は、紙にも残す

スマホやクラウドが使えない日に、助けを呼べるようにします。紙は鍵のかかる場所にしまい、貼りません。

🥈 鉄則2：秘密情報の正本は、1か所だけにする

必要なときだけ取り出し、PCのあちこちやAIのプロンプトには置きません。

🥉 鉄則3：切り離して持ち、戻せるか試す

バックアップはネットワークから離し、定期的に戻してみます。

今日、30分で紙1枚を書くところから始めてみてください。

✨ この記事が役に立ったら、応援していただけると記事執筆の励みになります ✨

❤️ スキ：ハートマークひとつが、次の記事を書く励みになります

🔔 フォロー：新しい記事をいち早くお届けします

💬 コメント：ご質問・ご感想は今後の記事づくりの参考になります

みなさまの応援が、毎回の執筆を支えてくれています 🙇‍♂️

📖 出典

全体・はじめに

警察庁『令和7年のサイバー空間をめぐる脅威の情勢等』

https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

警察庁『令和8年上半期のサイバー空間をめぐる脅威の情勢等』

https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf

警察庁ほか『不正アクセス行為の発生状況』

https://www.npa.go.jp/bureau/cyber/pdf/R080312_access.pdf

IPA『情報セキュリティ10大脅威 2026』

https://www.ipa.go.jp/security/10threats/10threats2026.html

IPA『10大脅威 2026 解説書（組織編）』

https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf

国家サイバー統括室『インターネットの安全・安心ハンドブック（Ver 5.10）第6章』

https://security-portal.cyber.go.jp/guidance/pdf/handbook/handbook-06.pdf

第1部・第2部

国家サイバー統括室『インターネットの安全・安心ハンドブック（Ver 5.10）第5章』

https://security-portal.cyber.go.jp/guidance/pdf/handbook/handbook-05.pdf

総務省『推測できる簡単なパスワードを利用しないようにしよう』

https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/

総務省『安全なパスワードの設定・管理』

https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/

Google『バックアップ コードでログインする』

https://support.google.com/accounts/answer/1187538?hl=ja

Google『Google 認証システム』

https://support.google.com/accounts/answer/1066447?hl=ja

1Password『Emergency Kit』

https://support.1password.com/emergency-kit/

1Password『用語集』

https://support.1password.com/1password-glossary/

楽天『安全認証について』

https://glogin.rms.rakuten.co.jp/help/24_01.html

楽天『2段階認証登録（Viber）』

https://glogin.rms.rakuten.co.jp/help/22_01.html

楽天『R-Loginとは・権限』

https://glogin.rms.rakuten.co.jp/help/29_01.html

楽天『よくある質問』

https://glogin.rms.rakuten.co.jp/help/12_01.html

Amazon セラーフォーラム『2段階認証が必要です』

https://sellercentral.amazon.co.jp/seller-forums/discussions/t/68a92736-98b5-4d49-ba23-3c293b33eea1

LINEヤフー『Yahoo! JAPAN ID のパスキー一本化』

https://www.lycorp.co.jp/ja/news/release/020333/

第3部

Microsoft『Windows のデバイスの暗号化』

https://support.microsoft.com/ja-jp/windows/security/encryption/device-encryption-in-windows

Microsoft『BitLocker 回復キーの検索』

https://support.microsoft.com/ja-jp/windows/security/encryption/find-your-bitlocker-recovery-key

Microsoft『Defender ウイルス対策と他社製品の互換性』

https://learn.microsoft.com/ja-jp/defender-endpoint/microsoft-defender-antivirus-compatibility

Apple『Mac の FileVault』

https://support.apple.com/ja-jp/guide/mac-help/mh11785/mac

Apple『盗難デバイスの保護』

https://support.apple.com/ja-jp/120340

国家サイバー統括室『インターネットの安全・安心ハンドブック（Ver 5.10）第4章』

https://security-portal.cyber.go.jp/guidance/pdf/handbook/handbook-04.pdf

第4部

フィッシング対策協議会『2026/08 フィッシング報告状況』

https://www.antiphishing.jp/report/monthly/202608.html

フィッシング対策協議会『フィッシング報告状況（月次一覧）』

https://www.antiphishing.jp/report/monthly/

フィッシング対策協議会『利用者向け対策ガイドライン 2026年度版』

https://www.antiphishing.jp/report/consumer_antiphishing_guideline_2026.pdf

第5部

警察庁『ランサムウェア被害防止対策』

https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html

IPA『中小企業の情報セキュリティ対策ガイドライン 第4.0版』

https://www.ipa.go.jp/security/guide/sme/about.html

第6部

Anthropic『API Key Best Practices』

https://support.claude.com/en/articles/9767949-api-key-best-practices-keeping-your-keys-safe-and-secure

Anthropic『Workspaces』

https://platform.claude.com/docs/en/manage-claude/workspaces

OpenAI『Production best practices』

https://developers.openai.com/api/docs/guides/production-best-practices

GitGuardian『The State of Secrets Sprawl 2026』（民間調査）

https://www.gitguardian.com/state-of-secrets-sprawl-report-2026

GitHub『About push protection』

https://docs.github.com/en/code-security/secret-scanning/introduction/about-push-protection

1Password『環境変数のシークレット（CLI）』

https://www.1password.dev/cli/secrets-environment-variables

個人情報保護委員会『生成AIサービスの利用に関する注意喚起等』（2023年6月）

https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/

Claude Code『フック リファレンス』

https://code.claude.com/docs/en/hooks

Claude Code『フック ガイド』

https://code.claude.com/docs/en/hooks-guide

Claude Code『設定ファイル』

https://code.claude.com/docs/en/settings

Claude Code『パーミッション』

https://code.claude.com/docs/en/permissions

Claude Code『パーミッションモード』

https://code.claude.com/docs/en/permission-modes

第7部

ヤマハ『ルーター製品』

https://network.yamaha.com/products/routers

ヤマハ『RT/RTX セキュリティ情報』

https://www.rtpro.yamaha.co.jp/RT/FAQ/Security/

Microsoft『Windows のアプリケーション制御（App Control for Business）』

https://learn.microsoft.com/ja-jp/windows/security/application-security/application-control/app-control-for-business/appcontrol

Microsoft『スマート アプリ コントロールに関してよく寄せられる質問』

https://support.microsoft.com/ja-jp/windows/security/threat-malware-protection/smart-app-control-frequently-asked-questions

クレジット取引セキュリティ対策協議会『カード・セキュリティガイドライン 6.0版 改訂ポイント』

https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_6.0_revisionpoint.pdf

クレジット取引セキュリティ対策協議会『同 6.1版の改訂について』

https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_6.1_revisionpoint.pdf

WordPress『Two Factor プラグイン』

https://wordpress.org/plugins/two-factor/

総務省『安全な無線LANの利用』

https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/03

総務省『無線LAN（Wi-Fi）の安全な利用（セキュリティ確保）について』

https://www.soumu.go.jp/main_sosiki/cybersecurity/wi-fi/index.html

第8部

e-Gov法令検索『個人情報の保護に関する法律』

https://laws.e-gov.go.jp/law/415AC0000000057

個人情報保護委員会『令和8年改正』

https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

国税庁『タックスアンサー No.2070』

https://www.nta.go.jp/taxes/shiraberu/taxanswer/shotoku/2070.htm

国税庁『タックスアンサー No.2080』

https://www.nta.go.jp/taxes/shiraberu/taxanswer/shotoku/2080.htm

消費者庁『特定商取引法ガイド（通信販売）』

https://www.no-trouble.caa.go.jp/what/mailorder/

消費者庁『通信販売広告Q&A』

https://www.no-trouble.caa.go.jp/qa/advertising.html

総務省『PII（個人識別用情報）を不用意に公開しないようにしよう』

https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/07/

総務省『ネットストーカーに注意』

https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/case/end_user/02/

総務省『気をつけてアップしてたはずなのに』

https://www.soumu.go.jp/use_the_internet_wisely/trouble/case/case17.html

第9部

警察庁『サイバー事案に関する相談窓口』

https://www.npa.go.jp/bureau/cyber/soudan.html

IPA『情報セキュリティ安心相談窓口』

https://www.ipa.go.jp/security/anshin/

IPA『セキュリティインシデント対応の手引き』

https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/security-incident.pdf

JPCERT/CC『インシデント対応依頼』

https://www.jpcert.or.jp/form/

個人情報保護委員会『漏えい等報告・本人への通知の義務化について』

https://www.ppc.go.jp/personalinfo/legal/leakAction/

第10部

e-Gov法令検索『不正アクセス行為の禁止等に関する法律』

https://laws.e-gov.go.jp/law/411AC0000000128

総務省『IoT機器の調査（NOTICE）の取組強化』（2020年）

https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00079.html

総務省『NICTのIoT機器調査（NOTICE）』（2024年）

https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00200.html

AWS『Penetration Testing』

https://aws.amazon.com/security/penetration-testing/

🔗 関連記事

【2026年版】Claude Codeセキュリティ対策｜settings.json権限設定とサンドボックスで押さえる5つの急所

https://note.com/ai_love_009/n/nfb0c67b9633d

【前編・2026年版-プロンプトインジェクション対策】EC運営者のAIが乗っ取られる7つの手口｜顧客問い合わせ・PDF・レビューが侵入口に

https://note.com/ai_love_009/n/n6aa91e59ba1a

【後編・2026年版-プロンプトインジェクション対策】EC事業者の5つの自衛策｜「受付係」と「決裁者」を分けるだけでいい

https://note.com/ai_love_009/n/n312f1629e1a9

【2026年版】楽天の管理画面は言葉で動く｜EC運営者のAPI

https://note.com/ai_love_009/n/n7c2b646ef30c

#セキュリティ対策 #情報セキュリティ #ECセキュリティ #不正ログイン対策 #チェックリスト #2段階認証 #パスキー #パスワード管理 #APIキー #バックアップ #フィッシング詐欺 #ランサムウェア #生成AI #楽天市場 #Amazon #Yahooショッピング #EC事業者 #個人事業主 #ネットショップ運営 #2026年 #AI活用 #情報セキュリティ10大脅威 #EC運営 #ビジネス #スモールビジネス