GBPの乗っ取り・不正編集を防ぐセキュリティ設定と被害時の初動

「ある日突然、Googleマップに出ている自分の店の電話番号や営業時間が書き換わっていた」「オーナーとして管理していたはずなのに、ログインできなくなった」。こうした相談は、決して珍しいものではありません。

ビジネスプロフィールは、お客様が来店前に最初に見る「店の顔」です。そこが他人の手に渡ったり、誤った情報に書き換えられたりすると、来店や電話の機会をそのまま失うことになります。

一方で、乗っ取りや不正編集の多くは、特別な技術ではなく「権限の管理の甘さ」「アカウントの守りの弱さ」「偽の連絡への油断」といった、日々の運用の隙から起こります。逆に言えば、基本を押さえておけば、被害の確率を大きく下げることができます。

この記事では、Google公式ヘルプで確認できる範囲の事実をもとに、権限の棚卸し、アカウントの保護、偽の通知への備え、日常の点検、そして被害に気づいたときの初動までを、店舗オーナーの視点で順番に解説します。

執筆は、全日本SEO協会認定のSEOコンサルタントで、Web制作とSEO・MEOの支援に10年以上携わってきた三田健司です。権限の種類そのものはGoogleビジネスプロフィールの権限｜オーナーと管理者の違いと付与でも扱っているため、ここでは「守る」という切り口に絞ってお伝えします。

ビジネスプロフィールの乗っ取り・不正編集とは何が起きるのか

「乗っ取り」と「不正編集」は別のもの

ひと口に乗っ取りといっても、状況は大きく二つに分けて考えると整理しやすくなります。一つは、管理画面の権限そのものを奪われたり失ったりするケースで、もう一つは、権限は手元にあるのに、第三者の編集提案や操作によって表示内容が変わってしまうケースです。

前者は「オーナー権限の問題」、後者は「情報の品質管理の問題」であり、対処の入口が異なります。どちらが起きているのかを切り分けることが、最初の一歩になります。

起きがちな被害の具体例

現場でよく見かけるのは、電話番号やウェブサイトのリンク、営業時間、店名の表記が意図しない内容に変わっているケースです。ひどい場合は、別の事業者の連絡先に差し替えられて、問い合わせがそちらに流れていたこともあります。

お客様は表示された情報を信じて動くため、誤った電話番号や休業表示は、そのまま機会損失と信頼低下につながります。被害が見えにくいのは、店側が気づかない間に、静かに来店が減っていく点です。

なぜ起きるのか｜原因は「外」よりも「内」にあることが多い

外部からの攻撃というイメージが強い分野ですが、支援の現場で多いのは、退職した元スタッフや前の制作会社・MEO業者に権限が残っていた、という内部要因です。パスワードを使い回していた、共有のアカウントを複数人で使っていた、という運用上の弱さも目立ちます。

引き継ぎ時の権限整理については、退職・業者変更でGoogleビジネスプロフィールを失わない引き継ぎ手順で詳しく解説しています。まず自店の「中」を点検するのが、最も費用対効果の高い対策です。

この記事で扱う範囲と、公式情報の見方

ここで紹介する権限の仕様や手順は、GoogleビジネスプロフィールヘルプおよびGoogleアカウントヘルプの記載にもとづいています。画面の名称や機能は更新されることがあるため、実際の操作では最新の画面表示を優先してください。

なお、犯罪被害や法的なトラブルの疑いがある場合は、プロフィールの対処とは別に、警察や弁護士などの専門家へのご相談をおすすめします。

まず権限を棚卸しする｜「誰がオーナーか」を把握しているか

Googleの権限は3つの役割に分かれている

Googleのヘルプによると、ビジネスプロフィールの役割には、メインオーナー、オーナー、管理者があります。メインオーナーは1人だけ設定でき、オーナーは複数人設定できます。

ユーザーの追加・削除とプロフィールの削除ができるのは、オーナー（メインオーナーを含む）だけです。管理者は、情報の編集や口コミへの返信、投稿、写真の管理などはできますが、ユーザーの追加・削除やプロフィールの削除はできません。

「ユーザーとアクセス権」で今すぐ現状を確認する

現在の権限者は、ビジネスプロフィールの設定にある「ユーザーとアクセス権」から確認できます。ここに、見覚えのないメールアドレスや、すでに関係のない人・会社が残っていないかを見てください。

確認するときは、画面のスクリーンショットを残しておくと、後から変更の履歴を追いやすくなります。月に一度でも見直す習慣があれば、異変の発見は格段に早くなります。

不要な権限を外す手順と注意点

不要なユーザーを外すには、オーナー権限で「ユーザーとアクセス権」から該当の人を選び、削除の操作を行います。自分自身が管理から外れたい場合は、メインオーナーであれば、先に別のユーザーへメインオーナーの権限を移す必要があります。

削除したユーザーが過去に行った口コミへの返信や投稿は、プロフィール上に残ると案内されています。権限を外したからといって、過去の返信などが自動的に消えるわけではない点は、覚えておいてください。

新しく追加した人にはすぐに重い権限が働かない

Googleのヘルプでは、新しく追加されたオーナーや管理者は、追加から7日間、プロフィールの削除、他のユーザーの削除、メインオーナー権の譲渡ができないと案内されています。この仕組みは、権限を悪用した急な乗っ取りを難しくする側面があります。

とはいえ、この7日間にも制限されない操作があります。権限を付与するときは、期間にかかわらず、相手が誰であるかを必ず確かめてから追加しましょう。

権限の付与ルールを店舗で決めておく

おすすめは、「オーナーは経営者本人と、もう一人の信頼できる人の最大2名程度」「日常運用の担当者は管理者」という分け方です。これは私の支援現場での目安であり、Googleが定めた基準ではありませんが、事故を防ぎやすい形です。

複数人で編集する場合の衝突防止は、Googleビジネスプロフィールの複数人編集｜事故を防ぐ運用ルールもあわせて参考にしてください。担当が変わるたびに、権限の見直しを必ず行う決まりにしておくのが安全です。

Googleアカウントそのものを守る｜2段階認証とパスワード管理

乗っ取りの多くは「アカウントの突破」から始まる

ビジネスプロフィールは、Googleアカウントでログインして管理します。つまり、そのアカウントが破られれば、プロフィールの管理権限も一緒に奪われるおそれがあります。

そのため、プロフィール単体の設定を整える前に、ログインに使うGoogleアカウントの守りを固めることが前提になります。ここが弱いと、他の対策の効果が薄れてしまいます。

2段階認証プロセスを必ず有効にする

Googleのヘルプによると、2段階認証プロセスは、パスワードが盗まれた場合に備えてアカウントのセキュリティを強化する機能です。有効にすると、ログイン時にパスワードに加えて、追加の確認が必要になります。

有効化は、Googleアカウントの「セキュリティとログイン」から行えます。パスワードだけに頼らない状態をつくることが、最も手軽で効果の大きい対策です。

認証方法の種類と、選び方の目安

ヘルプでは、認証方法として、パスキー、Googleからのメッセージ（プッシュ通知）、確認コード、バックアップコード、ハードウェアセキュリティキーなどが紹介されています。パスキーは、端末の指紋認証や顔認証で確認する方式で、端末のみに保存され、フィッシング攻撃に強いと説明されています。

ハードウェアセキュリティキーは、購入が必要な物理的な機器で、フィッシング対策の面では最も強力とされています。店舗の規模や予算に応じて、まずはパスキーやGoogleからのメッセージを使い、重要なアカウントではセキュリティキーも検討するという順番が現実的です。

バックアップコードと復旧手段も準備しておく

スマートフォンを紛失したときのために、ヘルプではバックアップコードの用意が案内されています。8桁のコードで、安全な場所に保管しておく必要があります。

同時に、復旧用のメールアドレスや電話番号が古いままになっていないかも確認しましょう。連絡先が古いと、いざというときに本人確認ができず、復旧が遅れる原因になります。

パスワードの使い回しをやめる

他のサービスと同じパスワードを使っていると、そこから情報が漏れた場合に、Googleアカウントまで連鎖的に狙われるおそれがあります。パスワード管理ツールなどを使い、サービスごとに長く推測されにくいものを設定するのが基本です。

また、スタッフで1つのアカウントを共有する運用は、誰が何を操作したかが分からなくなり、退職時の入れ替えも難しくなります。可能な限り、個人のアカウントごとに権限を付与する形に切り替えてください。

ログイン中の端末とセキュリティ イベントを確認する

Googleアカウントでは、「セキュリティ イベントを確認」から不審なアクティビティがないかを確認でき、覚えのないものには「いいえ、リクエストしていません」と回答できます。また、「お使いのデバイス」の管理画面で、ログインしている端末の一覧も確認できます。

覚えのない端末が残っている場合は、削除の手順が案内されます。年に数回でも点検することで、気づかないうちに誰かがログインしている状態を防げます。

偽の通知・メール・電話に注意｜フィッシングへの備え

権限を奪う最短ルートは「本人に操作させること」

システムの穴を突くよりも、本人にパスワードや確認コードを入力させるほうが、攻撃する側にとっては簡単です。そのため、「プロフィールが停止されます」「口コミに問題があります」といった不安をあおる連絡で、偽のログイン画面へ誘導する手口が使われます。

店舗オーナーは、日々の営業に追われて確認を急ぎがちです。「急がせる内容ほど、一度立ち止まる」という習慣が、最大の防御になります。

メールの見分け方と、やってはいけない操作

Googleのヘルプでは、フィッシングメールの見分け方として、送信者のアドレスと名前が一致しているか、リンクの表示と実際の移動先が異なっていないか、緊急を装う内容や、あまりに良い話ではないかを確認するよう案内されています。パスワードやカード番号など、重要な情報の入力を求められた場合は、特に警戒が必要です。

メール内のリンクからではなく、自分でブックマークした正規のページから確認するのが安全な基本動作です。不審なメールは、Gmailの「その他」メニューにある「フィッシングを報告」から報告できます。

電話や営業を装った連絡への対応

「Googleの者です」「このままだと掲載が止まります」と電話で伝え、確認コードの読み上げや、費用の支払いを求めるといった形の連絡も想定されます。確認コードや認証のための情報は、たとえ相手が公式を名乗っても、第三者に伝えないというルールを徹底してください。

その場で判断せず、一度電話を切り、自分で公式の窓口やヘルプから確認してから対応する流れにしておくと安心です。スタッフにも同じルールを共有しておきましょう。

「掲載順位を保証する」類の営業にも警戒する

「必ず上位に表示する」「プロフィールを代行管理するので権限をください」といった営業は、提案の中身を冷静に見る必要があります。順位を断定的に保証する話は、Googleの仕組みを踏まえるとそもそも成り立ちません。

業者に権限を渡す場合は、MEO業者の解約で必ず取り戻すもの｜権限・データ・アカウントにもあるとおり、契約終了時に権限を取り戻せる形にしておくことが重要です。オーナー権限は渡さず、管理者権限にとどめるのも一つの考え方です。

怪しいと感じたときの連絡ルールを決める

怪しい連絡を受けたときに、誰に相談し、誰が判断するのかを決めておくと、焦って操作する事故を避けられます。たとえば、「不審なメールはまず代表者に転送する」「リンクは誰も押さない」といった簡単なルールで十分です。

ルールを紙1枚にまとめて、バックヤードに貼っておくだけでも効果があります。実際に不審な連絡があったら、内容を記録しておくと、後の相談に役立ちます。

不正編集に早く気づくための日常点検の仕組み

月1回の「公開情報」チェックを習慣にする

被害を小さくする最大のポイントは、早く気づくことです。月に一度、スマートフォンで自店の名前を検索し、お客様と同じ画面で、電話番号、営業時間、住所、ウェブサイトのリンク、写真を見比べてください。

管理画面の中だけでなく、お客様に見えている状態で確認することが肝心です。チェックする項目は固定のリストにして、誰が見ても同じ手順で確認できるようにしておきましょう。

チェックリストに入れておきたい項目

おすすめの項目は、店名の表記、メインカテゴリ、住所とピンの位置、電話番号、営業時間と特別営業時間、ウェブサイトのリンク、予約リンク、写真の変化、の8点です。これらは、書き換えられたときの影響が大きく、確認も簡単です。

特に営業時間と連絡先は、お客様の来店行動に直結するため、毎回必ず見る項目にしてください。ピン位置の確認は、Googleマップのピン位置がずれる｜原因と正しい直し方も参考になります。

「勝手に変わった」ときの考え方

Googleマップでは、ユーザーからの情報の修正提案が反映されることがあり、店側が操作していないのに内容が変わる場合があります。すべてが悪意ある不正とは限らず、善意の提案や、古い情報の更新の結果であることも少なくありません。

まずは、変更の内容が事実と合っているかを確認し、誤りであれば管理画面から修正してください。詳しい対処は、Googleマップの店舗情報が勝手に変わった｜修正の提案への対処法で解説しています。

通知メールを見逃さない体制にする

ビジネスプロフィールに関する通知は、オーナーのメールアドレスに届く場合があります。個人が使わなくなったアドレスや、特定のスタッフの個人アドレスだけに届く設定だと、異変に気づくのが遅れます。

経営者が必ず確認できるアドレスを、オーナーのうち少なくとも1人に設定しておきましょう。迷惑メールフォルダに振り分けられていないかも、あわせて確認してください。

記録を残して「普段の状態」を知っておく

点検の結果を、日付とともに簡単なメモやスプレッドシートに残しておきます。普段の状態を記録しておくと、「いつから変わったのか」を後から特定しやすくなります。

記録は、Googleや専門家に相談する際にも、説明の根拠になります。難しいことをする必要はなく、画面のスクリーンショットを日付つきで保存するだけでも十分です。

乗っ取り・不正編集に気づいたときの初動

慌てて操作せず、まず状況を切り分ける

異変に気づいたら、最初にやるべきことは、現状を記録することです。画面のスクリーンショットを撮り、どの情報が、いつから、どう変わったのかを書き留めてください。

そのうえで、「自分の管理画面に入れるか」「入れる場合、権限者に知らない人がいないか」を確認します。入れるかどうかで、次の対処が変わります。

管理画面に入れる場合の対処

管理画面に入れて、見覚えのないユーザーが権限を持っている場合は、オーナー権限で「ユーザーとアクセス権」から削除します。同時に、Googleアカウントのパスワード変更と、2段階認証の見直し、ログイン中の端末の確認を行ってください。

誤った情報は、管理画面から正しい内容に直します。修正がすぐ反映されない場合は、Googleビジネスプロフィールの編集が反映されない原因と対処法を確認してください。

管理画面に入れない場合は、オーナー権限をリクエストする

Googleのヘルプによると、他のユーザーがオーナーになっている確認済みのビジネスプロフィールに対しては、オーナー権限をリクエストできます。business.google.com/add にアクセスして、ビジネス名と住所を入力し、「アクセス権限をリクエスト」を選び、必要事項を送信します。

リクエストの後、現在のオーナーにメールで通知され、3日以内の返信が求められます。承認されれば管理権限を取得でき、拒否された場合は編集の提案や再審査請求が可能と案内されています。

3日経っても返信がないときと、非店舗型の場合

ヘルプでは、3日が過ぎても返信がない場合に、プロフィールの申請ができる場合があると説明されています。ただし、この選択肢は常に表示されるとは限らない、とも書かれています。

また、この手順の対象は実店舗型またはハイブリッド型のビジネスで、非店舗型（サービス提供地域型）の場合は、Googleのサポートへ直接問い合わせる必要があると案内されています。状況に応じて、最新のヘルプで手順を確認してください。

不正なプロフィールやスパムは報告する

競合や第三者が、虚偽の情報でプロフィールを作成しているような場合は、報告の機能を使えます。具体的な手順は、競合の不正なプロフィールを扱った記事で詳しく解説しています。

競合の不正なGoogleビジネスプロフィールを報告する手順をあわせてご覧ください。停止や非表示の問題が疑われる場合は、Googleマップから店舗が消えた？原因と復旧の手順も役に立ちます。

専門家や公的な窓口への相談も選択肢に

被害が大きい場合や、金銭の要求を受けた場合などは、プロフィール上の対処だけで解決しようとせず、専門家への相談をおすすめします。詐欺や不正アクセスの疑いがあるときは、警察の相談窓口などの公的な窓口も選択肢になります。

相談する際は、先に残しておいた記録が役に立ちます。いつ、何が起きたのかを、時系列で説明できるようにしておきましょう。

再発させないための運用ルールづくり

一度対処したら終わりではなく、同じことが起きにくい仕組みにしておくことが大切です。ここでは、小さな店舗でも続けやすいルールをまとめます。

完璧を目指す必要はありません。続けられる最小限のルールを決めて、守り続けることが、結果として最も強い対策になります。

権限の見直しを「イベント」に結びつける

スタッフの入れ替わり、業者の変更、店舗の移転や改装といったタイミングで、必ず権限の棚卸しを行う決まりにします。カレンダーの定例に入れておく方法も有効です。

特に、退職時の手続きの一部に「権限の削除」を入れておくと、残り続ける権限を防げます。このひと手間が、後の大きなトラブルを防ぐことにつながります。

アカウントの所有者を個人に寄せすぎない

プロフィールの権限が、特定のスタッフの個人アカウントだけに結びついていると、その人が辞めた瞬間に困ります。経営者が管理できるアカウントを、必ずオーナーに加えておいてください。

制作会社や外部の担当者に最初のオーナー確認を任せた場合も、後から自分が権限を持てているかを確認しておくことが重要です。権限が自社にあるかどうかは、意外と確認されていないポイントです。

規約に沿った運用が、結果として守りにもなる

Googleのガイドラインに沿った運用は、停止や非表示のリスクを減らす面でも重要です。店名にキーワードを詰め込む、実体のない住所で登録するといった行為は、不正を疑われる原因になります。

ガイドライン違反の予防は、Googleビジネスプロフィール違反｜停止を防ぐNG例と対処法で詳しく解説しています。自分の運用が原因でトラブルを招かないことも、立派なセキュリティ対策です。

専門家と組むときの権限の渡し方

外部の専門家に運用を任せる場合は、役割を最小限にとどめ、契約書に権限の返還の条件を明記しておきます。作業の履歴や報告の方法も、事前に決めておくと安心です。

信頼できる相手であっても、権限の管理は自社で握っておくのが原則です。私自身も支援の際は、お客様側のオーナー権限を残したうえで、必要な範囲の権限をお預かりする形を基本にしています。

よくある質問

Q1. ビジネスプロフィールが乗っ取られたかどうかは、どう判断しますか？

管理画面に入れなくなった、見覚えのないユーザーが権限者に入っている、表示の電話番号や営業時間が意図せず変わっている、といった状況が目安になります。ただし、ユーザーの修正提案による更新の場合もあるため、決めつけずに状況を切り分けてください。

まずは記録を残し、管理画面に入れるかどうかを確認するところから始めましょう。

Q2. 元スタッフがまだオーナーのままです。勝手に外してよいですか？

自分がオーナー権限を持っていれば、「ユーザーとアクセス権」から削除できます。ただし、元スタッフがメインオーナーの場合は扱いが異なる可能性があるため、最新のヘルプで手順を確認してください。

権限者の一覧と、それぞれの役割を確認してから対応してください。判断に迷う場合は、専門家にご相談ください。

Q3. 2段階認証は、どれから設定すればよいですか？

端末の指紋認証や顔認証を使うパスキー、またはGoogleからのメッセージによる確認が、導入しやすい方法です。あわせて、スマートフォンの紛失に備えてバックアップコードも保管しておきましょう。

より強い保護が必要な場合は、ハードウェアセキュリティキーの追加も検討できます。

Q4. 「プロフィールが停止される」というメールが届きました。どうすればよいですか？

メール内のリンクは押さずに、自分でGoogleビジネスプロフィールの管理画面にアクセスして、通知やプロフィールの状態を確認してください。パスワードや確認コードの入力を求めるメールには、特に注意が必要です。

不審なメールは、Gmailの「フィッシングを報告」から報告できます。

Q5. 競合が自分のプロフィールを書き換えている気がします。

まずは、変更の内容と日時を記録してください。ユーザーによる修正の提案が反映されている可能性があるため、管理画面から正しい情報に修正し、不正が疑われる場合は報告の手順を確認します。

状況が深刻な場合や、金銭の被害や脅迫などが絡む場合は、警察や弁護士などの専門家にご相談ください。

まずは無料で、自店のGoogleマップでの見え方を確認しませんか

不正な書き換えに早く気づくには、自店がGoogleマップ上でどう見えているかを、日頃から把握しておくことが欠かせません。access-meoでは、あなたのお店のGoogleマップ順位を無料でチェックできます。

現状を客観的に確認したうえで、権限の整理や情報の整備など、守りと集客の両面から運用を整えていきましょう。