Googleビジネスプロフィールまわりのセキュリティは、ここ数年で確かに厳しくなっています。中心にあるのは、ログインに使うGoogleアカウントの守り（2段階認証やパスキー）と、プロフィールを本当にお店が管理しているかの確かめ方（動画での確認や権限のルール）です。この記事では、Googleの公式ブログとGoogleビジネスプロフィール ヘルプで確認できた事実だけを整理し、そのうえで店舗が今のうちに済ませておきたい対策を手順でまとめました。確認できなかった話は「確認できなかった」と書いています。
公式情報で確認できる「厳しくなった」点
公式に確認できた変化を時期順に並べると、次のようになります。いずれもGoogle自身の発表かヘルプの記載です。
| 時期 | Googleの発表・ヘルプの内容 | お店への影響 |
|---|---|---|
| 2021年5月 | 設定が整ったアカウントを2段階認証に自動で登録していくと発表 | ログイン時にスマホでの確認が増える |
| 2021年10月 | 2021年末までに1億5,000万人を追加で自動登録する計画を発表 | 同上。管理者のスマホが鍵になる |
| 2023年10月 | 個人のGoogleアカウントでパスキーを標準の選択肢に | 指紋・顔・画面ロックでログインできる |
| 2026年10月時点のヘルプ | 確認方法はGoogleが決定、動画はライブ撮影で30秒以上、新しい管理者は約7日間一部操作不可 | 確認や権限の受け渡しに手間と日数がかかる |
Googleアカウントの2段階認証は自動で有効化が進んだ
2段階認証とは、パスワードに加えてスマートフォンへの通知やコードでも本人かどうかを確かめる仕組みです。Googleは2021年5月の公式ブログ「A simpler and safer future — without passwords」で、設定が整っているアカウントを自動で2段階認証に登録していくと発表しました。同年10月の「Making sign-in safer and more convenient」では、2021年末までに1億5,000万人を追加で自動登録し、200万人のYouTubeクリエイターには有効化を必須にする計画を示しています。ビジネスプロフィールを管理しているアカウントも、この流れの中にあります。
パスキーが標準のログイン方法になった
パスキーは、パスワードの代わりに指紋や顔認証、スマートフォンの画面ロックでログインする方法です。2023年10月10日の公式ブログで、個人のGoogleアカウントではパスキーが標準の選択肢になったと発表されました。Googleアカウントのヘルプでは、パスキーは他人に教えたり書き写したりできないため、偽のログイン画面にだまされる被害（フィッシング）を防ぎやすいと説明されています。
ビジネスプロフィールの確認と権限のルールが細かくなった
ビジネスプロフィールのヘルプでは、確認方法はGoogleが自動で決めて変更できないこと、動画での確認は事前に撮った動画が使えずライブ撮影で30秒以上必要なこと、ビジネス情報を変えると再確認を求められることがある点が書かれています。また、オーナーや管理者に追加されてから約7日間は、ほかのユーザーの削除やメインのオーナーの譲渡ができません。確認の具体的な手順はオーナー確認の方法で詳しく説明しています。
公式には確認できなかった話
ネット上では「ビジネスプロフィールは2段階認証がないと使えなくなった」という説明も見かけます。2026年10月時点のビジネスプロフィール ヘルプを確認したところ、プロフィールの利用に2段階認証を必須とする記載は見つかりませんでした。ヘルプの「Google ビジネス プロフィールを保護する」では、2段階認証の有効化は安全対策としてすすめられている、という位置づけです。
同じように「最近は必ず動画確認になる」という話も、ヘルプでは業種・地域・営業時間などで方法が変わると書かれているだけで、全店が動画になるとは書かれていません。ただ、必須かどうかに関係なく、2段階認証は設定しておくに越したことはありません。この記事の対策は、義務だからではなく、乗っ取られたときの手間と損失が大きいからすすめています。
店舗のプロフィールが狙われやすい3つの場面
ヘルプの注意書きを読むと、被害の入口はシステムの穴よりも、人とのやり取りにあることが分かります。お店で起きやすいのは次の3つです。
Googleを名乗る電話・メール・SMS
「Googleのサポートです。プロフィールが停止されそうなので確認コードを教えてください」「有料で上位に表示します」といった連絡です。ヘルプには、Googleはビジネスプロフィールで料金を請求することはなく、ワンタイムパスワードやPINを尋ねることもないと明記されています。コードを聞かれた時点で、相手はGoogleではないと判断してかまいません。
知らない人からのアクセス権のリクエスト
ビジネスプロフィールには、オーナーに「管理させてほしい」と申請する仕組みがあります。ヘルプでは、知らない相手からのアクセス申請は承認しないよう注意しています。心当たりのない申請が届いたら、承認せずに放っておくか拒否します。
辞めたスタッフや前の業者が権限を持ったまま
悪意がなくても、退職したスタッフのアカウントが乗っ取られれば、そこから店のプロフィールが操作されます。ヘルプでも、退職者の権限は削除し、管理に必要な人だけにアクセス権を与えるよう書かれています。これが次の「棚卸し」につながります。
対策1 管理者を棚卸しする
最初にやるのは、誰がプロフィールを触れる状態なのかを全部洗い出すことです。役割ごとにできることを知っておくと、誰を残し誰を外すか決めやすくなります。
| 役割 | できること（ヘルプの記載） | 持たせる相手の目安 |
|---|---|---|
| オーナー | ユーザーの追加・削除、情報の編集、プロフィールの削除まで | 代表者と店舗側のもう1人 |
| 管理者 | オーナーに近いが、ユーザーの追加・削除とプロフィールの削除はできない | スタッフ、代理店、制作会社 |
ステップ1｜「ユーザーとアクセス権」を開く
オーナーのアカウントでビジネスプロフィールを開き、「その他」から「ビジネス プロフィールの設定」→「ユーザーとアクセス権」へ進みます。ここに、オーナーと管理者の一覧が出ます。削除ボタンが出ない場合は、自分が管理者の権限しか持っていない可能性があります。
ステップ2｜一人ずつ「今も必要か」を確かめる
一覧のメールアドレスを見て、誰のものかを書き出します。分からないアドレス、退職者、契約が終わった業者、開業時に手伝ってくれた知人などが残っていないかを見ます。複数店舗を運営している場合は、店舗ごとに同じ確認をします。
ステップ3｜不要な人を外し、オーナーを店舗側で2人にする
不要なユーザーは選んで「ユーザーを削除」で外します。外された人が過去にした返信や投稿は残ります。オーナーは店舗側で2人にしておくと、1人のアカウントに入れなくなっても管理を続けられます。メインのオーナーを替える場合は、譲る相手を先にオーナーか管理者に追加しておく必要があり、追加から約7日間は譲渡できない点に注意してください。
対策2 Googleアカウントの守りを固める
プロフィールの権限を整理したら、オーナーと管理者それぞれのGoogleアカウントを固めます。どれもGoogleアカウントの「セキュリティとログイン」の画面から設定できます。
ステップ4｜2段階認証を有効にする
「Google にログインする方法」から2段階認証を有効にし、画面の案内に沿って進めます。2つ目の確認には、スマホに届く「Google からのメッセージ」、SMSや音声通話のコード、認証アプリ、セキュリティキーなどが使えます。Googleのヘルプでは、電話番号を乗っ取る手口（SIMスワップ）にも強い「Google からのメッセージ」がすすめられています。スマホをなくしたときのために、8桁のバックアップコードを印刷して、レジ裏ではなく事務所の金庫など人目につかない場所に保管しておきます。
ステップ5｜パスキーを作る
Googleアカウントのパスキーの設定画面で「パスキーを作成する」を選び、スマホやパソコンのロックを解除すれば作れます。複数の端末で使う場合は端末ごとに作ります。ヘルプでは、家族や他人と共有している端末では作らないよう注意されています。お店の共用タブレットやレジ用のパソコンにオーナーのパスキーを作るのは避けてください。
ステップ6｜再設定用の電話番号とメールアドレスを入れる
ログインできなくなったときにアカウントを取り戻す手段です。電話番号は、自分が持っていてSMSを受け取れる普段のスマホの番号にします。メールアドレスは、ログインに使うものとは別の、普段見ているアドレスにします。ヘルプによると、新しく追加した電話番号が信頼できる番号として扱われるまで最長で約7日かかることがあります。機種変更や番号の変更があったときは、早めに更新しておきます。
対策3 代理店・制作会社との権限の約束
MEO対策やサイト運用を外部に任せている場合は、権限の持ち方を契約の段階で決めておきます。Googleの「ビジネス プロフィールのサードパーティ ポリシー」に、業者が守るべきことがはっきり書かれています。
オーナーはお店、業者は管理者で入ってもらう
ポリシーでは、お客様（お店）が常にオーナー権限か共同オーナー権限を持っていることが求められ、業者がプロフィールを作った場合も、お店をオーナーに、業者自身を管理者に設定するよう書かれています。業者のアカウントだけがオーナーになっている状態は、ポリシーの考え方から外れています。
パスワードは渡さず、変更は知らせてもらう
同じポリシーでは、パスワードを共有しないこと、プロフィールへの変更はすべてお店に知らせること、お店の同意なく機能を変えたり止めたりしないことが定められています。契約終了の連絡を受けてから7営業日以内に、お店が業者のアカウントを外して単独で管理できるようにすることも求められています。ログイン情報を渡すのではなく管理者として招待しておけば、契約が終わったときも外すだけで済みます。
対策4 確認や再審査に備えて書類と看板をそろえる
セキュリティの強化は、お店側に「本当にこの店を運営している」と示す場面を増やします。再確認や停止の再審査を求められたときにすぐ出せるよう、平時に準備しておくと慌てずに済みます。停止や再審査で求められることがある書類として、ヘルプには事業登録の書類、営業許可証、納税の証明、事業用の公共料金（電気・電話・水道・インターネット）の請求書が挙げられています。書類の事業名と住所が、プロフィールと一致していることが条件です。
再審査の書類を出すフォームは、開いてから60分以内に送らないと添付されないとヘルプに書かれています。スキャンしたPDFや写真を、すぐ取り出せるフォルダにまとめておきましょう。あわせて、看板・店頭の表記・プロフィールの店名と住所をそろえておくと、動画での確認も通りやすくなります。
よくある失敗と対処
対策を始めてから気づくことの多い2つの失敗と、その対処です。
棚卸ししたら、お店のアカウントがオーナーではなかった
開業時の業者や知人のアカウントだけがオーナーで、お店は管理者、あるいは一覧に入っていなかった、という場面です。今のオーナーと連絡がつくなら、お店のアカウントをオーナーに追加してもらい、7日後にメインのオーナーを譲ってもらいます。連絡がつかない場合は、アクセス権のリクエストから進めます。手順は入れないときの戻し方にまとめています。
まとめて情報を直したら、確認や停止の対象になった
棚卸しのついでに店名・住所・カテゴリを一気に直すと、再確認を求められることがあります。変更は必要なものだけにし、一度に一つずつ進めます。停止になった場合は、同じ店のプロフィールを作り直さず、再審査を請求します。再審査は1回しか送れないため、書類をそろえてから出してください。停止の原因と解除の流れはMEOのペナルティと解除の手順で詳しく解説しています。
セキュリティ対策でよく聞かれること
Q. 2段階認証を設定しないとビジネスプロフィールは使えなくなりますか？
A. 2026年10月時点のヘルプでは、プロフィールの利用に必須とする記載は確認できませんでした。ただし、Googleアカウント全体では自動での有効化が進んでおり、ヘルプでも有効化がすすめられています。
Q. Googleから「確認コードを教えてください」と電話が来ました。どうすればよいですか？
A. 教えずに電話を切ってください。ヘルプには、Googleが確認コードやワンタイムパスワードを尋ねることはないと書かれています。
Q. オーナーは何人にしておくのがよいですか？
A. 店舗側で2人が目安です。1人だと、その人のアカウントに入れなくなったときに誰も管理できません。業者やスタッフは管理者にします。
Q. 2段階認証のコードはSMSでも大丈夫ですか？
A. 使えますが、Googleのヘルプでは電話番号を狙った攻撃の影響を受けやすいとされています。スマホに届く「Google からのメッセージ」やパスキーを主にし、SMSは予備にする形がおすすめです。
Q. スタッフを管理者に追加したのに、すぐにできない操作があります。
A. 追加から約7日間は、プロフィールの削除、ほかのユーザーの削除、メインのオーナーの譲渡ができない決まりです。日数がたてば使えるようになります。