小さな会社ほど知らずにやっている、AI時代に顧客情報を危険にさらす7つの設定——ちいさなお店も、自分でできるセキュリティから

30秒でわかる、この記事の要点

AI時代に怖いのは、AIそのものより、別々だった情報と操作がブラウザやAIエージェントで簡単につながったことです
銀行・会計用と、検索・SNS・AI用のブラウザ環境を分ける。AIに見せるフォルダを限定する。これだけでも被害範囲は小さくできます
高価な製品を入れる前に、情報の置き場所・権限・AIとの接続・退職時の停止を見える化してください

一つひとつは、珍しい話ではありません

ブラウザにパスワードもカード番号も保存している
スタッフは個人契約のAIを使っている
ホームページのお問い合わせはWordPressに残ったまま
CRMは退職した人もログインできる

私たちは日頃、ローカルビジネスの経営者の集客と売上アップを、現場を含めて伴走しています。

28年、多くの新規プロジェクトを見てきて、一担当者の判断で、たとえば小さな商標やドメインの確保をせずに訴えられたり、小さな点でもその重要性が分からないまま、大きな穴に広がったりすることがあります。

便利だから使っている。仕事を速くするために設定した。担当者に任せていた。

でも、それぞれをつなげて見ると、社長のパソコン一台、スタッフのアカウント一つから、顧客情報、会計、メール、ホームページ、SNSまでたどれる状態になっていることがあります。

AI時代に怖いのは、AIそのものだけではありません。これまで別々だった情報と操作が、ブラウザやAIエージェントを通じて、簡単につながるようになったことです。

そしてそのリスク回避は、シリコンバレーでも正解が見つけられていないという現状です。だから「便利だから全部つなぐ」という使い方には慎重です。

この記事では、ローカルビジネスの経営者が、知らないうちに作ってしまいやすい危険な状態と、担当者に何を確認すればよいかを整理します。ローカルビジネスは、1つのパソコンですべてをしているケースもあります。後で後悔しないように、基本から確認してみてください。

1．ブラウザに保存しているのは、パスワードだけではない

ブラウザには、次の情報が残ります。

IDとパスワード
クレジットカード番号
住所や電話番号の自動入力情報
ログインしたままの状態を保つCookie
閲覧履歴、ダウンロード履歴
Google Driveやメールなどの接続状態
インストールした拡張機能

つまり、社長のパソコンでブラウザが乗っ取られたり、悪意のある拡張機能を入れたりすると、一つのサービスだけの問題で終わらない可能性があります。

特に危ないのが、同じブラウザで次の操作を全部している状態です。

ネット銀行を開く
会計ソフトを開く
クレジットカードを管理する
メールを読む
SNSや広告を管理する
AIにWeb操作を任せる
出所の分からないサイトや添付ファイルを開く

経営者が最初にすることは、パスワードを難しくすることだけではありません。銀行・会計用と、検索・SNS・AI用のブラウザ環境を分けることです。

可能なら端末を分ける。難しければ、少なくともブラウザプロフィールを分け、銀行・会計側には不要な拡張機能とAI連携を入れない。この線引きだけでも、事故が起きたときの被害範囲を小さくできます。

2．スタッフの「個人契約AI」が会社の仕事に使われている

小さな会社では、スタッフが自分のAIアカウントを仕事に使うことがあります。

会社が契約していないから、自分の無料アカウントを使う。自宅でも続きをしたいから、個人アカウントへ資料を入れる。議事録を早く作りたいから、お客様との会話をそのまま貼り付ける。

本人に悪気はありません。でも会社側から見ると、次のことが分かりません。

どのAIを使っているのか
入力内容が学習等に利用される設定なのか
会話履歴がどれくらい残るのか
どの国・地域でデータが処理・保存されるのか
退職後も本人が履歴を見られるのか
誰と共有されているのか
AIに接続したメールやドライブは何か

個人情報保護委員会は、個人データを生成AIへ入力する場合、利用目的の範囲内か、提供会社が機械学習など回答生成以外の目的に利用しないかを確認するよう注意喚起しています。

問題は「無料版だから危険、有料版なら安全」と単純に分けられないことです。会社として確認すべきなのは、契約プラン、データ利用条件、保存期間、管理者機能、退職時の停止方法です。

会社で使うAIは一覧にし、公開情報、社内情報、個人情報のどこまで入力できるかを決めておく必要があります。

3．WordPressのフォームに、お客様の相談内容が残っている

ホームページのフォームから届いた内容は、メールだけに送られるとは限りません。使用しているフォームやプラグインの設定によっては、WordPressのデータベースや管理画面にも保存されます。

名前、電話番号、メールアドレス。希望日時。健康や家族の相談。法律、相続、借金、離婚の相談。住宅購入、年収、会社経営の悩み。業種によっては、お問い合わせ内容だけで非常に重要な個人情報になります。

ところが、経営者は「お問い合わせは担当者のメールに届いているだけ」と思っていることがあります。まず確認すべきなのは、次の5点です。

フォーム送信内容は、どこに保存されるか
WordPress管理画面に何年分残っているか
誰が管理画面を見られるか
制作会社や退職者のアカウントが残っていないか
保存期間を過ぎた情報を削除できるか

WordPress公式も、WordPress本体、テーマ、プラグインを最新に保ち、不要なプラグインを削除し、定期的なバックアップと復元可能な状態を持つことを推奨しています。

フォームを置くだけで集客はできます。しかし、集めた情報をどう守り、いつ削除するかまで決めて初めて、会社の仕組みになります。

日本で広く使われてきた「MW WP Form」は、名前とバージョンを確認する

ここは、一般論だけでは足りません。

日本のホームページ制作で広く使われてきたフォームプラグインに「MW WP Form」があります。WordPress公式ページでは、2026年10月時点で20万件以上の有効インストールが表示されています。

確認すべき理由は、利用数が多いから危険、という単純な話ではありません。公式は現在、必要最低限の保守リリースのみを行う方針を示しています。開発元の案内では、脆弱性対応を除く開発を停止し、新機能の追加やWordPress更新ごとの動作確認は行わないため、他のプラグインへの乗り換えも検討するよう案内しています。

さらに2026年には、ファイルアップロード処理のパス検証、問い合わせデータ画面の出力処理、URLのクエリ文字列から投稿情報を参照する処理など、複数のセキュリティ修正が続きました。2026年10月20日時点で、WordPress公式ページに表示されている最新版は5.1.8です。

MW WP Formを使っている会社は、次の順番で確認してください。

WordPress管理画面で、プラグイン名と現在のバージョンを確認する
MW WP Formが5.1.8未満なら、先にバックアップを取り、制作会社と動作確認のうえ更新する
ファイル送信項目を使っているか確認する
管理画面に保存された過去の問い合わせ情報と添付ファイルを確認する
制作会社、退職者、旧担当者の管理者権限を確認する
更新後に、送信、自動返信、確認画面、添付、保存、通知をテストする
今後も使い続けるか、保守が継続する別方式へ移行するか期限を決める

特にファイル送信機能は注意が必要です。公式は、今後の5.2でファイル送信用ショートコードを削除する予定も案内しています。

また、Contact Form 7など別のフォームを使っていても安心とは限りません。本体だけでなく、問い合わせ保存、決済、CRM連携、PDF生成、ファイル添付などの追加プラグインは別製品です。それぞれの名称、バージョン、更新状況、権限、保存場所を確認する必要があります。

経営者が制作会社に聞く質問は、これです。

「うちのフォームは何という製品で、何版ですか」
「問い合わせ内容は、メール以外のどこに残りますか」
「追加プラグインは何を使っていますか」
「最新版へ更新した後、誰が送信テストをしましたか」
「このフォームを今後も使い続ける判断ですか」

この5つに、その場で答えられない場合は、一度棚卸しをした方がよい状態です。

4．CRMに入れれば安全、ではない

CRMは顧客情報をまとめ、対応履歴を共有するために便利です。ただし、クラウドサービスを使っているだけで安全になるわけではありません。危険なのは、設定と運用です。

全員がすべての顧客情報を見られる
管理者が誰か分からない
共有IDを全員で使っている
多要素認証が設定されていない
顧客データを誰でもCSV出力できる
外部業者へ渡した権限が残っている
退職者アカウントが停止されていない
操作ログを確認していない
CRMとつないだAIが、全顧客データを参照できる
解約後にデータを取り出せるか、削除されるか分からない

個人情報保護委員会のガイドラインでは、個人データを扱うシステムについて、担当者と取り扱う範囲を限定するアクセス制御、利用者の識別・認証、不正アクセス防止などが求められています。

経営者がCRM担当者に聞くべき質問は、「使いやすいですか」だけではありません。

「誰が、どの顧客を見られるのか」
「誰が、まとめて出力できるのか」
「退職した日に止められるのか」
「何かあったとき、誰が何をしたか分かるのか」

ここです。

5．AIに会社のドライブ全体を見せている

AIエージェントや検索AIは、メール、カレンダー、クラウドストレージ、CRMなどと接続できるようになっています。便利です。

ただし、会社のドライブ全体を接続すると、AIが仕事に必要のない情報まで参照できる可能性があります。

たとえば、記事作成AIに必要なのは、公開済みの記事、サービス資料、承認済みの事例です。給与台帳、顧客名簿、契約書、カード明細まで見せる必要はありません。

AI用に、次のような専用フォルダを作ります。

06_AI作業用
├─ 01_公開済み会社情報
├─ 02_承認済みサービス資料
├─ 03_匿名化した事例
├─ 04_作業中
└─ 05_人の確認済み

AIにはこのフォルダだけを見せます。顧客情報、会計、契約、給与、医療・法律相談などは別の場所に置き、接続しません。

英国NCSCなどの公的機関も、AIエージェントにはプロンプトインジェクション等の既知のリスクがあり、最初は低リスクの仕事から小さく導入するよう勧めています。

6．バックアップしているつもりで、同期しかしていない

Google Drive、OneDrive、Dropboxなどに保存しているから、バックアップは大丈夫。そう考える会社があります。

しかし、同期とバックアップは同じではありません。

誤って消したファイルが同期される
壊れたデータが上書きされる
ランサムウェアで暗号化されたファイルが同期される
アカウントに入れなくなり、同じクラウド上のデータも取り出せない

必要なのは、別の認証、別の保存先、複数世代のバックアップです。

さらに大事なのが復元テストです。バックアップの表示が「成功」になっていても、戻せなければ意味がありません。四半期に一度、顧客台帳の一部、会計データ、WordPress、主要な業務ファイルを実際に戻せるか確認します。

7．制作会社や外部業者のアカウントが残っている

小さな会社では、ホームページ、広告、SNS、予約システム、CRMを外部へ依頼することがあります。外部業者を使うこと自体が問題ではありません。問題は、仕事が終わっても権限が残ることです。

WordPress管理者
サーバー・ドメイン
Googleビジネスプロフィール
Google Analytics、Search Console、広告
LINE公式アカウント
SNS
CRM
AIサービス
Canvaなどの制作ツール

会社が所有者なのか、業者の個人アカウントにぶら下がっているのかを確認してください。

契約終了時には、成果物を受け取るだけでは足りません。管理者権限、復旧用メール、請求先、データの保存場所、バックアップ、連携アプリまで引き継ぐ必要があります。

小さな会社のAI・顧客情報セキュリティチェックシート

判定は「はい／未確認／要修正」で記録してください。「未確認」は、安全という意味ではありません。確認する担当者と期限を決めます。

A．社長・経理のブラウザ

銀行・会計用と、検索・SNS・AI用のブラウザ環境を分けている
銀行・会計側には不要な拡張機能を入れていない
カード番号のブラウザ保存を棚卸しした
重要サービスは多要素認証またはパスキーを設定している
パスワードを複数サービスで使い回していない
ログイン中の端末・セッションを定期的に確認している
経理PCでは個人メール、SNS、無料AIを使っていない

B．会社で使うAI

会社で許可するAIサービスと契約プランを一覧化した
個人契約・無料版AIの業務利用状況を確認した
入力内容の学習利用、保存期間、削除方法を確認した
顧客情報、会計、契約、認証情報の入力禁止を決めた
AIが接続できるメール、ドライブ、CRMを把握している
AIが閲覧できる場所を専用フォルダに限定した
公開、送信、購入、削除、顧客情報更新には人の承認がある
退職者のAIアカウントと連携を停止できる

C．WordPress・お問い合わせフォーム

使用中のフォーム製品名、バージョン、追加プラグインを把握している
MW WP Formを使っている場合、5.1.8以上か確認した
MW WP Formのファイル送信項目と今後の移行方針を確認した
フォーム送信内容が保存される場所を把握している
WordPress内に残る問い合わせ情報の保存期間を決めた
不要になった個人情報を削除できる
WordPress本体、テーマ、プラグイン、PHPを更新している
未使用のテーマ・プラグインを削除した
管理者を必要最小限にしている
制作会社、退職者、旧担当者のアカウントを停止した
管理画面に多要素認証または同等の対策がある
サイトとデータベースを別系統へバックアップしている
実際に復元できることを確認した

D．CRM・予約・顧客管理

CRMの契約者と管理責任者が会社側にいる
スタッフごとに個別アカウントを発行している
担当者ごとに見られる顧客・項目・操作を制限している
CSVの一括出力権限を限定している
多要素認証を必須にしている
操作ログ、ログイン履歴、外部連携を確認できる
退職・異動・委託終了当日に権限を停止する手順がある
AI連携が参照する顧客情報の範囲を限定している
解約時のデータ出力、返却、削除条件を確認した
サービス停止時の代替手順とバックアップがある

E．保存場所・バックアップ

会社の正式な保存場所を一つ決めた
顧客、会計、契約、制作物、AI作業物を分けている
個人のGoogle Drive、iCloud、USBだけに会社情報を置いていない
クラウド同期とは別にバックアップを取得している
過去の状態へ戻せる複数世代を保存している
バックアップ用アカウントを日常用と分けている
四半期に一度、復元テストをしている
保存期限を過ぎた顧客情報の削除ルールがある

F．外部業者・退職者

WordPress、ドメイン、サーバーの所有者が会社になっている
GBP、SNS、広告、LINE、CRMの管理者を把握している
外部業者の権限に対象と終了日を設定している
契約終了時のデータ返却と削除を確認している
退職者のメール、クラウド、AI、SNSを当日停止している
復旧用メール・電話番号が退職者や業者のものになっていない

管理欄

確認対象	担当者	確認日	状態	修正期限	完了確認者
社長・経理ブラウザ			未確認／要修正／完了
AIサービス			未確認／要修正／完了
WordPress・フォーム			未確認／要修正／完了
CRM・予約管理			未確認／要修正／完了
保存・バックアップ			未確認／要修正／完了
外部業者・退職者			未確認／要修正／完了

まとめ

AIを使うな、クラウドを使うな、WordPressやCRMは危ない、という話ではありません。便利な道具ほど、何とつながっているかを経営者が知っておく必要がある、という話です。

社長のPCに、銀行、カード、メール、会計、顧客情報、SNS、AIを全部集めない
スタッフ個人のAIを、会社の情報保管場所にしない
WordPressに届いたお問い合わせを放置しない
CRMは、見られる人と出力できる人を分ける
AIに見せるフォルダを限定する
バックアップは、実際に戻して確認する

小さな会社は、担当者が少ないからこそ、一人のアカウントに権限が集まりやすい。

高価なセキュリティ製品を入れる前に、まず情報の置き場所、権限、AIとの接続、退職時の停止を見える化してください。それだけでも、会社が知らずに抱えているリスクはかなり見つけやすくなります。

本記事は一般的な実務上の確認事項です。医療、士業、決済、マイナンバー、要配慮個人情報を扱う場合は、業法、契約、個人情報保護法、委託先管理の要件を個別に確認してください。