脆弱性診断の結果を相互フォローした企業にDMで送る——「営業DMお断り」で捨てられるセキュリティの忠告と、送る側の作法（Kurage Security Check・21社の集計つき）
この記事は バイブコーディング的仕事ブログ（VWork Blog）へ移りました。 最新版はこちらです → https://exbridge.jp/vibeblog/2026-10-28-zeijakusei-shindan-sougo-follow-dm.html
名古屋でAIシステムの開発をしている小嶋です。Xで相互フォローになった企業の公式サイトを、URLを入れるだけで外から見える範囲を診断する「Kurage Security Check」にかけ、見つかったことの概要をDMで送っています。
先日、ある会社の公式アカウントから「公式アカウントへの営業や勧誘のDMはお断りします」という趣旨の返事が来ました。送ったのは、古い部品が残っていることと、万一のときに被害を止める設定が入っていないことの、2点の概要です。
この記事は、その返事をもらって考えたことのまとめです。相手の会社を責める記事ではありません。企業の公式アカウントを運用している人と、その上にいる経営者に向けて書きます。
結論：相互フォローはDMの許可で、届いたのは営業ではなく診断の事実。営業DMと同じ箱に入れて捨てると、損をするのは受け取った側
先に結論を書きます。
- Xは、相互フォローになるとDMが開く仕組みです。相互フォローは「DMを受け取る」と同じ意味です。
- 届いたのは売り文句ではなく、こちらの機材と時間を使って実測した診断の結果です。頼んでいなくても、事実は事実です。
- 営業DMを無視したときの損失はゼロです。セキュリティの忠告を無視したときの損失は、事故が起きれば会社の存続に関わります。桁が違うものを同じ箱に入れて捨てるのは、受け取った側の損です。
- サイトの穴は自社だけの問題ではなく、客・取引先・世間に向いた穴です。
- ただし、送る側にも作法があります。あおらない、外から見える範囲と明記する、直し方と料金は求められてから。本物の忠告と詐欺DMは、ここで見分けられます。
順に書きます。
相互フォローは、DMの許可
Xの仕様として、相互フォローになるとDMが開きます。逆に言えば、DMを受け取りたくなければ、相互フォローしないか、DMの受信設定を閉じればよい。どちらも相手の側で選べます。
相互フォローにしておいて「DMは送るな」と言うのは、玄関の鍵を開けておいて「入るな」と言うのに似ています。入られて怒るなら、鍵を閉めるのが先です。
企業公式アカウント同士の相互フォローには「仲間のあいさつ」の文化があって、営業の場ではないという暗黙の了解があるのは知っています。ただ、それは礼儀の話であって、仕組みの話ではありません。仕組みの上では、相互フォローはDMの許可です。
届いたのは営業ではなく、実測した診断の事実
営業DMは、相手の都合で書かれた売り文句です。開かなければ何も起きませんし、開いても失うのは数秒です。
こちらが送ったのは、相手の公式サイトを診断システムにかけて出た結果の概要です。何を見ているかは、次の4つです。
- 通信の暗号化（https・証明書・必ずhttpsで開く指示）
- ブラウザへの指示（読み込んでよいスクリプトの指定、枠の中への埋め込み禁止など）
- 版の見えすぎと古い部品（古いPHP、古いWordPress、古いjQueryなど）
- ページと入力欄（入力欄の送り先、httpsの中のhttp読み込み、連絡先の公開など）
攻撃に近い検査はしません。誰でも外から見える範囲だけを、決まった規則で判定します。生成AIは使っていません。
つまり、相手が頼めばお金を払う種類の情報を、見返りなしで渡しています。これを「営業DM」の箱に入れるのは、郵便受けに入っていた健康診断の結果を、チラシと一緒に捨てるのと同じです。
無視したときの損失が、営業DMとセキュリティの忠告では桁が違う
受け取る側の損得を並べます。
- 営業DMを無視したときの損失：ゼロ。
- セキュリティの忠告を無視したときの損失：何も起きなければゼロ。事故が起きれば、調査の費用、個人情報保護法にもとづく報告、取引先への説明、賠償、取引の停止。中小企業は、この一度の事故で会社がなくなることがあります。
片方はゼロ、片方は会社の存続。この2つを「DMだから」で同じに扱うのは、火災報知器の音と保険の勧誘電話を、同じ「うるさい」で片づけるのと同じです。保険の電話は切ればいい。火災報知器が鳴ったら、まず火元を見ます。
サイトの穴は、客と取引先に向いた穴
セキュリティの話を「自社の損得」だけで考えると、「うちは小さいから狙われない」で終わります。ここが違います。
- 改ざんされたサイトは、訪れた人にウイルスを配ります。被害を受けるのは自社ではなく、客です。
- 乗っ取られたサーバーは、取引先への攻撃の踏み台になります。取引先から見れば、加害者は御社です。
- 漏れた顧客情報は、本人に戻りません。
自分のサイトの穴は、自分だけの問題ではなく、客・取引先・世間に向いた穴です。熱があるのにマスクをせずに出歩く人に「マスクをしたほうがいい」と言うのは、本人のためではなく周りのためです。隣の家から煙が出ていれば「煙が出ているよ」と声をかける。自分の家の火は、隣に燃え移るからです。声をかけられて「営業か」と怒る人はいません。
21社を診断して分かったこと：ほとんどの会社に同じ穴がある
2026年10月24日に、名古屋・愛知を中心とした中小企業21社の公式サイトを、同じ診断にかけました。社名は出しません。集計だけ書きます。
| 項目 | 21社のうち |
|---|---|
| 読み込んでよいスクリプトの指定（CSP）がある | 0社 |
| 必ずhttpsで開く指示（HSTS）がある | 2社 |
| 枠の中への埋め込みを禁止している | 2社 |
| 古いjQueryが残っている | 9社 |
| WordPressを使っている | 14社 |
読み込んでよいスクリプトの指定がある会社は、21社のうち0社でした。これは、プラグインや古い部品の穴から入り込んだスクリプトを止める最後の備えで、無いと、入力欄の中身の抜き取りやウイルスの配布に使われます。
つまり、DMで指摘した内容は「御社だけが特別に弱い」話ではなく、ほとんどの会社に共通の穴です。だからこそ、指摘されたときに「うちを狙って営業してきた」と受け取る必要はありません。同じ穴が、同じ地域のほとんどの会社にあります。
21社の診断の集計は、前に詳しく書きました。
ホームページの集客とセキュリティを21社で測った記録 https://exbridge.jp/vibeblog/2026-10-24-homepage-shukyaku-security-21sha.html#ref=vibeblog-sougo-dm
それでも「営業DMお断り」になる理由は分かる
受け取る側の事情も書いておきます。ここを飛ばすと、公式アカウントの担当者には届きません。
- 「御社のサイトに脆弱性があります」というDMは、詐欺の定番の入り口です。不安をあおってURLを開かせ、偽のログイン画面に誘導したり、料金を取ったりする手口を、担当者は何度も見ています。
- 公式アカウントの中の人は、採用担当や営業担当であることが多く、サイトの技術的な話を判断する立場にありません。判断できない話を持ち込まれると「困る」が「迷惑」に変わります。
- 相互フォローは「仲間のあいさつ」の文化で、そこに売り込みが混ざると、仕組みの話ではなく礼儀の話として怒りが出ます。
担当者の立場で「サイトの問題を指摘するDMは開かない」と決めているのは、担当者としては合理的な自衛です。問題は、その自衛が会社の損になっている場合があることで、それに気づけるのは経営者だけです。
本物の忠告と詐欺DMの見分け方
では、担当者はどう見分ければよいか。送る側の作法を裏返すと、そのまま見分け方になります。
- URLを開かせない。 本物の忠告は、リンクを踏ませる必要がありません。「詳しくはこちら」のURLだけのDMは、開かないでよい。
- 送り主が名乗る。 社名、人名、自社のサイト、Xのアカウントに投稿の履歴がある。名乗らないDMは捨ててよい。
- 外から見える範囲と明記する。 「サーバーの中を見た」「侵入できた」と言うDMは、本物なら犯罪です。
- 料金を書かない。 初回に料金が書いてあれば、それは営業です。本物の忠告は、求められてから出します。
- 自分で確かめられる。 書いてあることは、サイトの制作会社に転送して「本当か」と聞けば分かります。確かめさせないDMは、確かめられたら困るDMです。
この5つを満たすDMは、開いて失うものがありません。満たさないDMは、開かなくてよい。「DMかどうか」ではなく「この5つを満たすか」で分ければ、営業DMも詐欺DMも捨てたまま、本物の忠告だけが残ります。
当社が送っているDMは、この5つに合わせて書いています。初回は「どの分野に、早めに対策されたほうがよさそうな点があるか」の概要だけで、どの部品か、どの設定か、直し方、結果のページへのリンクは書きません。詳しい内容と直す場合の費用は、相手が関心を示してから一緒に渡します。
受け取ったらやること：判断しなくていい、転送するだけ
担当者が判断する必要はありません。やることは一つです。
- サイトの制作会社か、社内でサイトを任せている人に、DMをそのまま転送して「本当ですか」と聞く。
制作会社が「本当です」と言えば直してもらう。「嘘です」と言えば捨てる。それだけです。転送に1分、返事を待つだけで、会社の存続に関わる穴が一つ埋まるか、何も起きないかが決まります。営業DMにはこの手順は要りません。だから、見分ける手間を惜しむ理由がありません。
自社のサイトを自分で確かめたい方は、URLを入れるだけで同じ診断ができます。
Kurage Security Check（デモ） https://proto.exbridge.jp/kseccheck/#ref=vibeblog-sougo-dm
まとめ
- 相互フォローはDMの許可。受け取りたくなければ、相互フォローしないか受信設定を閉じる。
- 届いたのは営業ではなく、実測した診断の事実。頼んでいなくても事実は事実。
- 営業DMを無視する損はゼロ、セキュリティの忠告を無視する損は会社の存続。同じ箱に入れない。
- サイトの穴は客と取引先に向いた穴。隣の家の火事と同じで、声をかけられて怒るのは筋が違う。
- 本物の忠告は、URLを開かせない・名乗る・外から見える範囲と明記する・料金を書かない・確かめさせる。この5つで見分ける。
- 受け取ったら、制作会社に転送して「本当ですか」と聞くだけ。
送る側としては、これからも同じ作法で送ります。あおらず、外から見える範囲と明記し、直し方と料金は求められてから。それでも「営業お断り」と返ってきたら、その会社にはもう送りません。ただ、同じ穴は隣の会社にもあるので、隣の会社には送ります。
作っている人
診断の結果を受け取って、何を直すかを一緒に決めたい名古屋の会社には、AI-IT顧問でお手伝いしています。
AI-IT顧問 https://exbridge.jp/ai-it-komon.html#ref=vibeblog-sougo-dm
Kurage Security Check（導入版） https://kappstore.exbridge.jp/app.php?id=a96e95e176b48800#ref=vibeblog-sougo-dm
よくある質問
相互フォローした相手から営業DMが来るのは仕方ないのですか
Xの仕組みとして、相互フォローになるとDMが開きます。受け取りたくなければ、相互フォローにしないか、DMの受信設定を閉じられます。開けたまま「送るな」と言うより、閉じるほうが確実です。
セキュリティの忠告と詐欺DMは、どう見分ければよいですか
URLを開かせない、送り主が名乗っている、外から見える範囲と明記している、初回に料金を書いていない、自分で確かめられる。この5つを満たすDMは、開いて失うものがありません。満たさないDMは開かなくてよいです。
届いた忠告が本当かどうか、担当者は判断できません
判断しなくてよいです。サイトの制作会社か、社内でサイトを任せている人に、そのまま転送して「本当ですか」と聞いてください。本当なら直してもらい、嘘なら捨てる。それだけです。
小さな会社のサイトは狙われないのでは
21社を診断した集計では、読み込んでよいスクリプトの指定がある会社は0社、古い部品が残っている会社は9社でした。攻撃は会社を選んで狙うより、同じ穴のあるサイトをまとめて自動で探します。小さいから狙われないのではなく、小さい会社ほど同じ穴が残っています。
自社のサイトを自分で確かめられますか
確かめられます。Kurage Security Check のデモに公式サイトのURLを入れると、外から見える範囲の診断結果が出ます。攻撃に近い検査はしません。