Jグランツで（jGrants）不正利用を防ぐには？パスワード共有を避けるセキュリティ対策

なぜJグランツでパスワードを貸すと危険なのか？

規約上の禁止と、責任の所在が崩れる問題

まず意外に知られていない点として、GビズIDの利用規約では、IDやパスワード等のアカウント情報を他人に開示したり利用させたりすることが明確に禁じられています。さらに、1つのGビズIDアカウントを複数人で共用する行為も禁止事項に入っています。¹

この制限は、経営者が支援者に許可したかどうか以前に、サービス側が求める本人確認とログの整合性を守るためのものです。誰が、いつ、どの操作をしたかが曖昧になると、申請内容の責任が分からなくなり、事務局側も判断できません。結果として、差し戻しや追加確認が増え、かえって時間がかかります。

現場でよくあるのは、支援者が善意で数字や表現を直したのに、提出後になって根拠資料とズレが見つかり、説明が難しくなるケースです。ログインを含めて丸ごと任せると、経営者の意思決定と作業者の編集が混ざり、原因の切り分けができません。文章を整える支援と、本人として提出する操作は別物なので、最終版は代表者が承認した形にします。ヒアリングメモ、下書き、提出版を同じ場所に残しておけば、事務局から確認が入ったときも意図と根拠を説明しやすくなります。

なお、不正アクセス禁止法が問題になるかどうかは、アクセス管理者の許可の扱いなど具体的事情で判断が変わります。断定できる話ではありませんが、少なくとも公的な本人認証の仕組みを迂回しないほうが安全です。²

まず押さえたいGビズIDの仕組みと二要素認証

プライムとメンバーは二要素認証が前提

JグランツのログインはGビズIDの認証を使います。申請者が使うアカウントとして案内されているのは、原則としてプライムまたはメンバーです。³ 大事なのは、プライムとメンバーは、IDとパスワードだけで終わらない二要素認証の設計だという点です。ログイン時に、スマートフォン側での認証など二要素認証が求められます。⁴

つまり、パスワードを渡す運用は、そもそも仕組みと相性がよくありません。支援者がログインするたびに、経営者の端末に通知が飛び、認証操作が必要になります。ここで端末まで渡すようになると、リスクは一段上がります。ログイン情報の流出だけでなく、通知に紐づく別サービスまで巻き込むからです。

二要素認証があっても、安心し切れない点は残ります。例えば、偽サイトに誘導してIDやパスワードを入力させるフィッシングは、本人が入力してしまうと成立します。警察庁も、不正アクセスを防ぐには識別符号の適正管理や対策の強化が必要だと整理しています。²

ここまでで分かるのは、Jグランツのセキュリティは厳しすぎるというより、申請の本人性を担保するために必要な水準に合わせているということです。入力作業を減らしたいほど、認証と権限の設計を先に整えるほうが役立ちます。次に、現実の業務で無理なく進める分担の作り方を見ます。

社内で申請を進めるなら、メンバーアカウントで分担する

メンバーは職員向け、サービス利用も設定が必要

社内で手分けしたい場合は、代表者のプライムを共用せず、GビズIDメンバーを作って担当者に割り当てるのが基本です。利用規約上も、メンバーはプライムの法人等に所属する職員が対象とされています。¹

実務でつまずきやすいのは、メンバーを作っただけでは、利用できる行政サービスが設定されていない点です。担当者がJグランツに入れない場合、権限付与の設定漏れを疑ってください。利用可能な行政サービスを追加する、という権限設定が必要だとマニュアルに明記されています。⁵

職員がGビズIDを使って行った行為は、所属先の法人等の行為とみなされる、と利用規約で整理されています。¹ 従って、メンバーを増やすときは担当範囲を決め、提出前の確認項目だけは共通化しておくと安全です。担当者の異動や退職があったときは、使っていないメンバーを放置せず、権限の削除まで含めて運用します。アクセス制御を運用する側が識別符号を適正管理し、長期間使われない識別符号を削除する重要性は、警察庁の解説でも触れられています。²

最終の提出だけは代表者が握る

入力や添付の準備は担当者が進め、最後の提出や重要な確認だけ代表者が行う。こう分けると、現場の負担が下がりつつ、主体性と責任の所在が残ります。事業計画の文章についても、担当者が整えるのは構いませんが、事実関係の確認と意思決定は代表者が行う、という形にしておくと説明が通りやすいです。

さらに、メンバーの操作履歴を参照できる機能も案内されています。提出直前に変更点を確認したり、引き継ぎの際に作業の経緯を追ったりできるので、社内の確認ルールとして役立ちます。⁵

社外の支援者と組むなら、委任と代理申請を使う

代理申請は作成まで、提出は事業者が行う

社外の経営コンサルタントや行政書士などに手伝ってもらう場合、メンバーで外部の人をぶら下げる発想は避けたほうが無難です。メンバーは職員向けの位置づけであり、規約の前提とずれやすいからです。¹

その代わりに用意されているのが、GビズIDの委任です。委任申請の作成手続きが公開されており、委任者と受任者が合意した上で進めることが求められます。⁶¹

委任と受任の当事者は、いずれもGビズIDプライムの保有者として定義されています。¹ 外部支援者が受任者になる場合、まず相手がプライムを保有しているか、どの行政手続の範囲で委任するかを確認してください。委任は便利ですが、何でも委任できるという意味ではありません。委任の範囲、共有する資料の種類、連絡方法を最初に決めておくと、支援者がどこまで触れてよいかが明確になり、後で揉めにくいですし、事務局から確認が入ったときも説明しやすくなります。

Jグランツ側も、委任と組み合わせて使う代理申請機能が案内されています。ポイントは、代理申請ができるのは申請書の作成までで、提出は事業者側が行う運用になっていることです。支援者が下書きを作り、代表者が内容を確認して提出する流れは、セキュリティと主体性を両立しやすい形です。⁷

このやり方なら、支援者は入力や文章整理に集中でき、経営者は最後の判断に時間を使えます。支援者に共有するのは根拠資料と作業の前提だけにし、ログイン情報は共有しない形を保てます。申請書の完成度を上げたいのに、ログイン情報の扱いでつまずくという本末転倒も避けられます。

代理申請が使えない補助金もある

注意点もあります。代理申請機能は、すべての補助金で一律に使えるとは限りません。補助金ごとに事務局が代理申請の可否を設定できる、と明記されています。⁷

つまり、最初に確認すべきなのは、対象の補助金で代理申請が使えるかどうかです。使える場合は委任と代理申請で進め、使えない場合は社内のメンバー分担や、画面共有で代表者がログイン操作だけ行う形に寄せるほうが、安全面で筋が通ります。いずれの場合も、提出前の最終確認を誰が行うかだけは、曖昧にしないことが重要です。

不正利用を防ぐ、現場のセキュリティ対策

申請前に決めたい4つの運用ルール

仕組みを理解しても、運用が雑だと事故は起きます。特に、IDやパスワードと認証端末を渡さないことは、安全装置として例外を作らないほうがよい部分です。権限は必要な人に必要な範囲だけ渡し、共有フォルダも閲覧と編集の範囲を分けます。支援者に急かされたとしてもルールを崩すと、後から説明が難しくなります。

• プライムのIDやパスワードは誰にも渡さない。担当者にはメンバーを発行する。¹
• 認証に使うスマートフォンを貸し出さない。一時的にでも、本人認証の意味が崩れる。⁴
• 申請用データの置き場所を固定する。添付ファイルをメールでやり取りせず、アクセス権のある共有フォルダにまとめる。
• 提出前の確認観点をテンプレ化する。売上や投資額など、数字の根拠と一致しているかだけは毎回チェックする。

不審に気づいたときの初動

もし、身に覚えのないログイン通知が来た、申請内容が勝手に変わっていた、という違和感があれば、まず被害を広げないことが先です。具体的には、パスワードの変更と、委任や権限付与の見直しを優先してください。ログインや申請の復旧手続きは、GビズID側で案内されている流れに従うのが確実です。⁴⁶

同時に、外部の支援者が関わっている場合は、作業範囲と責任分担を文書で残します。口頭のすれ違いは、事務局対応の遅れや関係悪化に直結します。契約書が難しければ、メールでも構いません。誰が作成し、誰が確認し、誰が提出するかを一枚で残してください。

申請を安全に進めるためのチェックリスト

迷ったらこの3点だけ確認する

最後に、現場で迷ったときの確認ポイントを3つに絞ります。ここを押さえるだけで、Jグランツの不正利用リスクと申請トラブルの多くは避けられます。迷ったら、誰のアカウントで誰がログインするかを紙に書き出すと整理できます。

• 誰がログインしているかが説明できるか。説明できないなら、運用を見直す。¹
• 社内作業か社外支援かで、手段を分けているか。社内はメンバー、社外は委任と代理申請。¹⁷
• 提出は代表者が最終確認しているか。支援者の下書きでも、提出の意思決定は手元に残す。⁷

今週中に、担当者のメンバー発行、対象補助金の代理申請可否の確認、提出前チェックのひな形作りの3つだけ進めてください。近道としてのパスワード共有を選ばず、仕組みに沿って分担を作れば、申請は止まりにくくなり、トラブルも減り、外部支援も使いやすくなります。不安が残る場合は、GビズIDとJグランツの公式マニュアルを確認し、自己流の例外運用を作らないようにすると安心です。⁵³ 役割を先に決めておくほどやり直しが減るので、迷ったら何度でも原則に戻ってください。

1. GビズIDの利用規約。アカウント情報の第三者への開示禁止、アカウント共用の禁止、メンバーと委任の定義が示されている。デジタル庁 ↩

2. 不正アクセス行為の防止に関する解説資料。不正アクセスの考え方や、識別符号の適正管理、ワンタイムパスワード等の対策の方向性が整理されている。警察庁 ↩

3. Jグランツ事業者サイト用操作マニュアル。ログイン方法や申請の流れ、代理申請を含む操作手順が解説されている。Jグランツ（2025年12月13日） ↩

4. GビズIDアプリの操作マニュアル。プライムとメンバーのログインにはIDとパスワードに加えて二要素認証が必要で、アプリによる認証手順が説明されている。デジタル庁 ↩

5. GビズIDの組織と権限設定マニュアル。メンバー追加後は利用可能な行政サービスの設定が必要なこと、操作履歴の確認方法などが説明されている。デジタル庁 ↩

6. GビズIDの委任申請書作成ページ。委任の手続きの流れと、オンラインで申請できる条件が説明されている。デジタル庁 ↩

7. Jグランツの追加機能説明資料。代理申請機能の概要と、補助金ごとに事務局が代理申請の可否を設定できること、委任の設定が必要なことが示されている。Jグランツ ↩