セキュリティへの取り組み
SECURITY
セキュリティへの取り組み
ラクリプ（運営：株式会社ラクダ）は、お客様からお預かりする情報を適切に保護するため、以下の対策を実施しています。対策は外部機関による診断と社内の点検により、継続的に見直しています。
毎月
第三者機関による
脆弱性診断
毎日
暗号化したバックアップを
別の場所に保管
256bit
ログイン情報を守る
AES 暗号化
Lv.1
決済会社 Stripe 社の
カード業界の認証（PCI DSS）
POLICY
セキュリティ基本方針
ラクリプは、店舗様の大切な情報をお預かりするサービスとして、次の方針にもとづいて情報の保護に取り組みます。
必要な情報だけをお預かりします
サービスに必要のない情報は取得せず、不要になった情報は削除します。
何重にも守ります
ひとつの対策に頼らず、ログイン・通信・保存・サーバーの各所で対策を重ねます。
新しい脅威に合わせて見直します
攻撃の手口は日々変わります。最新の情報を確認し、対策を更新し続けます。
外部の目でも確かめます
社内の点検に加え、第三者機関の診断を受け、客観的に確認します。
AI を安全に使います
AI に送る情報は必要な範囲にとどめ、学習に使われない形で利用します。
誠実にご説明します
取り組みはこのページで公開し、万一の際も速やかにお知らせします。
01
LOGIN
ログインの保護
不正なログインを防ぐための対策です。
2段階認証
会員のログインに 2 段階認証を用意しています。設定すると、パスワードに加えて確認コードがないとログインできません。
ログイン試行回数の制限
パスワードを何度も試すような攻撃を防ぐため、ログインの試行回数に上限を設けています。
管理権限の最小化
運営側の管理画面に入れるのは必要な担当者だけです。権限は定期的に見直し、関わらなくなった人はすぐに外します。
社員へのセキュリティ教育
社員向けの標準的なセキュリティ教育を繰り返し行い、不審なメールやリモート操作の依頼などに、全員が同じ手順で対応できるようにしています。
サーバー管理画面の2段階認証
サーバーを管理する画面にも 2 段階認証を設定し、パスワードだけでは入れないようにしています。
ログイン情報の暗号化
ラクリプのクラウドアプリで使う RMS の ID やパスワードは、AES-256-GCM 方式で暗号化して保存しています。登録済みのパスワードは画面に表示せず、従業員の方にも見えません。
02
PAYMENT
決済情報の取り扱い
お支払いは、決済代行会社 Stripe 社のシステムで処理しています。
カード情報を保持しません
入力されたカード番号は Stripe 社が直接受け取って処理します。ラクリプのサーバーには届かず、保存もしません。
PCI DSS Level 1カード業界の国際基準で、最も厳しい認証レベル
Stripe 社は認定監査人の評価を受け、この認証を取得しています。会社の管理体制についても、外部の監査（SOC 1・SOC 2）を定期的に受けています。
Stripe 社の決済を使っている企業の例
- トヨタ
- ANA X
- Salesforce
- Slack
- GitHub
出典：Stripe 社の公開情報（docs.stripe.com/security・stripe.com/jp/customers、2026年11月確認）。各社とラクリプとの関係を示すものではありません。
03
AI & PRIVACY
AI 利用時の
個人情報の保護
AI を使う機能でも、お預かりした情報を適切に扱っています。
AI の学習への不使用
利用している AI は、送った内容を学習に使わない設定・契約で使っています。
個人を特定できない形で保存
クーポンのアプリでは、名・町名以下の住所・郵便番号・電話番号は保存しません。保存するのは、クーポンの送信に必要な姓・都道府県と、楽天市場が発行するマスクメールアドレスなどに限り、個人を特定できない形にしています。マスクメールアドレスは楽天市場を通してだけ届く転送用のアドレスで、お客様の本当のメールアドレスではありません。
プレゼント用 CSV はサーバーに残しません
当選者の CSV は、その都度 RMS から取得してブラウザへお渡しします。個人情報をサーバーに保存しません。
04
DATA
データの保存と削除
不要なデータは保持せず、必要なデータは失わないよう管理しています。
バックアップ
データのバックアップを毎日取得し、暗号化したうえでサーバーとは別の場所に保管しています。
不要な機能の停止
使わなくなった機能・画面・ファイルは、動いていなくても止めるか片付けます。攻撃の入口になりうる物を残さないためです。
認証情報の管理
システムどうしをつなぐ鍵やパスワードは、外から見える場所に置かず、画面や記録にも出さないようにしています。
05
SERVER
サーバーと通信の保護
外部からの攻撃に備えた対策です。
通信の暗号化
ラクリプとの通信は、すべて HTTPS（鍵マークの通信）で暗号化しています。
WAF（Web アプリケーションファイアウォール）
データベースへの不正な命令の送り込み（SQL インジェクション）、画面への不正なスクリプトの埋め込み（XSS）、サーバーを操ろうとする命令などを、自動で検知して止めています。
海外からの管理画面へのアクセス制限
運営側の管理画面には、海外からアクセスできないようにしています。
06
REVIEW
点検と見直し
外部機関による診断と社内の点検により、対策を継続的に見直しています。
毎月
第三者機関の脆弱性診断
外部の第三者機関によるセキュリティ・脆弱性診断を毎月受けています。
変更のたび＋定期
攻撃者の視点による点検
最先端の AI を使ったコードの点検と、攻撃する側の目線で弱いところを探す専用のソフトで、サイトを定期的に調べています。機能を変えたときにも確かめます。
随時
改ざん検知とセキュリティレポート
もう1社、別の第三者機関による脆弱性診断・改ざん検知も利用し、異常があればすぐに通知が届く体制にしています。届いたレポートを確認し、必要な対応を取っています。
07
RECENT THREATS
近年のセキュリティ問題への取り組み
ここ数年、EC や Web サービスを狙った攻撃は増え、手口も高度になっています。代表的なものと、ラクリプの備えをまとめました。
AI を使った攻撃の高度化
弱いところを AI で探し出す攻撃が現れています。
社員の端末やリモート接続からの侵入
社員のパソコンや遠隔操作の仕組みを足がかりに、社内のシステムへ入り込む被害が国内外で起きています。
パスワードの使い回しを狙った不正ログイン
他のサービスから漏れたパスワードで、ログインを試す攻撃です。
公開されたソフトウェアの弱点の悪用
広く使われている部品の弱点が公表されると、すぐに攻撃に使われます。
生成 AI からの情報の流出
AI に入力した内容が、意図せず外部に使われる心配があります。
決済情報を狙った攻撃
EC サイトのカード情報が盗まれる被害が続いています。
08
CONTACT
万一の際の対応とお問い合わせ
万一の際の対応
万一、お預かりした情報の取り扱いに問題が生じた場合は、速やかに状況を確認し、影響のあるお客様へご連絡いたします。
Security Owner
瀬尾 健太
株式会社ラクダ 代表取締役 CEO
西尾 勝太
株式会社ラクダ 代表取締役 CFO。金融系システム会社で 10 年以上の経験。
関連する方針
個人情報の扱いはプライバシーポリシー、ご利用の条件は利用規約をご覧ください。
ダウンロード版アプリをお使いの方へ
ダウンロード版のラクリプアプリは提供終了を予定しており、クラウド版への移行を進めています。ダウンロード版の問い合わせ返信では、独自の削除システム「SHIELD」で、電話番号・メールアドレス・住所・氏名など約20種類の個人情報を自動で取り除いてから AI（OpenAI の API。送った内容は学習に使われない設定）に送ります。ログイン情報はパソコンの中で暗号化して保存します。
これらの取り組みは定期的に見直し、このページも更新します。最終見直し：2026年11月5日