「あなたのGoogleアカウントがロックされました」
「不審なログインが検出されました」
このようなメールが突然届くと、「すぐに確認しなければ」と焦ってしまいますよね。
Googleから正規のセキュリティ通知が届くことはありますが、本物に似せたフィッシングメールも繰り返し確認されています。慌ててメール内のリンクを開き、パスワードや確認コードを入力すると、Googleアカウントを乗っ取られるおそれがあります。
この記事では、Googleのセキュリティ通知が本物か確認する方法と、リンクを開いたり情報を入力したりしてしまった場合の対処法を、順番にわかりやすく解説します。
メール内のリンクを押さず、Googleアカウントから確認する
Googleのセキュリティ通知が本物か分からないときは、メール内のリンクやボタンから操作しないことが大切です。
ブラウザを開き、アドレスバーに「myaccount.google.com」と直接入力して、Googleアカウントの公式画面を開きましょう。
Googleアカウントの「セキュリティとログイン」では、最近発生したセキュリティイベントや、アカウントを使用している端末を確認できます。Googleから届いたセキュリティ通知は、公式画面でも内容を確認できる場合があります。
最近のセキュリティ通知は、「myaccount.google.com/notifications」から確認することもできます。
メールが本物に見えても、確認はメール内のリンクではなく、自分で開いたGoogleアカウントから行うのが安全です。
Googleのセキュリティ通知が本物か見分けるポイント
送信者名やGoogleのロゴが本物らしく見えても、それだけで正規のメールとは判断できません。次の点を確認しましょう。
送信者名だけで判断しない
メールに表示される送信者名は、送信側が自由に設定できる場合があります。「Google」や「Googleセキュリティ」と表示されていても、それだけで本物とは限りません。
Gmailでは、一部の認証済み企業メールに青いチェックマークや企業ロゴが表示されることがありますが、これも判断材料の一つです。表示があることだけを理由に、メール内のリンクを開かないようにしましょう。
リンクを開いてログインしない
Googleに似た文字を含む偽のドメインや、本物に見せかけたログイン画面が使われることがあります。
パソコンではリンクにマウスポインターを合わせると移動先を確認できますが、表示されたURLだけで安全性を判断するのが難しい場合もあります。少しでも迷ったらリンクを開かず、自分でGoogleアカウントの公式画面を開いてください。
パスワードや確認コードを求められたら注意する
Googleは、メールやメッセージ、電話でGoogleアカウントのパスワードを尋ねることはありません。
メール内のリンクを開いた先でパスワードや2段階認証コード、復旧用情報などの入力を求められても、そのまま入力しないでください。
不安をあおり、操作を急がせていないか確認する
フィッシングメールでは、考える時間を与えないように、次のような言葉が使われることがあります。
- 今すぐ確認しないとアカウントを停止します
- 24時間以内に手続きが必要です
- 不正アクセスを防ぐため、直ちにログインしてください
緊急性を強調するメールが届いても、慌ててリンクを押さず、Googleアカウントの公式画面から状況を確認しましょう。
不審な添付ファイルを開かない
セキュリティ確認を理由に、添付ファイルの表示やソフトのインストールを求められた場合も注意が必要です。
見覚えのない添付ファイルは開かず、Googleアカウントの公式画面やGoogleのヘルプから確認してください。
Googleから正規に届くセキュリティ通知の例
Googleからは、アカウントに重要な操作や不審な動きがあったときに、セキュリティ通知が届くことがあります。
- 新しい端末からGoogleアカウントにログインした
- パスワードが変更された
- 2段階認証やパスキーなど、ログイン方法が追加・変更された
- 復旧用の電話番号やメールアドレスが変更された
- Googleが不審なログインや操作を検出した
- 第三者のアプリにGoogleアカウントへのアクセスを許可した
ただし、これらと同じ内容を使った偽メールもあります。メールの文面だけで判断せず、Googleアカウントの「最近のセキュリティイベント」で事実を確認してください。
Googleのセキュリティ通知が届いた直後に確認すること
身に覚えのないセキュリティ通知が届いたら、メール内のリンクは使わず、Googleアカウントの公式画面から次の3点を確認します。
1．最近のセキュリティイベントを確認する
Googleアカウントを開き、「セキュリティとログイン」→「最近のセキュリティイベント」を確認します。
自分が行っていないログインや設定変更が表示されていた場合は、「いいえ、心当たりがありません」など、画面に表示される案内に沿ってアカウントを保護してください。
2．ログインしている端末を確認する
Googleアカウントの「お使いのデバイス」から、現在または最近Googleアカウントを使用したパソコンやスマートフォンを確認します。
見覚えのない端末がある場合は、その端末を選択してログアウトし、続けてパスワードを変更しましょう。
3．セキュリティ診断を実行する
Googleのセキュリティ診断では、復旧用の電話番号やメールアドレス、ログイン中の端末、第三者アプリとの接続などをまとめて確認できます。
Googleアカウントからセキュリティ診断を開き、推奨される対応が表示された場合は内容を確認して対処してください。
通知に心当たりがなく、Googleアカウントの公式画面にも該当する操作が表示されていなければ、偽メールの可能性があります。メール内のリンクには触れず、Gmailから「フィッシングを報告」を行いましょう。
メール内のリンクをクリックしてしまった場合
リンクをクリックしただけで、パスワードや確認コードなどを入力していなければ、直ちにアカウントが乗っ取られたとは限りません。
ただし、開いたページでファイルをダウンロードしたり、ブラウザの通知を許可したりしていないか確認してください。
- 開いたページを閉じる
- ファイルやアプリをダウンロードしていないか確認する
- ブラウザから通知の許可を求められても「許可」を押さない
- ブラウザとWindowsを最新の状態に更新する
- 不審なファイルを開いた場合は、セキュリティソフトでスキャンする
パスワードや確認コードを入力しておらず、不審なファイルも開いていない場合は、必ずしもパスワード変更が必要とは限りません。ただし、Googleアカウントのセキュリティ画面に見覚えのない操作があれば、すぐにパスワードを変更してください。
パスワードや確認コードを入力してしまった場合
偽サイトでGoogleアカウントのパスワードや2段階認証コードを入力してしまった場合は、相手にログイン情報を知られた可能性があります。
メール内のリンクはもう開かず、普段使用しているパソコンやスマートフォンからGoogleアカウントの公式画面を開き、次の順番で対処してください。
1．Googleアカウントのパスワードをすぐに変更する
現在のパスワードとは異なる、ほかのサービスでも使っていないパスワードに変更します。
同じパスワードをほかのWebサイトやアプリでも使用している場合は、そちらのパスワードも変更してください。サービスごとに異なるパスワードを設定することが大切です。
2．不審な操作とログイン端末を確認する
「最近のセキュリティイベント」と「お使いのデバイス」を確認し、身に覚えのない操作や端末があれば、画面の案内に沿ってアカウントを保護します。
知らない端末が表示されている場合は、その端末を選択してログアウトしてください。
3．復旧情報とログイン方法を確認する
復旧用の電話番号やメールアドレスが、知らない情報に変更されていないか確認します。
あわせて、2段階認証に登録された電話番号、認証アプリ、セキュリティキー、パスキーなどに、見覚えのないものが追加されていないか確認し、不審なものは削除してください。
4．第三者アプリとの接続を見直す
Googleアカウントに接続している第三者のアプリやサービスを確認します。利用した覚えのないものや、すでに使っていないものがあれば、アクセス権を削除してください。
5．Gmailの転送やフィルタ設定を確認する
アカウントが不正に使用された場合、届いたメールを盗み見るために、自動転送やフィルタが設定されることがあります。
パソコン版Gmailの設定を開き、次の項目に見覚えのない設定がないか確認してください。
- メール転送先
- フィルタとブロック中のアドレス
- アカウントへのアクセスを許可しているユーザー
- POP・IMAPなどのメール取得設定
自分で設定していない転送先やフィルタなどがあれば削除してください。
6．使用した端末をセキュリティスキャンする
不審なファイルを開いたり、ソフトやブラウザ拡張機能をインストールしたりした場合は、端末に問題がないか確認します。
Windows セキュリティまたは現在使用している正規のセキュリティソフトでスキャンし、見覚えのないアプリやブラウザ拡張機能があれば削除しましょう。
7．安全を確認してからパスキーや2段階認証を設定する
パスワード変更と不審な設定の確認が終わったら、パスキーや2段階認証を設定して、今後の不正ログインに備えます。
パスキーはフィッシングに強いログイン方法ですが、作成するのは自分が所有し、自分だけがロックを解除できる端末に限りましょう。
クレジットカード情報や個人情報も入力した場合
偽サイトにクレジットカード番号や銀行口座情報を入力した場合は、カード会社や金融機関の公式窓口へ早めに連絡してください。
氏名、住所、生年月日、本人確認書類などを送信した場合も、今後届く不審な電話やメール、身に覚えのない契約や請求に注意しましょう。
Googleアカウントにログインできない場合
すでにパスワードや復旧用情報を変更され、Googleアカウントにログインできない場合は、Googleのアカウント復旧ページを利用します。
ブラウザのアドレスバーに「accounts.google.com/signin/recovery」と入力し、本人確認の質問にできるだけ正確に答えてください。
普段ログインに使っている端末やブラウザ、いつも利用している場所から操作すると、本人確認が進みやすくなる場合があります。
Googleアカウントを守るために普段からできること
フィッシングメールを完全に防ぐことは難しいため、届いたときに慌てないよう、Googleアカウントの安全対策も見直しておきましょう。
パスキーを設定する
パスキーは、指紋認証や顔認証、端末の画面ロックなどを使ってログインする仕組みです。偽サイトへ入力して盗まれるパスワードとは仕組みが異なるため、フィッシング対策としても有効です。
ただし、パスキーを作成するのは、自分が所有し、自分だけがロックを解除できる端末に限りましょう。共有パソコンや第三者の端末には作成しないでください。
2段階認証を有効にする
2段階認証を設定しておくと、パスワードを知られても、それだけではログインされにくくなります。
確認コードは、Googleのサポート担当者を名乗る相手を含め、ほかの人に教えないでください。自分がログイン操作をしていないのに確認通知が届いた場合は、承認せず、Googleアカウントのセキュリティ画面を確認しましょう。
パスワードを使い回さない
Googleアカウントと同じパスワードをほかのサービスでも使用していると、一つのサービスからパスワードが漏れた際に、ほかのアカウントまで不正利用されるおそれがあります。
サービスごとに異なる、推測されにくいパスワードを設定しましょう。覚えるのが難しい場合は、信頼できるパスワード管理機能を利用する方法もあります。
復旧用の電話番号とメールアドレスを確認する
パスワードを忘れた場合や、不正ログインが疑われる場合に備えて、復旧用の電話番号とメールアドレスを最新の状態にしておきましょう。
機種変更やメールアドレスの変更後は、古い連絡先が残っていないか確認することも大切です。
セキュリティ診断を定期的に確認する
Googleのセキュリティ診断では、ログインしている端末、復旧情報、第三者アプリとの接続などをまとめて確認できます。
ときどき確認し、使っていない端末やサービスが残っていたら整理しておきましょう。
不審なメールをフィッシングとして報告する
Gmailで不審なメールを開いたら、メール右上のメニューから「フィッシングを報告」を選択できます。
報告する際も、メール内のリンクや添付ファイルを開く必要はありません。
Googleのセキュリティ通知に関するよくある質問
Q. Googleからのメールか分からないときはどうすればいいですか？
メール内のリンクやボタンは使用せず、ブラウザからGoogleアカウントを直接開いてください。「最近のセキュリティイベント」や通知ページに同じ内容が表示されているか確認します。
Q. メールを開いただけでアカウントを乗っ取られますか？
一般的には、メールを表示しただけでGoogleアカウントを乗っ取られる可能性は高くありません。
ただし、メール内のリンクを開く、添付ファイルを実行する、パスワードや確認コードを入力するといった操作はしないでください。Gmailやブラウザ、Windowsを最新の状態に保つことも大切です。
Q. リンクをクリックしただけなら、パスワード変更は必要ですか？
パスワードや確認コードを入力しておらず、不審なファイルも開いていない場合は、必ずしもパスワード変更が必要とは限りません。
念のためGoogleアカウントの最近の操作を確認し、見覚えのないログインや設定変更があれば、すぐにパスワードを変更してください。
Q. Gmailの迷惑メールフォルダに入っていれば偽物ですか？
迷惑メールフォルダに入っていても、必ず偽物とは限りません。反対に、受信トレイへ届いたメールが必ず本物とも限りません。
保存場所だけで判断せず、Googleアカウントの公式画面から事実を確認しましょう。
Q. Googleがメールでパスワードを尋ねることはありますか？
Googleがメール、メッセージ、電話でGoogleアカウントのパスワードを尋ねることはありません。
メール内のリンクを開いた先でパスワードを求められても入力せず、自分でGoogleアカウントの公式ページを開いてください。
Q. 身に覚えのない確認コードが届いたらどうすればいいですか？
確認コードを誰にも教えず、ログインの承認も行わないでください。誰かがログインを試している可能性があるため、Googleアカウントの最近のセキュリティイベントと端末一覧を確認します。
見覚えのないログインが表示されていた場合は、画面の案内に沿ってアカウントを保護し、パスワードも変更してください。
Q. 青いチェックマークがあれば本物ですか？
Gmailの青いチェックマークや企業ロゴは送信元を確認する材料になりますが、それだけで安全と判断してメール内のリンクを開くのは避けましょう。
重要な操作は、Googleアカウントの公式画面を自分で開いて行うのが安全です。
まとめ｜Googleを名乗るメールは公式画面から確認しよう
Googleのセキュリティ通知が届いても、メール内のリンクからすぐに操作する必要はありません。
本物か迷ったときは、ブラウザからGoogleアカウントを直接開き、「最近のセキュリティイベント」と「お使いのデバイス」を確認しましょう。
リンクを開いただけで、情報を入力していなければ、直ちに乗っ取られたとは限りません。しかし、パスワードや確認コードを入力してしまった場合は、すぐにパスワードを変更し、不審な端末やログイン方法、Gmailの転送設定なども確認してください。
普段からパスキーや2段階認証を設定し、復旧用の連絡先を最新の状態にしておくことも大切です。
迷ったときは、「メールから操作せず、公式画面を自分で開く」と覚えておきましょう。
