「あなたのGoogleアカウントがロックされました」
「不審なログインが検出されました」
このようなメールが突然届くと、「すぐに確認しなければ」と焦ってしまいますよね。
Googleから正規のセキュリティ通知が届くことはありますが、本物に似せたフィッシングメールも繰り返し確認されています。慌ててメール内のリンクを開き、パスワードや確認コードを入力すると、Googleアカウントを乗っ取られるおそれがあります。
この記事では、Googleのセキュリティ通知が本物か確認する方法と、リンクを開いたり情報を入力したりしてしまった場合の対処法を、順番にわかりやすく解説します。
メール内のリンクを押さず、Googleアカウントから確認する
Googleのセキュリティ通知が本物か分からないときは、メール内のリンクやボタンから操作しないことが大切です。
ブラウザを開き、アドレスバーに「myaccount.google.com」と直接入力して、Googleアカウントの公式画面を開きましょう。
Googleアカウントの「セキュリティとログイン」では、最近発生したセキュリティイベントや、アカウントを使用している端末を確認できます。Googleから届いたセキュリティ通知は、公式画面でも内容を確認できる場合があります。
最近のセキュリティ通知は、「myaccount.google.com/notifications」から確認することもできます。
メールが本物に見えても、確認はメール内のリンクではなく、自分で開いたGoogleアカウントから行うのが安全です。
Googleのセキュリティ通知が本物か見分けるポイント
送信者名やGoogleのロゴが本物らしく見えても、それだけで正規のメールとは判断できません。次の点を確認しましょう。
送信者名だけで判断しない
メールに表示される送信者名は、送信側が自由に設定できる場合があります。「Google」や「Googleセキュリティ」と表示されていても、それだけで本物とは限りません。
Gmailでは、一部の認証済み企業メールに青いチェックマークや企業ロゴが表示されることがありますが、これも判断材料の一つです。表示があることだけを理由に、メール内のリンクを開かないようにしましょう。
リンクを開いてログインしない
Googleに似た文字を含む偽のドメインや、本物に見せかけたログイン画面が使われることがあります。
パソコンではリンクにマウスポインターを合わせると移動先を確認できますが、表示されたURLだけで安全性を判断するのが難しい場合もあります。少しでも迷ったらリンクを開かず、自分でGoogleアカウントの公式画面を開いてください。
パスワードや確認コードを求められたら注意する
Googleは、メールやメッセージ、電話でGoogleアカウントのパスワードを尋ねることはありません。
メール内のリンクを開いた先でパスワードや2段階認証コード、復旧用情報などの入力を求められても、そのまま入力しないでください。
不安をあおり、操作を急がせていないか確認する
フィッシングメールでは、考える時間を与えないように、次のような言葉が使われることがあります。
- 今すぐ確認しないとアカウントを停止します
- 24時間以内に手続きが必要です
- 不正アクセスを防ぐため、直ちにログインしてください
緊急性を強調するメールが届いても、慌ててリンクを押さず、Googleアカウントの公式画面から状況を確認しましょう。
不審な添付ファイルを開かない
セキュリティ確認を理由に、添付ファイルの表示やソフトのインストールを求められた場合も注意が必要です。
見覚えのない添付ファイルは開かず、Googleアカウントの公式画面やGoogleのヘルプから確認してください。
Googleから正規に届くセキュリティ通知の例
Googleからは、アカウントに重要な操作や不審な動きがあったときに、セキュリティ通知が届くことがあります。
- 新しい端末からGoogleアカウントにログインした
- パスワードが変更された
- 2段階認証やパスキーなど、ログイン方法が追加・変更された
- 復旧用の電話番号やメールアドレスが変更された
- Googleが不審なログインや操作を検出した
- 第三者のアプリにGoogleアカウントへのアクセスを許可した
ただし、これらと同じ内容を使った偽メールもあります。メールの文面だけで判断せず、Googleアカウントの「最近のセキュリティイベント」で事実を確認してください。
Googleのセキュリティ通知が届いた直後に確認すること
身に覚えのないセキュリティ通知が届いたら、メール内のリンクは使わず、Googleアカウントの公式画面から次の3点を確認します。
1．最近のセキュリティイベントを確認する
Googleアカウントを開き、「セキュリティとログイン」→「最近のセキュリティイベント」を確認します。
自分が行っていないログインや設定変更が表示されていた場合は、「いいえ、心当たりがありません」など、画面に表示される案内に沿ってアカウントを保護してください。
2．ログインしている端末を確認する
Googleアカウントの「セキュリティとログイン」を開き、「お使いのデバイス」から「すべてのデバイスを管理」を選択します。現在ログインしている端末や、過去数週間に使用した端末を確認できます。
同じ端末でも、ブラウザやアプリごとに複数の「セッション」が表示されることがあります。また、表示される時刻にはバックグラウンドでの自動同期も含まれるため、数や時刻だけで不正ログインとは判断できません。
端末の種類や利用状況などを確認し、自分のものか分からない端末やセッションからはログアウトしてください。不正アクセスが疑われる場合は、続けてパスワードの変更など、アカウントの保護を進めましょう。
不審な端末名で複数のセッションが表示されている場合は、その端末名に該当するすべてのセッションからログアウトしてください。
3．セキュリティ診断を実行する
Googleのセキュリティ診断では、復旧用の電話番号やメールアドレス、ログイン中の端末、第三者アプリとの接続などをまとめて確認できます。
Googleアカウントからセキュリティ診断を開き、推奨される対応が表示された場合は内容を確認して対処してください。
通知に心当たりがない場合は、まずメールで通知されているGoogleアカウントと、公式画面で確認しているアカウントが同じか確かめましょう。該当する操作が見当たらなくても、それだけでメールの真偽を断定せず、リンクや添付ファイルは開かないでください。フィッシングが疑われる場合は、パソコン版Gmailから「フィッシングを報告」を行えます。
メール内のリンクをクリックしてしまった場合
リンクをクリックしただけで、パスワードや確認コードなどを入力していなければ、直ちにアカウントが乗っ取られたとは限りません。
ただし、開いたページでファイルをダウンロードしたり、ブラウザの通知を許可したりしていないか確認してください。
- 開いたページを閉じる
- 不審なファイルをダウンロードしていた場合は、開かずに削除する
- サイトの通知を許可してしまった場合は、ブラウザの設定から、そのサイトの通知をブロックする
- ブラウザとWindowsを最新の状態に更新する
- 不審なファイルを実行したり、アプリや拡張機能をインストールしたりした場合は、利用中のセキュリティソフトでフルスキャンを実行する
Chromeでは、「設定」→「プライバシーとセキュリティ」→「サイトの設定」→「通知」から、通知を許可したサイトを確認できます。不審なサイトの通知はブロックしてください。
ページを表示しただけで、パスワードや確認コードの入力、ログイン確認通知の承認、アプリへのアクセス許可、不審なファイルの実行などをしていなければ、必ずしもパスワード変更が必要とは限りません。念のため、Googleアカウントの最近のセキュリティイベントと端末一覧を確認し、不正アクセスが疑われる場合は、パスワード変更などの保護を進めてください。
パスワードや確認コードを入力してしまった場合
偽サイトでGoogleアカウントのパスワードや2段階認証の確認コードを入力した場合は、第三者にログインされるおそれがあります。身に覚えのないログイン確認通知を承認してしまった場合も、速やかにアカウントを保護してください。
また、Googleの正規画面であっても、不審なアプリにメールやファイルへのアクセスを許可してしまうと、許可した範囲の情報を読み取られるおそれがあります。この場合は、Googleアカウントから該当するアプリのアクセス権を削除してください。
メール内のリンクはもう使わず、安全が確認できるパソコンやスマートフォンからGoogleアカウントの公式画面を開き、次の対応を進めましょう。不審なソフトなどをインストールした端末は、安全を確認するまでパスワード変更に使わないでください。
1．Googleアカウントのパスワードをすぐに変更する
現在のパスワードとは異なる、ほかのサービスでも使っていないパスワードに変更します。
同じパスワードをほかのWebサイトやアプリでも使用している場合は、そちらのパスワードも変更してください。サービスごとに異なるパスワードを設定することが大切です。
2．不審な操作とログイン端末を確認する
「最近のセキュリティイベント」と「お使いのデバイス」を確認し、身に覚えのない操作や端末があれば、画面の案内に沿ってアカウントを保護します。
自分のものではない端末やセッションは、詳細画面からログアウトしてください。不審な端末名で複数のセッションが表示されている場合は、その端末名に該当するすべてのセッションからログアウトします。
3．復旧情報とログイン方法を確認する
復旧用の電話番号やメールアドレスが、知らない情報に変更されていないか確認します。
あわせて、2段階認証に登録された電話番号、認証アプリ、セキュリティキー、パスキーなどに、見覚えのないものが追加されていないか確認し、不審なものは削除してください。
4．第三者アプリとの接続を見直す
Googleアカウントに接続している第三者のアプリやサービスを確認します。利用した覚えのないものや、すでに使っていないものがあれば、アクセス権を削除してください。
5．Gmailの転送やフィルタ設定を確認する
アカウントが不正に使用された場合、届いたメールを盗み見るために、自動転送やフィルタが設定されることがあります。
パソコン版Gmailの設定を開き、次の項目に見覚えのない設定がないか確認してください。
- メールの自動転送先
- メールを転送・削除したり、既読にしたりするフィルタ
- アカウントへのアクセスを許可しているユーザー
- POPによるメール取得の設定
自分で設定していない転送先やフィルタ、アクセスを許可されたユーザーがあれば削除してください。POPの設定も、普段使っているメールソフトの設定と照らし合わせて確認しましょう。
なお、個人用Gmailでは、IMAPアクセスは常に有効になっており、有効・無効を切り替える項目はありません。不審なメールアプリからのアクセスは、Googleアカウントの第三者アプリとの接続や、ログイン中の端末を確認して対処してください。
6．使用した端末をセキュリティスキャンする
不審なファイルを開いたり、ソフトやブラウザ拡張機能をインストールしたりした場合は、端末に問題がないか確認します。
Windows セキュリティまたは現在使用している正規のセキュリティソフトでスキャンし、見覚えのないアプリやブラウザ拡張機能があれば削除しましょう。
7．安全を確認してからパスキーや2段階認証を設定する
パスワード変更と不審な設定の確認が終わったら、パスキーや2段階認証を設定して、今後の不正ログインに備えます。
パスキーはフィッシングに強いログイン方法ですが、作成するのは自分が所有し、自分だけがロックを解除できる端末に限りましょう。
クレジットカード情報や個人情報も入力した場合
偽サイトにクレジットカード番号や銀行口座情報を入力した場合は、カード会社や金融機関の公式窓口へ早めに連絡してください。
氏名、住所、生年月日、本人確認書類などを送信した場合も、今後届く不審な電話やメール、身に覚えのない契約や請求に注意しましょう。
Googleアカウントにログインできない場合
すでにパスワードや復旧用情報を変更され、Googleアカウントにログインできない場合は、Googleのアカウント復旧ページを利用します。
ブラウザのアドレスバーに「accounts.google.com/signin/recovery」と入力し、本人確認の質問にできるだけ正確に答えてください。
普段ログインに使っている端末やブラウザ、いつも利用している場所から操作すると、本人確認が進みやすくなる場合があります。
Googleアカウントを守るために普段からできること
フィッシングメールを完全に防ぐことは難しいため、届いたときに慌てないよう、Googleアカウントの安全対策も見直しておきましょう。
パスキーを設定する
パスキーは、指紋認証や顔認証、端末の画面ロックなどを使ってログインする仕組みです。偽サイトへ入力して盗まれるパスワードとは仕組みが異なるため、フィッシング対策としても有効です。
ただし、パスキーを作成するのは、自分が所有し、自分だけがロックを解除できる端末に限りましょう。共有パソコンや第三者の端末には作成しないでください。
2段階認証を有効にする
2段階認証を設定しておくと、パスワードを知られても、それだけではログインされにくくなります。
確認コードは、Googleのサポート担当者を名乗る相手を含め、ほかの人に教えないでください。自分がログイン操作をしていないのに確認通知が届いた場合は、承認せず、Googleアカウントのセキュリティ画面を確認しましょう。
パスワードを使い回さない
Googleアカウントと同じパスワードをほかのサービスでも使用していると、一つのサービスからパスワードが漏れた際に、ほかのアカウントまで不正利用されるおそれがあります。
サービスごとに異なる、推測されにくいパスワードを設定しましょう。覚えるのが難しい場合は、信頼できるパスワード管理機能を利用する方法もあります。
復旧用の電話番号とメールアドレスを確認する
パスワードを忘れた場合や、不正ログインが疑われる場合に備えて、復旧用の電話番号とメールアドレスを最新の状態にしておきましょう。
機種変更やメールアドレスの変更後は、古い連絡先が残っていないか確認することも大切です。
セキュリティ診断を定期的に確認する
Googleのセキュリティ診断では、ログインしている端末、復旧情報、第三者アプリとの接続などをまとめて確認できます。
ときどき確認し、使っていない端末やサービスが残っていたら整理しておきましょう。
不審なメールをフィッシングとして報告する
パソコン版Gmailで不審なメールを開き、返信アイコンの横にある「その他」（縦に並んだ3つの点）から、「フィッシングを報告」を選択できます。
スマートフォンのGmailアプリで同じ項目が見つからない場合は、パソコン版Gmailで操作してください。報告するために、メール内のリンクや添付ファイルを開く必要はありません。
Googleのセキュリティ通知に関するよくある質問
Q. Googleからのメールか分からないときはどうすればいいですか？
メール内のリンクやボタンは使用せず、ブラウザからGoogleアカウントを直接開いてください。「最近のセキュリティイベント」や通知ページに同じ内容が表示されているか確認します。
Q. メールを開いただけでアカウントを乗っ取られますか？
一般的には、メールを表示しただけでGoogleアカウントを乗っ取られる可能性は高くありません。
ただし、メール内のリンクを開く、添付ファイルを実行する、パスワードや確認コードを入力するといった操作はしないでください。Gmailやブラウザ、Windowsを最新の状態に保つことも大切です。
Q. リンクをクリックしただけなら、パスワード変更は必要ですか？
ページを表示しただけで、パスワードや確認コードの入力、ログイン確認通知の承認、アプリへのアクセス許可、不審なファイルの実行などをしていなければ、必ずしもパスワード変更が必要とは限りません。念のため、Googleアカウントの最近のセキュリティイベントと端末一覧を確認し、不正アクセスが疑われる場合は、パスワード変更などの保護を進めてください。
Q. Gmailの迷惑メールフォルダに入っていれば偽物ですか？
迷惑メールフォルダに入っていても、必ず偽物とは限りません。反対に、受信トレイへ届いたメールが必ず本物とも限りません。
保存場所だけで判断せず、Googleアカウントの公式画面から事実を確認しましょう。
Q. Googleがメールでパスワードを尋ねることはありますか？
Googleがメール、メッセージ、電話でGoogleアカウントのパスワードを尋ねることはありません。
メール内のリンクを開いた先でパスワードを求められても入力せず、自分でGoogleアカウントの公式ページを開いてください。
Q. 身に覚えのない確認コードが届いたらどうすればいいですか？
確認コードを誰にも教えず、ログインの承認も行わないでください。誰かがログインを試している可能性があるため、Googleアカウントの最近のセキュリティイベントと端末一覧を確認します。
見覚えのないログインが表示されていた場合は、画面の案内に沿ってアカウントを保護し、パスワードも変更してください。
Q. 青いチェックマークがあれば本物ですか？
Gmailの青いチェックマークや企業ロゴは送信元を確認する材料になりますが、それだけで安全と判断してメール内のリンクを開くのは避けましょう。
重要な操作は、Googleアカウントの公式画面を自分で開いて行うのが安全です。
まとめ｜Googleを名乗るメールは公式画面から確認しよう
Googleのセキュリティ通知が届いても、メール内のリンクからすぐに操作する必要はありません。
本物か迷ったときは、ブラウザからGoogleアカウントを直接開き、「最近のセキュリティイベント」と「お使いのデバイス」を確認しましょう。
ページを表示しただけで、直ちにアカウントが乗っ取られたとは限りません。ただし、パスワードや確認コードを入力したり、身に覚えのないログイン確認通知を承認したりした場合は、速やかにアカウントを保護してください。不審なアプリにアクセスを許可した場合は、そのアクセス権も削除しましょう。
普段からパスキーや2段階認証を設定し、復旧用の連絡先を最新の状態にしておくことも大切です。
迷ったときは、「メールから操作せず、公式画面を自分で開く」と覚えておきましょう。
