「Microsoft アカウントのセキュリティに関する警告が届きました」
突然このようなメールが届くと、不安になりますよね。
・誰かがログインしようとしました
・アカウントがロックされました
・本人確認が必要です
このような文面は本当に存在します。
しかし同時に、まったく同じような文面を使ったフィッシング詐欺も確認されています。
この記事では、
- 本物のセキュリティ通知とは何か
- 偽物メールの特徴
- 絶対にやってはいけないこと
- 正しい確認方法と安全対策
を、わかりやすく丁寧に解説します。
※この記事は、個人用Microsoftアカウントを対象にしています。会社や学校から提供されたアカウントの場合は、確認画面や対応方法が異なるため、組織の管理者に相談してください。
まず結論
Microsoftアカウントの「セキュリティの警告」は、本物の場合もあれば、Microsoftを装ったフィッシング詐欺の場合もあります。
メールの見た目や差出人名だけで、完全に見分けることはできません。
警告が届いたときは、次の3点を守りましょう。
- メールやSMSに記載されたリンクを開かない
- 添付ファイルを開かない
- ブラウザやブックマークからMicrosoft公式サイトを開いて確認する
本物かどうかをメール上で判断しようとせず、Microsoftアカウントの「最近のアクティビティ」で確認するのが最も安全です。
Microsoftアカウントの「本物のセキュリティ通知」とは？
Microsoftでは、普段と異なるサインインを検知した場合、アカウントを保護するためにメールやSMSを送信することがあります。
たとえば、次のような場合です。
- 新しいパソコンやスマートフォンからサインインした
- 普段とは異なる場所からサインインした
- 旅行先や出張先から利用した
- 新しいアプリがMicrosoftアカウントにサインインした
- パスワードやセキュリティ情報が変更された
これらは必ずしも不正アクセスを意味するものではありません。自分で新しい端末やアプリを利用した場合にも、警告が届くことがあります。
Microsoftが公式に案内しているセキュリティ通知の代表的な送信元は、次のアドレスです。
account-security-noreply@accountprotection.microsoft.com
ただし、表示される差出人名やメールアドレスが偽装されることもあります。送信元だけで安全と判断せず、メール内のリンクは使わずに公式サイトから確認しましょう。
なぜ本物と偽物を見分けにくいのか？
Microsoftアカウントは、Outlook、OneDrive、Microsoft 365、Xbox、Microsoft Storeなど、さまざまなサービスに利用されています。
そのため、Microsoftを装ってパスワードや認証コードを盗もうとするフィッシングメールもあります。
最近の偽メールは、ロゴや配色だけでなく、日本語の文章やログイン画面まで本物そっくりに作られていることがあります。「文章が自然だから本物」とは判断できません。
メールだけで真偽を見分けようとせず、Microsoft公式サイトのサインイン履歴で確認することが重要です。
偽物（フィッシング）メールの特徴
次のような特徴があるメールは、フィッシング詐欺の可能性があります。
ただし、どれか1つに当てはまっただけで偽物と断定できるわけではありません。反対に、文章や見た目に不自然な点がなくても、フィッシングメールの場合があります。
① 緊急性を強く煽る
- 24時間以内に対応しないと停止
- 今すぐ確認しないと凍結
- 異常検知、即時対応必須
人は焦ると判断力が鈍ります。
詐欺はそこを狙います。
② リンク先がMicrosoft公式ドメインではない
メールに表示されている文字と、実際に開くURLが異なることがあります。
また、次のように「Microsoft」の文字を含んでいても、Microsoft公式サイトとは限りません。
micros0ft-security.examplemicrosoft-login.example
URLは長く複雑に偽装されることもあるため、見慣れた文字が含まれているだけで信用するのは危険です。
リンク先を詳しく調べようとして、実際にクリックする必要はありません。ブラウザを開き、アドレスバーに次のURLを直接入力してください。
③ 日本語が微妙に不自然
- 助詞が変
- フォントが違う
- 全角と半角が混在
最近はかなり自然ですが、細かい違和感はヒントになります。
ただし、現在は不自然さのない日本語で作られた偽メールもあります。誤字や不自然な表現がないことは、本物である証明にはなりません。
④ 添付ファイルを開くよう求められる
「本人確認のために添付ファイルを開いてください」「詳しい警告内容は添付資料をご確認ください」などと案内されている場合は、注意が必要です。
Microsoftから届いたように見えても、心当たりのない添付ファイルは開かないでください。アカウントの状態は、添付ファイルを開かずにMicrosoft公式サイトから確認しましょう。
実際によくある被害
フィッシング詐欺では、ログイン情報を入力してしまうことで、
- Outlookメールを第三者に見られたり、不正なメールを送信されたりする
- OneDriveに保存しているデータを見られる
- Microsoft 365などの関連サービスに不正アクセスされる
- XboxやMicrosoft Storeで不正に購入される
などの被害につながることがあります。
最近は「本物そっくり」の画面も多く、PCに詳しい人でも見分けが難しくなっています。
絶対にやってはいけないこと
❌ メール内リンクを直接クリック
❌ 添付ファイルを開く
❌ メールに返信する
本物かどうか迷ったら、メールからは何も操作しない ことが鉄則です。
【補足】本物のメールでも“直接クリックしない”のが安全
最近は、本物そっくりの偽サイトが非常に増えています。
そのため、たとえ本物に見えるメールでも、
❌ メールのボタンを押す
❌ メール経由でログインする
ではなく、ブラウザで公式サイトを直接開くという習慣が安全です。
正しい確認方法
警告メールが届いたときは、メール内のボタンやリンクを使わずにMicrosoftアカウントを確認します。
- ブラウザを開きます
- アドレスバーに
https://account.microsoft.com/と直接入力します - Microsoftアカウントにサインインします
- 「セキュリティ」から「サインイン アクティビティ」または「最近のアクティビティ」を開きます
- 日時、場所、端末、ブラウザ、サインイン結果を確認します
「通常とは異なるアクティビティ」に心当たりのない履歴が表示されている場合は、詳細を開いて「自分ではありません」を選択します。
なお、携帯電話回線やVPNを利用していると、実際とは異なる地域が表示されることがあります。場所だけで判断せず、日時・端末・ブラウザ・サインインの成否もあわせて確認してください。
また、「最近のアクティビティ」にはすべての操作が表示されるわけではありません。怪しい履歴が見当たらない場合でも、メールが偽物だと完全に断定することはできないため、メール内のリンクは開かないようにしましょう。
リンクを押してしまった・情報を入力してしまった場合
リンクを開いただけで、すぐにアカウントが乗っ取られたとは限りません。何も入力せず、ファイルやアプリも実行していない場合は、ページを閉じて、Microsoft公式サイトから最近のアクティビティを確認しましょう。
不審なファイルをダウンロードした場合は、開かないでください。ファイルを実行したり、案内に従ってアプリをインストールしたりした場合は、利用中のウイルス対策ソフトを最新の状態にし、フルスキャンを実行してください。
パスワードや認証コードを入力した場合、または身に覚えのないAuthenticatorの承認要求を許可した場合は、速やかにアカウントを保護してください。端末への感染が疑われる場合は、その端末の安全を確認するか、別の安全な端末から手続きを進めましょう。
- Microsoft公式サイトからパスワードを変更する
- 最近のアクティビティを確認する
- 登録された電話番号・回復用メールアドレス・認証方法に、身に覚えのない変更がないか確認する
- 「すべての場所からサインアウト」を実行する
- 二段階認証を有効にし、すでに有効な場合は登録内容を確認する
- Outlookの転送設定や受信トレイのルールに、不審な設定がないか確認する
- 注文履歴に身に覚えのない購入がないか確認する
同じパスワードをほかのサービスでも使用している場合は、そちらも異なるパスワードに変更してください。
サインインできなくなった場合は、Microsoft公式サポートの「ハッキングまたは侵害されたMicrosoftアカウントを回復する方法」から、案内に沿って復旧を進めてください。
氏名や住所などの個人情報だけを入力した場合は、入力した内容を整理し、その後の不審な連絡に注意してください。クレジットカード情報を入力した場合は、カード会社にも速やかに連絡しましょう。
二段階認証を設定してアカウントを守る
Microsoftアカウントでは、Microsoft Authenticatorやセキュリティコードなどを利用した二段階認証を設定できます。
二段階認証を有効にすると、パスワードが第三者に知られた場合でも、追加の確認によって不正なサインインを防ぎやすくなります。
Microsoft Authenticatorのほか、対応する端末ではパスキーやパスワードレスサインインも利用できます。
設定するときは、スマートフォンの紛失や機種変更に備えて、予備の確認方法や回復手段も登録しておきましょう。
二段階認証は、次の手順で設定できます。
- ブラウザのアドレスバーに
https://account.microsoft.com/securityと入力して、Microsoftアカウントにサインインする - 「サインイン方法の管理」を開く
- 「追加のセキュリティ」内の「二段階認証」で、有効にする操作を選ぶ
- 画面の案内に沿って設定を完了する
画面の名称や配置は変更されることがあります。表示が異なる場合は、セキュリティ画面でサインイン方法や二段階認証の項目を確認してください。
なお、二段階認証を設定していても、偽サイトに認証コードを入力したり、身に覚えのない承認要求を許可したりすると、被害につながるおそれがあります。認証コードは他人に教えず、自分で始めたサインイン以外の承認要求は許可しないでください。
見覚えのないサインイン履歴があった場合
見覚えのない履歴がある場合は、まずサインインの結果を確認しましょう。「パスワードが正しくありません」と表示された試行は、その試行ではサインインできなかったことを示します。
一方、身に覚えのないサインイン成功や、パスワード・セキュリティ情報の変更がある場合は、速やかにアカウントを保護してください。
不審なアクティビティの詳細に「自分ではありません」が表示されている場合は、それを選択して案内に従います。表示されない場合でも、不正アクセスが疑われるときは、セキュリティ画面から次の対応を進めてください。
- 該当する履歴で「自分ではありません」または「アカウントを保護する」を選択する
- パスワードを変更する
- 電話番号や回復用メールアドレスを確認する
- 身に覚えのない認証方法や信頼済み端末を削除する
- すべての場所からサインアウトする
- 二段階認証を有効にする
Microsoftの「すべての場所からサインアウト」は、反映まで最長24時間かかる場合があります。また、Xbox本体など一部は対象外です。
なぜMicrosoftアカウントは狙われやすいのか？
個人用Microsoftアカウントは、Outlookのメール、OneDriveに保存したファイル、Microsoft 365の契約、Microsoft StoreやXboxの購入など、複数のサービスに使われています。
アカウントが乗っ取られると、利用状況によっては、メールやクラウドに保存した写真・文書を見られたり、不正な購入につながったりする可能性があります。
そのため、サービスごとのパスワードの使い回しを避け、二段階認証やパスキーなどを活用して、普段からアカウントを保護しておきましょう。
よくある質問
Q. メールの送信元が正規アドレスなら安全？
A. 完全には安全とは言えません。
メールヘッダーを偽装する技術も存在します。
最終的な確認は公式サイトで行ってください。
Q. 毎日のように警告やサインイン試行が表示されるのはなぜ？
A. Microsoftアカウントに使用しているメールアドレスが第三者に知られ、自動プログラムなどでサインインを試されている可能性があります。
「パスワードが正しくありません」など、失敗したサインイン履歴だけであれば、第三者がアカウントに入れたことを意味するものではありません。
ただし、「サインイン成功」「パスワード変更」「セキュリティ情報の追加」など、身に覚えのない履歴がある場合は注意が必要です。すぐにパスワードを変更し、二段階認証を有効にしてください。
パスワードは、文字の種類だけでなく、十分な長さがあり、ほかのサービスで使っていないものを設定することが大切です。
まとめ
Microsoftアカウントの「セキュリティの警告」には、本物の通知とMicrosoftを装った偽メールがあります。
- メールやSMSの見た目だけで判断しない
- メール内のリンクや添付ファイルを開かない
- Microsoft公式サイトから最近のアクティビティを確認する
- 身に覚えのないサインイン成功や設定変更があれば、パスワード変更などの保護を行う
- 二段階認証やパスキーを活用する
警告が届いても、すぐにアカウントが乗っ取られたとは限りません。慌ててメール内のボタンを押さず、「公式サイトから確認する」を基本にしましょう。
