Googleアカウントの乗っ取り対策と疑われるときの対処
Googleアカウントの乗っ取りが疑われるときは、まだログインできるうちに、すぐにパスワードを変更し、見覚えのない端末をログアウトさせ、再設定用の電話番号とメールアドレスが自分のものか確認してください。そのうえで、Googleの「セキュリティ診断」で残りの問題を洗い出し、Gmailの転送設定やアカウントにアクセスできるアプリも見直します。すでにログインできない場合は、Googleのアカウント復元の手続きに進みます。この記事では、乗っ取りのサイン、Androidスマホからできる対処の手順、ログインできないときの対応、再発を防ぐための対策を順に説明します。
乗っ取りを疑うべきサイン
Googleのヘルプでは、次のような変化があればアカウントが不正に使われている可能性があるとしています。
- 身に覚えのないログインについて、Googleからセキュリティ通知が届いた
- Googleアカウントの「お使いのデバイス」に、知らない端末が表示されている
- 再設定用の電話番号やメールアドレス、名前、2段階認証プロセスなどの設定が勝手に変わっている
- パスワードが変更されていてログインできない
- Gmailの「送信済み」に自分が送っていないメールがある、知人から「変なメールが届いた」と言われた
- メールが届かなくなった（勝手に転送やフィルタが設定されている可能性）
- Google Playなどで、身に覚えのない購入やお支払い方法の追加がある
- YouTubeに知らない動画やコメントが投稿されている
Googleからのセキュリティ通知は、本物かどうかの確認も大切です。通知のリンクをすぐに開くのではなく、Androidの「設定」→「Google」→「Google アカウントを管理」から自分でアカウントを開き、「セキュリティ」の最近のセキュリティ関連のアクティビティを確認すると安全です。
ログインできるうちにやるべき対処
Androidでは、「設定」→「Google」→「Google アカウントを管理」でアカウントの管理画面を開けます。以下の作業は、主に「セキュリティ」タブ（「セキュリティとログイン」と表示される場合もあります）から行います。パソコンではmyaccount.google.comを開いても同じことができます。
1. 最近のセキュリティ関連のアクティビティを確認する
「セキュリティ」タブの最近のセキュリティ関連のアクティビティで、知らないログインや設定変更がないか確認します。心当たりのない項目があれば、その項目を開いて「いいえ、リクエストしていません」などを選び、画面の案内に従ってアカウントを保護します。
2. パスワードを変更する
- 「セキュリティ」タブの「Google にログインする方法」で「パスワード」をタップします。
- 本人確認のために、現在のパスワードなどでログインし直します。
- 新しいパスワードを入力して「パスワードを変更」をタップします。
パスワードを変更すると、本人確認に使った端末などの一部を除き、ほかの端末ではログアウトされます。新しいパスワードは、ほかのサービスで使っていないものにしてください。同じパスワードを使い回していたサービスがあれば、そちらも変更します。
3. 知らない端末をログアウトさせる
- 「セキュリティ」タブの「お使いのデバイス」で「すべてのデバイスを管理」をタップします。
- 一覧に見覚えのない端末があれば選び、「ログアウト」をタップします。
自分の古いスマホやタブレットが残っていることもあるので、機種名や最終ログインの場所・日時を見て判断します。
4. 再設定用の電話番号とメールアドレスを確認する
乗っ取った側は、アカウントを取り返されないように再設定用の連絡先を書き換えることがあります。「再設定用の電話番号」と「再設定用のメールアドレス」が自分のものか確認し、違っていればすぐに修正します。あわせて、アカウントの名前も変えられていないか確認しましょう（変更方法はGoogleアカウントの名前を変更する方法で説明しています）。
5. 2段階認証プロセスの設定を確認する
「2 段階認証プロセス」がオンになっているか、登録されている電話番号や認証方法が自分の管理するものだけになっているかを確認します。オフの場合はオンにしてください。
6. アカウントにアクセスできるアプリを見直す
「セキュリティ」タブにある、Googleアカウントにアクセスできるサードパーティのアプリやサービスの一覧を開き、覚えのないもののアクセスを削除します。
7. Gmailの設定を確認する
Gmailは乗っ取りの際に設定を書き換えられやすい場所です。パソコンのブラウザでGmailを開き、「設定」→「すべての設定を表示」から次の項目を確認すると見落としがありません。
- 転送：知らない転送先が登録されていないか
- フィルタ：特定のメールを自動で削除・転送するフィルタが作られていないか
- アカウントへのアクセス権（メールの委任）：知らない人が追加されていないか
- 送信元のアドレス、表示名、自動返信（不在通知）、ブロックしているアドレス
- POP／IMAPの設定：心当たりのない設定がないか
8. セキュリティ診断で残りを洗い出す
最後に、Googleの「セキュリティ診断」を実行します。アカウントの状態をまとめて確認でき、再設定用情報の不足、2段階認証の状態、サードパーティのアクセス、保存しているパスワードの問題などについて、必要な対応を案内してくれます。Googleアカウントの管理画面の「セキュリティ」タブから開けます。詳しい流れはGoogleの公式ヘルプ（セキュリティ診断を受ける）で確認できます。
お金の被害があった場合
Google Playなどで身に覚えのない請求があった場合は、Googleのヘルプにある不正な請求の報告手続きを行います。クレジットカードの情報が使われた可能性があるときは、カード会社にも連絡してください。
ここまでの手順は、Googleの公式ヘルプ（不正使用されたアカウントの保護について）にもまとめられています。
ログインできなくなった場合
パスワードや再設定用の電話番号を変えられてログインできない場合は、Googleのアカウント復元ページから手続きをします。
- Googleのログイン画面でメールアドレスを入力し、パスワードを忘れた場合の項目を選びます（Googleのアカウント復元ページを直接開いてもかまいません）。
- 以前使っていたパスワード、普段ログインに使っているスマホでの確認など、聞かれる質問にできるだけ多く答えます。
- 本人確認ができると、新しいパスワードを設定できます。
復元は、普段使っている端末と場所（自宅のWi-Fiなど）から行うと本人と判断されやすくなります。詳しい手順と、うまくいかないときの対処はGoogleアカウントを復元する方法で説明しています。取り戻せたら、上の「ログインできるうちにやるべき対処」をすべて行ってください。
なお、「アカウントを復旧します」などとうたう外部の業者やSNSのアカウントに、パスワードや確認コードを伝えてはいけません。Googleアカウントの復元は、Googleの公式の手続きでしか行えません。
乗っ取りを防ぐための対策
2段階認証プロセスをオンにする
2段階認証プロセスをオンにしておけば、パスワードが漏れても、それだけではログインされにくくなります。Androidスマホがあれば、ログイン時にスマホに届く確認画面で本人確認ができます。
パスキーを使う
パスキーは、スマホの指紋認証や画面ロックでログインする仕組みで、偽のログイン画面に入力させられることがないため、フィッシングに強いのが特長です。設定方法はAndroidでパスキーを設定する方法をご覧ください。
パスワードを使い回さない
ほかのサービスから漏れたパスワードが、Googleアカウントへの不正ログインに使われることがあります。Googleアカウントのパスワードはほかと共通にしないでください。Google パスワード マネージャーのパスワード チェックアップを使うと、漏れたパスワードや使い回しを確認できます（Googleアカウントのパスワードを確認する方法で解説しています）。
偽のSMSやメールに注意する
日本では、宅配業者、通信会社、銀行、クレジットカード会社などを名乗るSMSやメールで偽サイトに誘導し、IDやパスワードを入力させる手口がよく見られます。Googleを名乗るメールで「アカウントが停止されます」などと不安をあおるものもあります。次の点を守ると、多くの被害は防げます。
- SMSやメールのリンクからログインしない。アプリや自分で入力した公式アドレスから開く
- 確認コード（6桁の数字など）は、だれに聞かれても伝えない。確認コードは本人が入力するためのもので、他人に教える必要はありません
- 提供元のわからないアプリをインストールしない。アプリはGoogle Play ストアから入れる
- Androidの画面ロックを設定し、OSとアプリを最新の状態に保つ
定期的にセキュリティ診断を受ける
何も問題がなくても、ときどきセキュリティ診断を開いて、使っていない端末や不要なアプリのアクセスを整理しておくと安心です。
よくある質問
「新しいデバイスでのログイン」という通知が来ました。乗っ取りですか？
自分が新しいスマホやパソコンでログインした直後なら、その通知の可能性が高いです。心当たりがない場合は、通知のリンクではなく自分でGoogleアカウントを開き、最近のセキュリティ関連のアクティビティと「お使いのデバイス」を確認してください。知らないログインならすぐにパスワードを変更します。
スマホを初期化すれば乗っ取りは解決しますか？
Googleアカウントの乗っ取りは、スマホではなくアカウント側の問題なので、初期化だけでは解決しません。まずパスワードの変更、知らない端末のログアウト、再設定用情報の確認を行ってください。不審なアプリを入れた心当たりがある場合は、そのアプリの削除も必要です。
乗っ取られたアカウントは削除したほうがいいですか？
取り戻せた場合は、削除せずに上の対処を行えば引き続き使えます。削除すると、ほかのサービスのログインや購入したアプリなども使えなくなります。どうしても不要な場合のみ、Googleアカウントを削除する方法を参考にしてください。
まとめ
Googleアカウントの乗っ取りが疑われたら、ログインできるうちにパスワード変更、知らない端末のログアウト、再設定用の電話番号・メールアドレスの確認を優先し、2段階認証、アプリのアクセス、Gmailの転送やフィルタも見直します。仕上げにセキュリティ診断を実行しましょう。ログインできない場合はGoogleの公式な復元手続きを使い、外部の業者に頼らないことが大切です。予防には、2段階認証やパスキー、パスワードの使い回しをやめること、SMSやメールのリンクからログインしないことが効果的です。
Googleアカウントの乗っ取り対策と疑われるときの対処 に似た他の記事を見たい場合は、カテゴリ Android Settings をご覧ください。
関連記事