Googleアカウントの乗っ取り対策｜芋づる式に広がる理由と確認・復旧の手順

Googleアカウントの乗っ取り対策の中心は、2段階認証かパスキーを設定し、再設定用の電話番号とメールアドレスを自分のものにしておくことです。

そのうえで、パスワードをほかのサービスと使い回さないことが、芋づる式の被害を止める土台になります。

2026年10月には、SBI証券とSMBC日興証券が、GoogleやAppleのアカウントを乗っ取られると、保存したパスキーやパスワードで証券口座に入られるおそれがあると呼びかけました。

広がる仕組みと確認方法、乗っ取られたときの復旧、防ぐ設定を、公式の案内をもとに整理しました。

※2026年10月25日時点の情報です。

最新の情報は公式サイトでご確認ください。

Googleアカウントの乗っ取り対策は？芋づる式に広がる理由と状況別にやること

ログインできるうちに手を打てば、パスワードの変更とログアウトで相手を締め出せる見込みがあり、締め出されても復元のページで取り戻せる可能性があります。

取り戻せるかどうかは、事前に登録した再設定用の情報や、普段使っている端末が残っているかで変わります。

自分の状況に近い行を見て、次の行動を決めてください。

復元はすべてのケースで保証されているわけではないので、ログインできるうちに設定を済ませておくことが大切です。

芋づる式に広がる3つの経路（Gmail・Googleでログイン・保存したパスキー）

Googleアカウントは、Gmail、Google ドライブ、Google フォト、YouTube などをまとめて使う入口です。

1つが破られると、つながっている場所が一緒に危なくなります。

広がり方は、主に次の3つです。

• Gmail に届く再設定のメール：メールでパスワードを再設定できるサービスは、Gmail を読まれると再設定の案内を使われるおそれがある
• Google でログイン：Google アカウントで他社のアプリやサイトに入る機能で、つないだサービスにも入られるおそれがある
• Google パスワード マネージャーと同期したパスキー：アカウントにひもづいて保存されている認証の情報を使われるおそれがある

Google のヘルプも、不正使用されたときは、同じパスワードのサービスや Google でログインしているサービスのパスワードまで変えるよう案内しています。

Forbes JAPAN は、攻撃する側が必ずしもパスワードを変えて持ち主を締め出すとは限らず、気づかれないまま情報を抜き取ることもあると伝えています。

SBI証券・SMBC日興証券が注意を呼びかけた内容

SBI証券は10月2日、フィッシングで Google・Apple のアカウント情報が取られ、保存されたパスキーやCookie、ブラウザのパスワードで証券口座に不正ログインされた疑いのある事案の報告があったと案内しました。

同社のシステムからユーザーネームやパスワードが盗まれたものではない、と説明しています。

報道によると、10月8日には、自社の証券口座での被害は確認されていないと追記しました。

SMBC日興証券も10月6日に、パスキーを保存している Apple アカウントや Google アカウントが乗っ取られると、そのパスキーで証券口座などにログインされる可能性があると知らせています。

@IT は、パスキー自体はフィッシングに強い方法だが、クラウドに保存して同期する場合は、そのアカウントの管理が大切になると解説しました。

問われているのはパスキーの安全性ではなく、保存先の Google アカウントを守れるかどうかです。

SNSでも、この呼びかけをきっかけに、確認や2段階認証の手順を紹介する投稿が増えているという声があります。

Googleアカウントの乗っ取りの確認方法：デバイス・セキュリティ イベント・Gmail

確認するのは、Googleアカウントのセキュリティ イベントとログイン中のデバイス、そしてGmailの転送とフィルタの3か所です。

パスワードを変えても、転送やフィルタが残っているとメールが相手に届き続けることがあります。

セキュリティ イベントとログイン中のデバイスを見る

myaccount.google.com を開き、「セキュリティとログイン」を選びます。

最近のセキュリティ イベントに覚えのない操作があれば、「いいえ、リクエストしていません」を選んで、画面の案内に従ってください。

次に「お使いのデバイス」の「すべてのデバイスを管理」を開くと、現在と過去数週間にログインした端末が並ぶので、普段使わない機器は「ログアウト」しましょう。

同じ名前で複数のセッションが出ているときは、別の機器が混ざっている可能性があるため、その名前のセッションはすべてログアウトするよう案内されています。

あわせて、再設定用の電話番号とメールアドレス、アカウントにアクセスできるアプリ、2段階認証の方法が、自分で設定したものかも確かめておきましょう。

不審なパスキーやログイン方法は無効にされることがあり、通知が届いたら30日以内に自分で追加したものか確かめる必要があります。

Gmailの転送・フィルタと、偽のセキュリティ通知

パソコンで Gmail を開き、右下の「詳細」を押すと、アカウントのアクティビティのページが出ます。

同時にログインしている場所や、直近10件のアクセスの IP アドレスとおおよその場所が分かり、覚えのないアクセスがあれば、すぐにパスワードを変えるよう案内されています。

設定では、次の項目が自分で入れたものかを確かめてください。

• メール転送と POP/IMAP：知らないアドレスへの転送がないか
• フィルタとブロック中のアドレス：「転送」や「削除」のフィルタがないか
• アカウントとインポート：他人にアクセス権を与えていないか

Google は、新しいデバイスからのログインや、大量のメール送信のような動きを見つけるとセキュリティ通知を送ります。

一方で、innovaTopia によると、10月には送信元が no-reply@accounts.google.com と表示され、「アプリパスワードが作成された」と知らせる形の偽のメールが報告されました。

リンク先は誰でもページを作れる sites.google.com 上にあり、最後にメールアドレスとパスワードを入れさせる作りだったとされています。

Google は、メールや電話、メッセージでパスワードや確認コードを聞くことはありません。

通知が届いたら、リンクは使わず、自分で myaccount.google.com を開いて確かめてください。

Googleアカウントが乗っ取られたときの復旧手順

ログインできる場合は、パスワードの変更から始めて、つながっているサービスまで順に見直します。

ログインできない場合は、Google のアカウント復元のページを使います。

お金に関わるサービスを使っている人は、金融機関への連絡も並行して進めましょう。

まだログインできる場合にやること

1. Google アカウントのパスワードを、ほかで使っていない新しいものに変える
2. 「お使いのデバイス」で、知らない端末をすべてログアウトする
3. 再設定用の電話番号・メールアドレスと、2段階認証の方法を確かめる
4. Gmail の転送・フィルタ・アクセス権を元に戻す
5. 同じパスワードのサービス、Google でログインしているサービス、パスワード マネージャーに保存したパスワードを変える

Google アカウントのパスワードを変えると、アプリ パスワードも取り消される仕組みです。

アプリ パスワードは、2段階認証を使っているアカウントで古いアプリのために作る16桁のパスコードで、Google はほとんどの場合は不要だとしています。

警察庁も、パスワードの変更、見覚えのない端末のログアウト、登録情報や認証方法の確認を呼びかけています。

Google Pay や Chrome にカードの情報を保存している場合は、銀行やカード会社に確かめるよう案内されています。

証券口座の不正利用が疑われる場合、SMBC日興証券は、すぐにコールセンターへ連絡するよう求めています。

ログインできない場合の復元と相談先

パスワードや再設定用の電話番号を変えられた場合は、Google のアカウント復元のページを開き、質問にできるだけ答えます。

Google のヘルプにあるコツは次のとおりです。

• 普段ログインしている端末といつものブラウザを使い、自宅や職場など普段の場所から試す
• 質問は飛ばさず、分からなければいちばん近いと思う答えを入れる
• パスワードは、思い出せる範囲でいちばん新しいものを入れる
• Google からのメールが見つからなければ、迷惑メールのフォルダも見る

本人確認に通らなかったという表示が出ても、もう一度試せます。

事前に「アカウント復元用の連絡先」を登録していれば、家族や友人に手伝ってもらう方法もあります。

復元のページで相手を選んで番号を取得し、15分以内にその番号を伝えて、相手の端末に出る3つの番号から選んでもらう仕組みです。

乗っ取りを防ぐ設定：2段階認証・パスキー・再設定用の情報

防ぐ設定は、入られにくくする2段階認証とパスキー、締め出されても戻れるようにする再設定用の情報の2つに分けて考えます。

Google の「セキュリティ診断」を開くと、自分のアカウントに足りない設定が表示されます。

2段階認証とパスキーを設定する

2段階認証は、パスワードのほかに、スマートフォンやセキュリティキーなどの持ち物で本人かを確かめる仕組みです。

myaccount.google.com の「セキュリティとログイン」で、「Google にログインする方法」から「2 段階認証プロセスを有効にする」を選びます。

パスキーは、パスワードの代わりに指紋・顔認証・画面ロックでログインする方法で、パスワードを入れないため偽のサイトに渡してしまう危険を減らせます。

myaccount.google.com/signinoptions/passkeys で「パスキーを作成」を選びます。

端末のロックを解除できる人はログインできてしまうので、パスキーは自分だけが使う端末で作ってください。

新しいパスキーが使えるまで、約7日かかる場合もあります。

再設定用の情報・復元用の連絡先・パスワードの使い回し

再設定用の電話番号とメールアドレスは、不審な動きの通知を受け取ったり、締め出されたときに戻ったりするために使います。

SBI証券も、Google アカウントに登録された電話番号とメールアドレスが自分のものかを確かめるよう呼びかけています。

アカウント復元用の連絡先は、最大10件まで登録できます。

相手が承認するまでの猶予が最長7日間あり、承認されてからさらに7日たたないと使えないので、ログインできなくなってからでは間に合いません。

Google Workspace のアカウントや、高度な保護機能プログラムに登録したアカウントでは設定できません。

総務省の国民のためのサイバーセキュリティサイトは、流出した情報で別のサービスに不正ログインを試す攻撃があるため、パスワードを使い回さないよう求めています。

目安は10文字以上のランダムな英数字で、流出の事実がなければ定期的な変更は必要ないとしています。

Google パスワード マネージャーの「パスワード チェックアップ」を使えば、漏えい・使い回し・弱いパスワードの確認も可能です。

使っていないアプリは「Google アカウントへのアクセス権」から外し、使っていない端末や古いメールアドレスも定期的に見直しましょう。

まとめ：Googleアカウントの乗っ取り対策は入口を固めること

Googleアカウントの乗っ取りは、Gmailの再設定メール、Googleでログイン、保存したパスキーやパスワードを通じてほかのサービスに広がるため、2段階認証かパスキーと再設定用の情報で入口を固めることが対策の中心です。

• 不審な通知：リンクは使わず、自分で myaccount.google.com を開く
• ログインできる：パスワードを変え、知らない端末をログアウトし、Gmail の設定を戻す
• ログインできない：普段の端末と場所から、復元のページで答える
• お金のサービス：同じパスワードやつながっているサービスを変え、金融機関に連絡する

復元用の連絡先やバックアップ コードは、ログインできるうちにしか用意できません。

今日のうちにセキュリティ診断を開き、足りない設定を1つずつ埋めておきましょう。