Gmailが乗っ取られたときの対策｜確認から復旧までの順番

まず、落ち着いてください。gmail 乗っ取り対策で本当に大事なのは、対策ソフトを買うことでも、難しい設定を覚えることでもありません。順番です。確かめる、止める、仕掛けを外す、入り口を作り直す。この4つを上から順にやれば、被害はほとんどの場合そこで止まります。

逆に、順番を飛ばすと厄介になります。よくあるのが、パスワードだけ変えて安心してしまう形です。メールを自動で外へ転送する設定が残っていれば、パスワードを変えたあとも中身は流れ続けます。パスワードは入り口の鍵ですが、家の中に置かれた勝手口はそのままだからです。

この記事では、確認のしかたから、止める順番、仕掛けの外し方、戻れなくなったときの備え、そして仕事で使っているメールを守るための連絡までを順に見ていきます。在宅で働いている人にとって、メールアドレスは名刺であり請求書の宛先でもあるので、最後にその話もします。

不正ログインは「毎年出てくる脅威」であって、珍しい事故ではない

独立行政法人情報処理推進機構、略してIPAという国の機関が、毎年「情報セキュリティ10大脅威」という資料を出しています。前の年に社会的な影響が大きかった事故や攻撃を、研究者や企業の実務担当者およそ250名が審議して選び出したものです。

その2026年版の個人向けの項目に、「インターネット上のサービスへの不正ログイン」が入っています。しかもこの項目は2016年の初選出から数えて11年連続の選出です。特定の年に流行した手口ではなく、10年以上ずっと起き続けているということになります。

ここから分かることは1つです。乗っ取りは、不用心な人だけが遭う特別な出来事ではありません。どこかのサービスから漏れた利用者名とパスワードの組み合わせを、別のサービスで片っ端から試す攻撃が自動で回っています。攻撃する側は、誰のアカウントかを見ていません。組み合わせが通るかどうかだけを見ています。

だから対策の考え方も、「狙われないようにする」ではなく「通らないようにする」になります。パスワードを使い回さない、2つ目の鍵を付ける。この2つが柱で、残りは補助です。

本当に乗っ取られているのか、先に確かめる

「知らないメールが届いた」「ログインできない」という段階では、まだ乗っ取りと決まっていません。確かめる場所は3つあります。

1つ目が、Googleアカウントの管理画面にあるセキュリティの項目です。ここには最近のログインの記録と、そのアカウントでログイン中の端末の一覧が並びます。覚えのない端末名や、行ったことのない地域からのログインが並んでいれば、疑う根拠になります。

2つ目が、Gmailの受信トレイをいちばん下まで送ったところに出る、最後のアカウント処理の表示です。そこから詳細を開くと、いつ、どの方法で、どのIPアドレスからアクセスがあったかの一覧が出ます。IPアドレスとは、インターネット上の住所にあたる番号のことです。自分が使っていない時間帯にアクセスが並んでいれば、そこが手がかりになります。

3つ目が、送信済みメールと削除済みメールです。乗っ取った側は、自分が送った形跡を消しにかかります。送信済みが不自然に空っぽだったり、削除済みに覚えのないメールが入っていたりするのは、かなり確度の高い兆候です。

この3か所を見ても判断がつかないときは、アカウントの設定そのものを見ます。乗っ取った側は、あとで入り直せるように必ず何かを書き換えます。何も書き換わっていないなら、入られていない可能性が高くなります。逆に、回復用の電話番号が1つ増えている、知らない端末が「信頼済み」になっている、といった変化が1つでもあれば、そこで判断してよい段階です。

注意してほしいのが、「自分のアドレスから自分に届いた迷惑メール」です。これは差出人の欄を偽っているだけで、アカウントに入られたわけではない場合がほとんどです。差出人の表示は手紙の封筒に書く名前と同じで、書こうと思えば誰でも書けます。慌てる前に、上の3つを見てください。

入られていたときに、この順番で止める

乗っ取られていると判断したら、次の順番で動きます。順番に意味があります。

最初にパスワードを変えます。このとき、他のサービスで使っている文字列を流用しないでください。流用すると、次の攻撃の的が増えるだけです。

次に、そのアカウントでログイン中の端末をすべてログアウトさせます。パスワードを変えただけでは、すでに入っている状態のセッションが残ることがあります。セッションとは、ログインしたあとにしばらく続く「入ったままの状態」のことです。ここを切らないと、相手は中に居座ったままになります。

3つ目に、2段階認証をオンにします。オンになっていたのに入られたなら、登録されている2つ目の鍵に、相手が追加したものが混ざっていないかを見ます。

4つ目に、そのアカウントとつながっている外部のアプリやサービスの一覧を開き、覚えのないものを外します。メールを読む権限を持ったまま放置されているアプリは、パスワードの変更では止まりません。

最後に、回復用のメールアドレスと電話番号を確認します。ここを相手のものに書き換えられていると、あとからアカウントを取り返す手続きがすべて相手側に届きます。乗っ取りで最も実害が大きいのがここです。

仕掛けを外す作業が、いちばん抜けやすい

パスワードと2段階認証で入り口は閉まりました。ここから先が、冒頭で書いた「勝手口」の話です。

見るべき場所は4つあります。1つ目が転送の設定です。届いたメールを自動的に別のアドレスへ送る機能で、ここに知らないアドレスが入っていれば、中身は外へ流れ続けます。

2つ目がフィルタです。条件に合うメールを自動で処理する機能で、「銀行」や「請求」といった語を含むメールを自動で既読にして削除する、といった設定が仕込まれることがあります。本人が気づきにくくするための仕掛けです。

3つ目が、送信に使えるアドレスの追加です。自分のアカウントから別のアドレスの名前で送れるようにする機能で、ここを使って取引先へ偽の請求書を送る手口があります。

4つ目が、他の人にアカウントへのアクセス権を渡す設定です。秘書や同僚に代理で読んでもらうための機能ですが、乗っ取った側が自分を登録していけば、パスワードを知らないまま読み続けられます。

画面の名前や場所は更新で変わることがあるので、設定の一覧を上から順に目で追ってください。「自分が入れた覚えのない項目が1つでもないか」という見方で十分です。

パスワードは、複雑さよりも長さと使い回しで決まる

安全なパスワードの作り方は、国の資料がはっきりと書いています。総務省の「国民のためのサイバーセキュリティサイト」では、理想として最低でも10文字以上の長さを挙げ、覚えなければならない場合の作り方まで示しています。

理想的には、最低でも10文字以上の文字数で構成されるある程度長いランダムな英数字の並びとし、パスワード内に数字や記号、アルファベット（大文字、小文字）が混ざっていることが好ましいですが、覚えなければならないパスワードの場合は、無関係な（文章にならない）複数の英単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることができます。 出典: soumu.go.jp

同じページは、危険な例も具体的に並べています。IDと同じ文字列、名前や電話番号や生年月日、辞書に載っている英単語1つだけ、同じ文字の繰り返しやキーボードの並び、短すぎる文字列です。

そしてもう1つ、多くの人の感覚とずれている点があります。定期的な変更は不要だと書かれていることです。流出した事実がないなら変える必要はなく、むしろ定期的に変えさせると作り方がパターン化して簡単になったり、使い回しが始まったりするほうが問題だという説明です。

つまり優先順位は、「3か月ごとに変える」ではなく「長くする」と「使い回さない」です。全部を覚えるのは無理なので、同じページはパスワード管理ツールの利用も推奨しています。

2段階認証は、どの方式を選ぶかで強さが変わる

2段階認証とは、パスワードに加えてもう1つの確認を挟む仕組みのことです。総務省はこれを基本の3原則の1つに挙げています。

推測されにくく、かつ文字数の多いパスワードを設定することは、不正アクセス防止に役立ちます。また、設定と同様に重要なのがパスワードの管理で、同じパスワードを複数のサービスで使いまわさない等、意識することが重要です。さらに、可能であれば多要素認証を活用して、ログイン時のセキュリティを強化します。 出典: soumu.go.jp

ただし、方式によって強さは違います。ショートメッセージで数字を受け取る方式は、設定が簡単で普及していますが、偽のログイン画面に数字を入力させて、その場で本物へ流し込む手口には弱いところがあります。届いた数字を人が打ち込む以上、打ち込む先を間違えさせられると通ってしまうからです。

認証アプリで数字を作る方式は、電話番号の乗っ取りに巻き込まれない分だけ有利です。端末そのものを鍵にするパスキーや、物理的なセキュリティキーを使う方式はさらに強く、偽サイトでは原理的に成立しません。鍵が「どのサイトに対するものか」を見ているためです。

在宅で仕事のやり取りをしているなら、少なくとも認証アプリ以上にしておく価値があります。仕組みの違いと製品ごとの比較は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が方式ごとの長所と短所を整理しているので、選ぶときの下敷きになります。

入れなくなったときに戻る道を、先に作っておく

2段階認証を強くすると、必ず出てくるのが「端末をなくしたら入れなくなるのでは」という心配です。これは正しい心配で、実際に起こります。

備えは3つです。1つ目がバックアップコードです。あらかじめ発行される使い捨ての文字列で、これを印刷して財布や書類入れに入れておけば、端末がなくても入れます。画面の写真で残すと、その端末が壊れたときに一緒に消えるので、紙が向いています。

2つ目が、2つ目の鍵を2種類登録しておくことです。認証アプリとセキュリティキー、あるいは別の端末。1つ壊れてももう1つで入れます。

3つ目が、回復用のメールアドレスと電話番号を、今使っているものに直しておくことです。何年も前に登録した、もう使っていないアドレスのままになっている人は珍しくありません。いざというときの連絡が届かない状態で放置するのは、鍵を失くしたときの合鍵を捨てているのと同じです。

この3つをやっておくと、乗っ取られたときの復旧も速くなります。本人だと示す材料が多いほど、アカウントを取り戻す手続きは通りやすくなるからです。

届く偽メールを見分ける、実務的な線引き

乗っ取りの入り口で最も多いのが、本物そっくりの画面にパスワードを打たせる手口です。フィッシングと呼ばれます。総務省が挙げる3原則の3つ目も、メールやSMSのリンクや添付ファイルを不用意に開かないことでした。

見分け方のコツは、文面の日本語ではありません。今の偽メールは日本語が自然です。見るべきは2か所あります。

1か所目は、そのメールが「あなたに何をさせようとしているか」です。急いでリンクを開かせる、期限を切る、アカウントの停止をちらつかせる。この3つが揃ったら、内容が何であれ疑ってよい段階です。

2か所目は、リンクを踏んだあとの画面のアドレス欄です。ログイン情報を入れる直前に、ブラウザの上に出ているアドレスを見ます。少しでも見慣れない並びなら、そこで止めます。ここを見る癖がつけば、文面の巧拙は関係なくなります。

もう1つ、最近増えている形にも触れておきます。メールではなく、パソコンの画面に突然「ウイルスに感染しました」という警告を出し、そこに書かれた番号へ電話をかけさせる手口です。サポート詐欺と呼ばれ、IPAの10大脅威でも個人向けの項目に挙がっています。電話の先で遠隔操作のソフトを入れさせられ、そのまま端末の中を見られます。

この警告は、画面いっぱいに出て音が鳴り、閉じるボタンが効かないように作られていることがあります。慌てて電話をかけてしまう人が多いのは、そこが狙いだからです。対処は単純で、ブラウザを強制的に終了させれば消えます。端末の電源を切って入れ直しても構いません。表示された番号にかけないこと、画面の指示でソフトを入れないこと。この2つだけ覚えておけば被害は出ません。

もっと確実なのは、メールのリンクからログインしないと決めてしまうことです。用がありそうなら、自分でブックマークから開く。これだけで、この手口はほぼ通らなくなります。会社として従業員に教える立場なら、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが、訓練の組み立て方と効果の測り方をまとめています。

復旧の作業を、時間の順に並べておく

やることが多く見えるので、時間軸に並べ直します。順番どおりに進めれば迷いません。

時点	やること	目安の時間
気づいた直後	パスワード変更、全端末のログアウト	10分
同日	2段階認証の有効化、バックアップコードの印刷	15分
同日	転送、フィルタ、送信用アドレス、代理アクセスの点検	20分
同日	外部アプリの連携を見直し、覚えのないものを解除	10分
翌日まで	回復用の連絡先を現在のものに更新	5分
翌日まで	取引先と関係者への連絡	30分
1週間後	ログイン履歴を再確認、再発がないか点検	10分
1か月後	同じパスワードを使っていた他のサービスを順に変更	60分

最後の行を飛ばす人が多いので、ここだけ補足します。乗っ取りの多くは、別のサービスから漏れた組み合わせを試された結果です。つまり、同じ文字列を使っていた他のサービスも同じ危険にさらされています。メールを直して終わりにすると、翌月に別のサービスで同じことが起きます。

作業そのものは合計でおよそ2時間半です。分けてやってよいので、上から順に消していってください。

家族や共用の端末を使っているときの注意

在宅で仕事をしていると、家族と端末を共有している場面が出てきます。リビングのパソコンで少しだけ作業する、子どものタブレットで資料を確認する、といった形です。ここに乗っ取りの入り口ができやすくなります。

原因は3つあります。1つ目が、ログインしたままにしてある状態です。共用の端末でログインを保持すると、その端末を使う全員が中身を読める状態になります。悪意の有無とは関係なく、誤って転送してしまう事故も起こります。

2つ目が、ブラウザに保存したパスワードです。保存そのものは推奨されている方法ですが、共用の端末では、端末のロックが甘い時点で保存した意味が薄くなります。保存した鍵束を、鍵のかからない引き出しに入れている状態に近いからです。

3つ目が、家族が入れたアプリや拡張機能です。本人は無害なつもりで入れたものが、広告の差し込みや通信の記録を行うことがあります。

対策は、仕事で使うアカウントは仕事用の端末でしか開かないと決めることです。それが難しいなら、共用の端末ではブラウザのゲストモードを使い、作業が終わったら閉じる。端末側にも利用者ごとのアカウントを作り、それぞれにロックをかける。この2つで実務上はほぼ足ります。

スマートフォン側で見落とされやすい設定

パソコンの設定ばかり点検して、スマートフォンが抜けている例をよく見ます。今のメールは、読む時間の大半がスマートフォンです。

見るべき点は4つあります。1つ目が画面ロックです。数字4桁だけにしている人は、生体認証か6桁以上に変えます。端末を拾われた時点でメールが全部読まれる構図を、まずここで切ります。

2つ目が通知の表示です。ロック画面に本文の冒頭まで出る設定だと、端末を開かなくても内容が読めます。認証の数字が通知に出るのも同じ問題です。仕事の端末では、ロック中は差出人だけ出す設定が無難です。

3つ目が、メールアプリに追加された別のアカウントです。乗っ取りとは別に、譲り受けた端末や修理から戻った端末に、見覚えのないアカウントが残っていることがあります。

4つ目が、OSの更新です。更新の通知を何か月も放置している端末は、既に公開されている欠陥を抱えたまま動いています。更新に含まれる修正は、攻撃側にとっても「どこが弱かったか」の答え合わせになるため、放置している端末ほど狙いやすくなります。

外出先のWi-Fiと、アカウントの関係

カフェやホテルの無料Wi-Fiが危ないという話は広く知られていますが、内容が古いまま伝わっていることがあります。

今の状況を整理すると、通信そのものは多くのサイトで暗号化されているので、同じWi-Fiにいる人に中身を読まれる場面は昔より減りました。残っている危険は別のところにあります。

1つが、接続する前に出る同意の画面です。名前が似ているだけの偽のアクセスポイントに接続させ、そこで偽のログイン画面を出す手口があります。店名に似た名前が2つ並んでいたら、店の人に正しい名前を聞くのが確実です。

もう1つが、接続中に出る「証明書に問題があります」という警告です。これは通信の相手が本物か確かめられないという意味で、ここで進むと中身が読める状態になります。警告が出たら、そのネットワークでは仕事のアカウントを開かないでください。

安全側に倒すなら、外出先ではスマートフォンの回線を使ってパソコンをつなぐ方法が簡単です。速度は落ちますが、接続先が自分の回線に固定されるので、上の2つの手口はどちらも成立しません。

端末そのものが原因なら、アカウントだけ直しても戻る

パスワードを変え、2段階認証を入れ、転送も外した。それでもまた入られる。この場合に疑うのは、アカウントではなく端末です。

打った文字を記録して外へ送るプログラムが入っていると、変えたばかりのパスワードもその場で相手に渡ります。ブラウザに入れた拡張機能が原因のこともあります。便利そうな無料の拡張が、あとから所有者が変わって中身を差し替えられる事例が知られています。

やることは3つです。OSとブラウザを最新にすること、提供元がはっきりしないアプリと拡張を外すこと、セキュリティ対策ソフトで全体を検査すること。総務省が3原則の1つ目に「ソフトウェアを最新に保とう」を置いているのは、更新に脆弱性の修正が含まれるからです。脆弱性とは、プログラムに残っている欠陥のうち、攻撃に使えるもののことを指します。

それでも収まらないなら、端末を初期化して作り直すのが確実です。手間はかかりますが、入られ続ける状態を放置するより損は小さく済みます。

狙われやすいアカウントには共通点がある

攻撃する側は、誰か1人を選んで調べているわけではありません。自動で大量に試し、通ったところだけ人が見に行きます。その仕組みから逆算すると、突破されやすいアカウントの共通点が見えてきます。

1つ目が、他のサービスと同じパスワードを使っていることです。これが最大の要因で、ここを直すだけで自動の攻撃はほぼ通らなくなります。

2つ目が、2段階認証を入れていないことです。組み合わせが当たった瞬間にそのまま入れてしまうため、当たりを引かれた時点で終わりになります。

3つ目が、回復用の連絡先が古いことです。入られたあとに書き換えられると、本人よりも相手のほうが復旧の手続きに近い位置に立ちます。

4つ目が、そのアドレスが多くのサービスの登録先になっていることです。メールは鍵そのものではありませんが、他のサービスのパスワード再設定の宛先になっています。つまりメールを取られると、そこにつながる他のサービスも連鎖して取られます。金融や決済のサービスを同じアドレスで登録していると、被害の広がり方が一段変わります。

裏を返せば、この4つを潰せば、狙われにくいのではなく「試されても通らない」状態になります。順番としては、使い回しの解消、2段階認証、回復用連絡先の更新、登録先の分散です。

アドレスを1つにまとめすぎない

仕事を在宅で受けている人に、特に効く考え方があります。用途でアドレスを分けることです。

分け方は3つで足ります。取引先とやり取りする仕事用、金融や決済の登録に使う管理用、買い物や会員登録に使う日常用です。日常用は漏れる前提で扱います。実際、流出の多くは自分ではなく利用したサービス側で起きるので、どれだけ気をつけても完全には避けられません。

分けておく利点は2つあります。1つは、日常用が漏れても仕事と金銭に届かないことです。もう1つは、不審なメールが届いたときに真偽を判断しやすくなることです。金融機関を名乗るメールが日常用のアドレスに届いたら、その時点で偽だと分かります。登録していないアドレスに本物は届かないからです。

この判断材料は、文面を読むより確実です。手口が巧妙になっても、宛先という事実は変えられません。分けるのに費用はかからず、必要なのは最初の登録し直しの手間だけです。

仕事で使っているなら、連絡までが対策

ここからは在宅で仕事をしている人向けの話です。

乗っ取られたアカウントで最も実害が出るのは、自分の被害ではなく取引先の被害です。過去のやり取りを読んだ相手が、そのスレッドに割り込んで「振込先が変わりました」と送る。文面も経緯も本物なので、先方は疑いません。これはビジネスメール詐欺と呼ばれ、IPAの10大脅威でも組織向けの項目に毎年入っています。

だから復旧作業と同時に、取引のある相手へ一報を入れます。書くのは3つだけで十分です。いつからいつまでの間に不審なアクセスがあったこと、その間に届いたメールのうち振込先や添付ファイルに関わるものは一度保留してほしいこと、確認は電話など別の手段で行いたいこと。

謝罪を長く書く必要はありません。相手が知りたいのは、自分が今から何をすればよいかです。事実と依頼を短く書いたほうが伝わります。取引先を経由して被害が広がる構図そのものは、取引先経由のウイルス侵入を防ぐ！中小企業のサプライチェーンリスク管理が事例と対策の順番でまとめています。

こうした連絡文を、慌てずに短くまとめられるかどうかは、日ごろの文書の作り方で差が出ます。報告や依頼の型を体系的に押さえたいならビジネス文書検定が扱う範囲が近く、ネットワークやアクセス制御の用語を根っこから知りたいならCCNA（シスコ技術者認定）が入口になります。

在宅で働く人にとって、アカウントは仕事道具

運営者として在宅の仕事の市場を20年見てきた立場から言えば、長く続く人ほど、道具の管理に手間をかけています。派手な話ではありません。連絡先を1つに集めず、仕事のメールと私用のメールを分け、鍵を二重にしておく。それだけです。

理由は単純で、在宅の仕事は信用が資産だからです。納品物の質も大事ですが、それ以上に「この人に頼むと面倒が起きない」という評価が次の依頼を呼びます。アカウントを乗っ取られて取引先に偽の請求が飛べば、実力とは関係のないところでその評価が消えます。復旧そのものは数日で終わっても、失った信用は数日では戻りません。

もう1つ、中間に人が入らない直接の取引では、依頼する側は同じ予算でより多くを頼め、受ける側は手取りが厚くなります。手数料0%という仕組みの効き方は、金額の大小よりも、その関係が何年続くかで表れます。だからこそ、関係を断ち切る事故を起こさないことの価値が大きくなります。

セキュリティの知識は、守るためだけのものでもありません。企業側の需要は明確にこの方向へ動いています。AI・マーケティング・セキュリティのお仕事は、企業が外部に出したがっている仕事の中身を領域ごとに整理したページで、今の需要がどこに寄っているかが分かります。業務の中にAIをどう入れるかを支援する形ならAIコンサル・業務活用支援のお仕事が近く、こちらは継続契約になりやすい分野です。

単価の相場も、思い込みではなく数字で見たほうが判断が速くなります。ソフトウェア作成者の年収・単価相場は公的な統計をもとに職種ごとの水準を並べたページで、技術寄りの仕事を受けるときの目安になります。書く仕事が主軸なら著述家，記者，編集者の年収・単価相場のほうが実態に近い数字が並びます。

最後に、この記事で挙げた作業のうち、今日やる価値が最も高いものを1つだけ選ぶなら、2段階認証の有効化とバックアップコードの印刷です。パスワードの変更よりも先に効きます。所要はおよそ10分で、そのあと何年も効き続けます。

よくある質問

Q. パスワードを変えれば乗っ取りは止まりますか？

止まらないことがあります。メールを自動で外へ転送する設定や、条件に合うメールを自動で削除するフィルタ、外部アプリへのアクセス権が残っていると、パスワードを変えたあとも情報は流れ続けます。パスワード変更、全端末のログアウト、2段階認証、外部連携の解除、転送とフィルタの点検まで通してください。

Q. パスワードは定期的に変えたほうがよいですか？

総務省の資料では、流出した事実がない場合に定期的な変更は不要だと説明されています。定期変更を課すと作り方がパターン化したり使い回しが始まったりするほうが問題になるためです。優先すべきは、10文字以上の長さを確保することと、サービスごとに違う文字列にすることです。

Q. 2段階認証はどの方式を選べばよいですか？

仕事でメールを使うなら、ショートメッセージよりも認証アプリ以上を選んでください。SMSの数字は偽のログイン画面に入力させて本物へ流し込む手口に弱いためです。端末そのものを鍵にするパスキーや物理的なセキュリティキーは、偽サイトでは成立しない仕組みなのでさらに安全です。

Q. 乗っ取られたとき、取引先には何を伝えればよいですか？

不審なアクセスがあった期間、その間に届いたメールのうち振込先や添付ファイルに関わるものは一度保留してほしいこと、確認は電話など別の手段で行いたいことの3点で足ります。長い謝罪より、相手が今から何をすればよいかを先に書いたほうが実害を防げます。