「アカウントがハッキングされました」というメールが来た！本物か偽物かの見分け方と、押した・払ったときの対処

01この記事でわかること（3行まとめ）

• メールの中のリンクは押さずに確かめます。本物でも偽物でも、確かめる方法は同じです。自分で公式アプリや公式サイトを開いて、ログイン履歴を見ます。
• 「お金を払え」と書いてあれば脅迫メールです。IPAは、無視して削除し、支払わないよう案内しています。書かれたパスワードを今も使っていれば変更します。
• 履歴に覚えのないログインがあれば本物の被害です。そのときはメールの真偽にかかわらず、パスワードの変更などに進みます。

02届くメールは3種類あります

「ハッキングされた」と書かれたメールは、ねらいで3つに分かれます。どれに近いかで、やることが変わります。

見た目だけで偽の警告と本物の通知を分けるのは、慣れた人でも難しいことがあります。そのため、この記事では「見分けてから動く」のではなく、「どちらであっても同じ安全な方法で確かめる」やり方をすすめます。

03まず確認すること：公式から入って履歴を見る

1. メールのリンクと添付ファイルは開かない。返信もしない。書かれた電話番号にもかけない。
2. 名乗っているサービスの公式アプリを開くか、ブックマークや検索から公式サイトへ自分で入る。
3. ログイン履歴やセキュリティの通知を見て、メールと同じ内容の記録があるか確かめる。
4. 覚えのないログインや設定の変更があれば、パスワードを変える。なければ、メールは削除してかまわない。

IPAも、突然届いた不審なメールは、添付ファイルを開かず、URLにアクセスせず、電話せず、返信しないよう案内しています。真偽は、公式サイトなど確かな情報源で確かめるようにとしています。

Googleの場合

Googleは、セキュリティのメールが偽物かもしれないと感じたら、メールのリンクを使わず myaccount.google.com/notifications へ直接アクセスするよう案内しています。ここで最近のセキュリティの動きを確かめられます。ここに記録がなければ、そのメールは信用しないでください。

記録に覚えのないものがあれば、「いいえ、アカウントを保護します」などの案内に沿って進みます。Googleのメールが、ログイン中の人にパスワードの入力を求めることはないともGoogleは説明しています。

Microsoftの場合

Microsoftアカウントの「最近のアクティビティ」で、過去30日以内の使用の日時と場所を確かめられます。「不審なアクティビティ」の欄に出ていれば「自分ではありません」を、「最近のアクティビティ」の欄にあれば「アカウントを保護する」を選びます。

Microsoftは、正規の通知の送信元を account-security-noreply@accountprotection.microsoft.com と案内しています。ただし、次の節のとおり、見かけの送信元は偽装できます。このアドレスだったからといってリンクを押さず、自分でサインインして確かめてください。

Appleの場合

account.apple.com にサインインして、登録情報と「デバイス」の一覧を確かめます。Appleは、パスワードやセキュリティコードを電話などで尋ねることはないとしています。Appleを装った疑わしいメールは reportphishing@apple.com に報告できます。

Instagramの場合

アプリの設定の「最近のメール」で、過去14日間にInstagramが公式に送ったメールを確かめられます。そこにないメールはInstagramが送ったものではありません。Facebookも同じMetaのサービスで、Facebookが乗っ取られたときに手順をまとめています。

そのほかのサービス

銀行、通販、携帯会社なども、基本は同じです。メールのリンクではなく、公式アプリか自分で開いた公式サイトからログインして、お知らせや履歴を確かめます。そこに何も出ていなければ、まず偽物と考えられます。心配なら、公式サイトに書かれた窓口へ問い合わせます。

0430秒で見分ける：文面のチェック表

本文を読んだら、次の表で当てはめてみてください。上から順に見て、最初に当てはまった行が目安です。最後に公式で確かめるのは、どの場合も同じです。

Googleによると、本物の通知には端末の種類、日時、場所などのログイン情報が示されます。ただ、偽物がこれをまねることもできます。最後の行が「本物」ではなく「確かめる」になっているのは、そのためです。

05差出人が本物に見えても、信じてはいけない理由

IPAは「メールの見かけ上の送信元情報を安易に信じないで」と注意を呼びかけています。表示名やメールアドレスは、メールソフトやサービスの設定で好きなものを登録して送れるからです。IPAが示した例では、Amazonになりすましたメールの表示名は「Amazon顧客サービス」で、アドレスも正規のものに見えました。

スマホのメールアプリは表示される項目が少ないので、さらに判断しにくくなります。つまり、差出人が公式に見えることは、本物の証拠になりません。逆に、見覚えのないアドレスから届いたら、怪しいと考えて差し支えありません。

パソコンなら、リンクにカーソルを合わせると飛び先のURLが見えます。Googleは、表示されるURLがリンクの説明と一致するかを確かめるよう案内しています。Appleは、次のような点を偽物の手がかりに挙げています。

• 送信者のアドレスが、名乗る会社の名前と結びつかない
• 会社に登録している連絡先とは違う宛先に届いている
• リンク先が、その会社の正規のサイトと一致しない
• 以前その会社から届いたメールと、見た目が大きく違う
• カード番号やパスワードなどの個人情報を求めてくる
• 心当たりのないメールにファイルが添付されている

これらに当てはまらなくても、本物とは限りません。あくまで「怪しいと気づくための手がかり」として使い、最後は公式から確かめてください。

06脅迫メールの特徴：お金を要求してくるもの

「ハッキングした」という文面でよく見られるのが、この種類です。IPAはこれを「暗号資産（仮想通貨）で金銭を要求する迷惑メール」と分類しています。2025年1月から3月だけで118件の相談が寄せられ、前の四半期の52件から増えました。

IPAとJC3が挙げている特徴は次のとおりです。

• メールアカウントにアクセスした、マルウェアに感染させて履歴やデータを集めた、と主張する
• アダルトサイトを見ている姿をカメラで撮影したと主張し、家族や同僚にばらまくと脅す
• 一定の時間内にビットコインを送るよう要求する
• 行動を追跡していると主張し、警察や友人に相談しないよう脅す
• 送信元が自分のメールアドレスになっている
• 昔設定したパスワードが、件名や本文の最初に書かれている

日本語の不自然さで見抜くことはできなくなってきています。JC3は、絵文字を使ったり記述を具体的にしたりして、より自然な日本語になっていると説明しています。

脅迫の中身にも根拠はありません。IPAが確認した範囲では、メールに映像へのリンクや添付ファイルはありませんでした。支払わなかったために映像がばらまかれた事例も、IPAの窓口では確認されていません。2025年1月から3月の報告では、金銭を支払ってしまったという相談も確認されていません。

自分のアドレスから届いたのは、なぜ？

自分のアドレスが差出人でも、乗っ取られたとは限りません。IPAは、これは送信元の偽装であり、アカウントが乗っ取られたように感じられるものの実際にはそうではないと説明しています。JC3も、偽装は一般的な手法なので冷静に対処するよう呼びかけています。

不安なら、自分のメールの「送信済み」を見てください。そのメールが入っていなければ、自分のアカウントから送られたものではないと考える材料になります。

本物のパスワードが書かれていたのは、なぜ？

これが一番怖いところですが、端末に入られた証拠にはなりません。IPAは、過去にウェブサービスなどから漏えいしたデータをもとにしていると考えています（流出の経路と原因は不明としています）。

ただし、書かれたパスワードが漏れているのは確かです。今も使っているサービスがあれば、すぐに変更してください。同じパスワードを使い回している先もすべて変え、対応していれば2段階認証を設定します。自分の情報がどこで漏れたかは、メールアドレスの漏洩を確認する方法で調べられます。

07脅迫メールが来たときにやること

1. 支払わない。返信しない。リンクも開かない。
2. メールを削除する（警察などに相談する予定があれば、削除せずに残す）。
3. 書かれたパスワードを今も使っていれば、変更する。使い回している先も変える。
4. 2段階認証を設定する。
5. ウイルス対策ソフトを最新にする。JC3も、ウイルス対策とメールのフィルタリングを勧めています。

「誰にも相談するな」と書かれていても、従う必要はありません。JC3が挙げるとおり、相談させないこと自体が脅しの一部です。不安なときは、下の相談先に電話してください。

08偽の警告の特徴：入力させようとするもの

こちらはお金を直接求めず、ログインやカード番号の入力へ誘います。文面の例は次のようなものです。

• 「不正アクセスを検知しました。下のボタンから確認してください」
• 「24時間以内に手続きしないとアカウントを停止します」
• 「お支払い方法を更新してください」

急がせるのは、公式で確かめる時間を与えないためです。本物の通知であれば、リンクを使わず公式から入っても同じ情報を確かめられます。急いでいるときほど、自分で公式を開いてください。

なお、Instagramは、アカウントに関する連絡をDMで送ることはないと説明しています。詳しい手口はフィッシングの用語ページにまとめています。

09本物の通知だったときにやること

公式の履歴に、メールと同じ記録がある場合は本物の通知です。自分の操作に覚えがあるなら、何もしなくてかまいません。Googleなら「はい」を選ぶだけです。新しいスマホに替えたばかり、という場面ではよく届きます。

覚えがないなら、被害の入口にいます。次の順に進めてください。

1. 通知の画面や履歴の案内に沿って「アカウントを保護する」を選ぶ。
2. パスワードを変える。同じパスワードを使っているサービスも変える。
3. 2段階認証を有効にする。
4. 知らない端末をログアウトさせ、メールの転送設定を確かめる。

「ブロックされました」という通知は、入られる前に止まった状態を指します。Googleは、本人かどうか判断できないアクセスをブロックしたときに届くと説明しています。入られていなくても、パスワードは知られている可能性があるので、変えておくと安心です。

確かめる範囲はハッキングされたか確認する方法に、取り戻す手順はGoogleアカウント、Apple ID、インスタ、X、LINEの記事にまとめています。

10もう押してしまった・払ってしまったときの対処

追加で払っても、脅しが止まる保証はありません。「払った人」と知られると、また狙われるおそれもあります。恥ずかしさから1人で抱えず、相談してください。

11なぜ自分のところに届いたのか

身に覚えがないのに届くと、「狙われた」と感じるかもしれません。しかし、メールアドレスは、利用しているサービスからの漏えいなどで知られることがあります。2026年は国内でも大規模な流出が相次ぎました。経緯は大量流出が相次いだ理由にまとめています。

大切なのは、届いたこと自体は、端末やアカウントに入られた証拠にならないという点です。一方で、パスワードまで書かれていたなら、そのパスワードは漏れていると考えて変えてください。

漏えいのお知らせを受け取ったあとは、その会社を名乗る偽のメールにも注意が必要です。お知らせと同じ話題のメールが届いても、リンクは使わず、公式サイトのお知らせと見比べてください。

12家族や子どもに届いたとき

脅迫メールは、恥ずかしさにつけ込みます。そのため、家族に言えないまま悩み続けたり、お金を払おうとしたりする人が出やすくなります。親や子どもから相談されたら、次の順に落ち着いて対応してください。

1. 責めない。サイトを見たかどうかを問いただす必要はありません。
2. お金を払っていないか、リンクを押していないか、何か入力していないかを確かめる。
3. 何もしていなければ、メールを削除して終わりにする。書かれたパスワードを使っていれば一緒に変える。
4. お金を払った、入力したという場合は、この記事の対処の表に沿って進める。

高齢の家族には、「メールのボタンは押さず、公式アプリか、いつものブックマークから開く」とだけ伝えておくと、種類を問わず役に立ちます。判断に迷ったらIPAの窓口に電話で聞けることも、あわせて伝えておいてください。

13会社のメールアドレスに届いたとき

会社で受け取ったときは、自分だけで判断して削除せず、まず社内の担当者に知らせます。同じメールが他の社員にも届いている可能性があるからです。リンクを押した、入力した、添付ファイルを開いた場合は、隠さずすぐに伝えてください。早く伝わるほど、被害を小さくできます。

担当者は、Microsoft 365を使っているならサインインのログや転送設定を確かめます。手順はMicrosoft 365の乗っ取りに気づいたときにまとめています。取引先を名乗る振込の依頼が絡んでいるなら、取引先のメールで送金してしまったときを見てください。

社員が見分けられるようにするには、メールセキュリティ・訓練のサービスを比べられます。自社の名前でなりすましメールを送られやすいかは、なりすましメール診断で確かめられます。

14次に慌てないための対策

平気なときに次の準備をしておくと、同じメールが届いても自分で確かめられます。

• 履歴を見る場所を一度開いておく：GoogleやApple、Microsoftなど、よく使うアカウントの履歴の場所を先に確かめ、ブックマークしておきます。
• パスワードを使い回さない：使い回さなければ、1つ漏れても被害はそこで止まります。覚えきれないならパスワード管理を比べられます。
• 2段階認証を有効にする：パスワードが漏れても入られにくくなります。IPAも、対応していれば設定するよう勧めています。方式の違いは二段階認証を突破される手口にまとめました。
• ウイルス対策とメールの振り分けを最新にする：JC3は、ウイルス対策ソフトやメールのフィルタリング機能を導入し、最新にしておくよう勧めています。
• メールのリンクからログインしない習慣をつける：通知が来たら、毎回公式アプリから開きます。これだけで偽の警告の多くを避けられます。

15不審なメールの報告先

• Gmail：メールを開き、その他のメニューから「フィッシングを報告」を選びます。
• Appleを装ったメール：reportphishing@apple.com
• フィッシング全般：フィッシング対策協議会の報告フォーム

報告は必須ではありません。自分が被害にあっていなければ、削除するだけでも問題ありません。

16困ったときの相談先

17よくある質問