メールが乗っ取られたら？勝手に送信されるときの止め方と、転送設定の確認、相手への連絡文例（Yahoo!・Outlook・Gmail）

01この記事でわかること（3行まとめ）

• まず送信済みを見て、本当に乗っ取りかを見分けます。差出人が自分のアドレスの迷惑メールが届いただけなら、偽装で、乗っ取りではないことがほとんどです。
• パスワードを変えただけでは終わりません。転送の設定はパスワードを変えても残ることがあります。転送、振り分け、署名を自分の目で確かめます。
• 最後に、相手への連絡と、ほかのサービスの確認をします。メールアドレスは多くのサービスの入口になっているからです。

02本当に乗っ取られているかの確認

• 送信済みフォルダーに、送った覚えのないメールがある
• 知り合いから「変なメールが来た」と言われた
• 身に覚えのない送信エラーの通知が大量に届く
• ログイン履歴に、覚えのない日時や端末がある
• ログインの通知や、メールアドレス変更の通知に覚えがない
• 設定した覚えのない転送の通知が出ている

1つでも当てはまれば、次の節へ進んでください。@niftyは、身に覚えのない送信エラー通知が大量に届く場合、メールアドレスが第三者に不正利用され、大量のメール送信が行われている可能性があると案内しています。Yahoo! JAPANも、乗っ取り犯が乗っ取ったアドレスで大量のあて先に迷惑メールを送ることがあると説明しています。

紛らわしいのが、差出人が自分のアドレスになっているメールが自分に届く場合です。Yahoo! JAPANヘルプは、自分宛に送った覚えがなければ、第三者が送信元を偽装した「なりすましメール」だと説明しています。IPAも、送信元のアドレスが自分と同じに偽装されていても、実際に乗っ取られたわけではない例を示しています。この場合は開かずに削除し、念のためログイン履歴を見ます。お金を要求する文面や「ハッキングしました」という文面の見分け方は、「アカウントがハッキングされました」メールの見分け方にまとめています。

送信済みに何もないからといって、安全とは言い切れません。送信済みの記録が消されていることも考えられるので、履歴と設定も合わせて見てください。そもそもハッキングかどうかを広く確かめたいときは、ハッキングされたか確認する方法も役に立ちます。

03止めるためにやること（全体の順番）

1. 送信済みの中身を控える（宛先、日時、件名）。
2. 使っているパソコンやスマホのウイルスを検査する。
3. パスワードを変える。
4. ログイン中の端末を確かめ、見覚えのない端末をログアウトさせる。
5. 転送、振り分け、署名、登録情報を確かめて元に戻す。
6. 送ってしまった相手に連絡する。
7. 同じアドレスで登録している、ほかのサービスを確かめる。

2と3の順番は、公式の案内でも少し違います。Microsoftは、パスワードを変更する前にパソコンのフルスキャンを実行するよう案内しています。ウイルスがパスワードを盗んでいれば、変えても新しいパスワードが漏れるからです。Googleは、他人のアクセスが疑われるならすぐにパスワードを再設定するよう案内しています。図鑑としては、検査に時間がかかりそうなら、ウイルスの心配がない別の端末でパスワードだけ先に変え、検査が終わってからもう一度変える方法をすすめます。

04送信済みの確認：消す前に控える

• 送信済みフォルダーを開き、覚えのないメールを探す
• 宛先、日時、件名を書き留めるか、画面を保存する
• 本文にリンクや添付があれば、開かずにその有無だけ控える
• 下書きとゴミ箱も見る

Yahoo! JAPANのセキュリティガイドも、送信済みメールフォルダーを開いて身に覚えのないメールが送られていないか確かめるよう案内しています。控えは、相手に連絡するときと、警察やサービス会社に相談するときに使います。怒りにまかせて全部消してしまうと、誰に送られたのかが分からなくなります。消すのは控えを取ってからにしてください。

05パスワードを変える：サービスごとの場所

新しいパスワードは、前のものと似せないでください。Yahoo! JAPANは「がらりと変える」ことが大切だとし、末尾の数字を1つ増やす程度の変更では見破られると説明しています。作り方の基準はパスワードの使い回しはなぜ危ない？にまとめています。ほかのサービスに使っていないものにしてください。

プロバイダーのメールには、もう1つ注意があります。@niftyでは、Webメールへのログインに使う「ログインパスワード」と、Outlookなどのメールソフトで使う「メールパスワード」が分かれています。不正利用が疑われるときは両方を再設定するよう案内しています。BIGLOBEも、パスワードを変えたらメールソフトやメールアプリの設定にも新しいパスワードを入れるよう案内しています。プロバイダーによって呼び方と仕組みが違うので、自分の会社の案内を会員ページから確かめてください。

06Yahoo!メールで確認すること

• ログイン履歴：「登録情報」→「ログインとセキュリティ」→「ログイン履歴」で、アクセス日時、利用端末、アクセス元地域を見ます。過去30件分を確かめられます。
• メールソフトの履歴：メールソフトからのログインは「メールソフト ログイン履歴」のページで見ます。
• ログイン中の端末：「ログイン中の端末」のページで、特定の端末、またはすべての端末からログアウトできます。
• 自動転送：メール一覧右上の設定ボタンから、メール転送のページを開きます。「自動転送を有効にする」にチェックが入っていて覚えがなければ、チェックを外して「保存」を押します。
• フィルター：設定ボタンからフィルターのページを開き、作った覚えのない振り分けがないか見ます。
• 署名：設定ボタンからメールアカウントのページを開き、詳細設定の署名欄を見ます。
• メールアドレス情報：メインメールアドレスと連絡用メールアドレスが正しいか見ます。
• パスキーと外部サイト連携：不審なパスキーがあれば削除し、覚えのない外部サイトやアプリとの連携を解除します。

手順は、Yahoo!の公式ページ（不正アクセスの注意喚起 2025年9月12日、身に覚えのないログイン履歴を見つけたら、自動転送、フィルター、署名の設定）で確かめたものです。Yahoo! JAPANは、Yahoo!ウォレットの登録情報、PayPay残高、ポイントに急な減りがないかも確かめるよう案内しています。乗っ取り犯は、メールのばらまきだけでなく、お金につながる情報も狙うからです。

07Outlook.comで確認すること

• 最近のアクティビティ：account.live.com/activity で、アカウントがいつどこでアクセスされたかを見ます。
• 転送：Outlook.comの[設定]→[メール]→[転送と IMAP]を開きます。覚えのない転送先があれば、[転送を無効にする]を選んで[保存]します。
• ルール：[設定]→[メール]→[ルール]を開きます。作った覚えのない転送やリダイレクトのルールがないか見ます。
• 署名：[設定]→[アカウント]→[署名]で、内容を見ます。
• 接続されているアカウントと自動応答：Microsoftは、他人にアクセスされたあとの確認先として、接続されているアカウント、転送、自動応答を挙げています。
• セキュリティ情報：別のメールアドレスと携帯電話番号が自分のものか確かめ、登録がなければ追加します。

ルールによる転送と、[転送と IMAP]の設定は別の場所にあります。Microsoftのサポートページでも別々に説明されています。片方だけ見て安心しないようにしてください。

なお、ここで説明しているのは個人のOutlook.comです。会社から配られたMicrosoft 365のメールは、自分だけでは対処を終えられないので、管理者に知らせてMicrosoft 365が乗っ取られたときの手順に進んでください。

08Gmailで確認すること

• 全般：Gmail右上の設定アイコンから[すべての設定を表示]を開きます。[全般]タブで、署名と不在通知の内容を見ます。
• アカウントとインポート：[名前]に出ているアドレスがすべて自分のものか、[アカウントへのアクセスを許可]に他人が入っていないか、[POP3 を使用して他のアカウントのメッセージを確認]のアドレスが自分のものかを見ます。
• フィルタとブロック中のアドレス：不明なアカウントへ転送するフィルタと、自分で作っていない[削除する]のフィルタがないか見ます。
• メール転送と POP/IMAP：不明なアカウントに転送されていないか見ます。止めるときは[転送を無効にする]を選び、[変更を保存]を押します。
• ラベル：Googleは、自分で設定していないラベル、フィルタ、転送ルールがあれば削除するよう案内しています。

Gmailでは、転送を有効にしてから1週間、受信トレイに通知が表示されます。設定していないのにこの通知が出たら、Googleはすぐにパスワードを変更し、転送をオフにするよう案内しています。Googleアカウント全体に入られている疑いがあるとき、またはログインできないときは、Googleアカウントが乗っ取られたときの手順に進んでください。

09プロバイダーのメールで確認すること

• 会員ページから、メールパスワードとログインパスワードの両方を確かめて変える
• メール転送の設定を見る
• メールソフト、スマホのメールアプリに入れたパスワードを新しいものに変える
• ワンタイムパスワードやログインアラートがあれば使う
• ウイルス対策ソフトで検査し、パソコンを最新の状態にする

@niftyは、不正利用が疑われるときの対処として、ウイルスチェック、Windows Update、パスワードの再設定を順に挙げています。原因としては、環境のウイルス、フィッシングサイト、特定アプリの脆弱性などが考えられるとしています。

プロバイダーの側から情報が漏れることもあります。2026年には@niftyがメールアドレスとメールパスワードの、BIGLOBEがBIGLOBEメールアドレス、BIGLOBE ID、BIGLOBEパスワードの漏えいの可能性を発表し、パスワードの変更や再設定を案内しました。@niftyは、同じパスワードをほかのサービスで使っていた場合の変更も求めています。こうした時期には便乗した偽メールも出回ります。@niftyも、名前をかたるフィッシングメールの件名を公表しています。手続きはメールのリンクからではなく、公式サイトから進めてください。

10なぜ転送・振り分け・署名まで見るのか

パスワードを変えると、犯人を追い出せたように感じます。ところが、犯人が残した設定は残ることがあります。@niftyは、パスワードを変更してもメール転送設定は解除されないと明記しています。つまり、転送を仕掛けられていれば、パスワードを変えたあともメールが相手に届き続けるおそれがあります。

それぞれの設定が悪用されると、次のようなことが起きます。

Yahoo!メールの場合、自動転送を使うとYahoo!メールのサーバーにメールは残りません。「最近メールが減った」「届くはずのメールが来ない」というときも、転送を疑う理由になります。Gmailのヘルプも、確かめる設定の1つに署名を挙げています。総務省の事例でも、他人にパスワードを知られるとメールを読まれてしまうことが説明されています。読まれていたかもしれない前提で、メールの中身に書いてあったパスワードや口座番号なども見直してください。

11送ってしまった相手への連絡（文例）

警察庁は、乗っ取りやなりすましの被害に遭ったときの対応の1つとして、交流相手に注意喚起することを挙げています。総務省も、メールの送信先との調整を挙げています。控えておいた宛先を見て、優先する相手から連絡します。

連絡の手段は、パスワードを変えたあとのメールか、電話やメッセージアプリなど別の手段にします。相手からすると、同じアドレスから「さっきのは偽物です」と届いても信じにくいからです。大事な相手には電話が確実です。

文例1：友人・知人へ

「◯月◯日ごろ、私のメールアドレスから送られたメールは、私が送ったものではありません。メールを第三者に不正に使われたようです。本文のリンクや添付ファイルは開かないでください。もし開いたり、情報を入力したりした場合は教えてください。パスワードは変更済みです。ご迷惑をおかけしてすみません。」

文例2：仕事の取引先や、お店の人へ

「お世話になっております。◯月◯日◯時ごろ、私のメールアドレス（◯◯）から『◯◯』という件名のメールが送信されましたが、私が送ったものではありません。第三者による不正なログインが原因とみられ、パスワードの変更などの対応を進めています。リンクや添付ファイルは開かず、メールを削除してください。すでに開かれた場合は、お手数ですがご連絡をお願いいたします。振込先の変更などのご依頼が届いた場合も、お手続きの前に電話でご確認ください。」

文例3：多くの人に送られてしまったとき

「◯月◯日に私のアドレスから届いたメールにご注意ください。不正に送信されたものです。開かずに削除してください。」

多くの人に知らせるときは、宛先どうしのアドレスが見えないよう、BCCで送ります。文面には、新しいパスワードや、具体的な被害の推測を書かないでください。お金の依頼が混ざっていたら、振り込む前に確かめるようはっきり書きます。振り込みの依頼に関わる場合はビジネスメール詐欺で送金してしまったときも参考になります。

12そのアドレスで登録している他サービスの確認

• 銀行、証券、クレジットカードの会員サイト
• 通販サイト、フリマ、予約サイト
• SNS、メッセージアプリ、ゲーム
• クラウドの保存先、写真サービス
• 同じパスワードを使っていたサービス全部

メールを乗っ取られて一番困るのは、メールそのものより、ほかのサービスへ広がることです。多くのサービスは、パスワードの再設定をメールで受け付けます。Yahoo!メールの注意喚起でも、ネットバンキングの不正送金、ショッピングサイトの不正購入、身に覚えのないサイトの会員登録、ログイン情報の書き換えが被害として挙げられています。

Googleは、アカウントに他人がログインしていると思われるとき、次のようなアプリやサイトのパスワードもすぐに変更するよう案内しています。

• 同じパスワードを使っているもの
• 連絡先としてそのメールアドレスを登録しているもの
• そのメールアドレスでログインしているもの
• そのアカウントにパスワードを保存しているもの

登録先を思い出せないときは、メールの検索が役に立ちます。受信トレイで「登録」「会員」「ご利用」「パスワード」「ログイン」などの言葉を探すと、使っているサービスの通知が見つかります。ゴミ箱も一緒に見てください。「パスワードを再設定しました」「購入ありがとうございます」という覚えのないメールが消されていないかを探す意味もあります。

優先するのは、お金が動くサービスです。カードに覚えのない請求があればクレジットカードを不正利用されたとき、銀行の口座から知らない送金があればネットバンキングの不正送金の手順へ進んでください。

13ログインできなくなったとき

パスワードや連絡先を変えられて入れない場合は、各社の回復の手続きを使います。

• Microsoft：サインインヘルパーのツールを使います。メールアドレスまたは電話番号を入れると、合った方法を案内するか、担当者と話す機会を示します。
• Google：アカウント復元ページを使います。パスワードや再設定用の電話番号が第三者に変更された場合も対象です。
• Yahoo! JAPAN：ヘルプセンターの案内に沿って進めます。お問い合わせフォームの利用にはログインが必要とされているので、入れないときはヘルプの案内を確かめてください。
• プロバイダー：会員サポートの窓口に連絡します。BIGLOBEのように、登録した電話番号からの電話認証で再設定する場合もあります。

入れない間も、相手への連絡はできます。別のメールや電話で「今の自分のアドレスから届くメールは信用しないで」と伝えておいてください。

14再発防止の対策

• パスキーか2段階認証を使う：パスワードが漏れても入られにくくなります。Gmail、Outlook.com、Yahoo!メールのいずれも案内しています。
• ほかと同じパスワードを使わない：警察庁も使い回さないよう呼びかけています。
• ログインの通知を使う：警察庁は多要素認証とログイン通知の利用を勧めています。Yahoo! JAPANには「ログインアラート」があります。
• Yahoo!メールの追加の設定：パスキーでのログイン、ログイン方法によるアクセス制限、パスワード無効の設定、海外からのアクセス制限、シークレットIDが案内されています。
• 再設定の情報を最新にする：Microsoftは別のメールアドレスと携帯電話番号の追加を、Googleは再設定用情報の追加を勧めています。
• メールのリンクからログインしない：Microsoftはメールでパスワードの入力を求めることはないと説明しています。@niftyも同じ注意を出しています。
• 端末を最新に保ち、ウイルス対策を使う：原因がウイルスだと、パスワードを変えてもまた盗まれます。

Yahoo! JAPANは、繰り返し不正ログインされる人向けの案内も出しています。何度も入られるときは、端末のウイルスと、メールソフトに入れたパスワードを疑ってください。図鑑では、守り方を乗っ取り・不正ログインの悩み別ページと多要素認証の用語ページにまとめています。乗っ取りの全体像はアカウント乗っ取りの用語ページをご覧ください。

15困ったときの相談先

相談するときは、控えておいた送信の記録、ログイン履歴の画面、変えた内容のメモを手元に用意すると話が早く進みます。総務省は、問題が解決しない場合や法的な問題になりそうな場合に、法的な助言を受けることも挙げています。

16よくある質問