Googleアカウントが乗っ取られた！ログインできる・できないときの取り戻し方と、Gmail・Google Payの後始末

01この記事でわかること（3行まとめ）

• 最初に、自分のGoogleアカウントにログインできるかを確かめます。できるなら設定を自分で取り戻し、できないなら「アカウント復元」のページへ進みます。
• パスワードを変えただけでは終わりません。Gmailの転送やフィルタ、ドライブ・フォトの共有、Google PayやGoogle Playの支払いまで、勝手に変えられたものを元に戻します。
• 取り戻したら、パスキーか2段階認証を必ず設定します。会社や学校のアカウントは、自分で直す前に管理者へ連絡します。

乗っ取りとは、他人があなたになりすましてアカウントを使うことです。言葉の意味はアカウントの乗っ取りの用語ページで説明しています。

02まず確かめる：Googleアカウントにログインできますか

Google アカウント ヘルプの「ハッキングまたは不正使用された Google アカウントを保護する」は、最初の手順を「Google アカウントにログインする」としています。ログインできるかどうかで、次にやることが変わります。

ログインするときは、メールやSMSのリンクを使わず、ブラウザに自分で accounts.google.com と入力するか、ふだん使っているGoogleのアプリから開いてください。Googleは、パスワードや確認コードを入力するのは accounts.google.com だけにするよう注意しています。

03ログインできるときにやること

1. セキュリティイベントを確かめる：Google アカウントの[セキュリティとログイン]を開き、[最近のセキュリティ イベント]パネルの[セキュリティ イベントを確認]を選びます。自分がしていない操作があれば[いいえ、リクエストしていません]を選び、画面の案内に沿ってアカウントを保護します。
2. ログイン中のデバイスから、覚えのないものを追い出す：同じ[セキュリティとログイン]の[お使いのデバイス]で[すべてのデバイスを管理]を開きます。現在ログインしているデバイスと、過去数週間にログインしたデバイスが表示されます。覚えのないものは選んで[ログアウト]します。同じデバイス名で複数のセッションが出ている場合は、そのすべてからログアウトするよう、Googleは案内しています。
3. パスワードを変える：このアカウントで使ったことがない、安全なパスワードにします。
4. 勝手に変えられた設定を元に戻す：再設定用の電話番号、再設定用のメールアドレス、予備または連絡先のメールアドレス、アカウントの氏名、2段階認証プロセスの設定と方法、現在地の共有を見直します。
5. アカウントにアクセスできるアプリを見直す：覚えのないアプリや、もう使っていないアプリのアクセスを外します。安全性の低いアプリのアクセスが有効なら、無効にするようGoogleは勧めています。
6. 同じパスワードを使っていたほかのサービスも変える：Googleは、Googleアカウントと同じパスワードを使っているサイト、Googleアカウントのメールアドレスを連絡先に登録しているサイト、そのメールアドレスでログインしているサイト、Googleアカウントにパスワードを保存しているサイトのパスワードも、すぐに変えるよう案内しています。

Googleが不審なログイン方法（勝手に追加された復元方法、2段階認証用の電話番号、パスキーなど）を見つけた場合、その方法は無効になり、通知が届きます。通知から30日以内に、自分で追加したものかどうかを確かめないと、そのログイン方法はアカウントから削除されます。自分で追加した覚えがなければ、そのまま削除されて構いません。

パスワードをいくつも作り直すのが大変なときは、パスワード管理アプリを使う方法もあります。選び方はパスワード管理の分類ページで比べられます。

04ログインできないとき：アカウント復元の進め方

パスワードや再設定用の電話番号を第三者に変えられた、アカウントを削除された、ほかの理由でログインできない。こうした場合、Googleはアカウント復元ページで質問にできる限り答えるよう案内しています。Google アカウント ヘルプの「アカウント復元手順を完了するためのヒント」に書かれているコツは次のとおりです。

• 質問は飛ばさない：答えに自信がなくても、いちばん近いと思うものを答えます。間違えても、復元ができなくなることはありません。何度でも試せます。
• ふだん使っている端末と場所から試す：いつものパソコンやスマホ、いつものブラウザで、自宅や職場など、よくログインしていた場所から手続きします。
• 覚えている中でいちばん新しいパスワードを入れる：最後に使ったものを忘れたら、覚えている範囲で最近のものを入れます。新しいほど、復元できる見込みが高くなります。
• 登録していたメールアドレスを入れる：再設定用のメールアドレス、予備のメールアドレス、連絡先メールアドレスのどれかです。
• 迷惑メールフォルダも見る：Googleからの連絡が見当たらないときは、「Google サポートへのお問い合わせ」という件名のメールが迷惑メールフォルダに入っていないか確かめます。

再設定用の情報を変えた直後は、変更が反映されるまでに最長で7日ほどかかることがあります。うまくいかなければ、数日おいてもう一度試してください。どうしても復元できない場合、Googleは新しいGoogleアカウントを作ることを案内しています。

大事な注意が2つあります。Googleは、アカウントへのログインについて電話での問い合わせには対応していません。また、アカウントやパスワードの復元をうたうサービスとは一切提携していないとしています。「Googleのサポートです」と名乗る電話や、「アカウントを取り戻します」という業者には、パスワードや確認コードを絶対に教えないでください。

05Gmailの後始末：転送・フィルタ・委任を元に戻す

乗っ取った人は、あなたのメールを読み続けるために、Gmailの設定に仕掛けを残していくことがあります。Googleは、次の項目に覚えのない変更があれば、すぐ直すよう案内しています。パソコンでGmailを開き、右上の設定アイコンから[すべての設定を表示]で見られます。

• メールの委任（あなたのGmailにアクセスできるユーザー）
• 自動メール転送
• メールの送信スケジュール
• Gmailに表示する名前、送信メールのアドレス
• 自動返信（不在通知）
• ブロックされているメールアドレス
• Gmailへのリモートアクセス（IMAP または POP）
• 受信メールを管理するフィルタ、受信メールを整理するラベル

転送は、[メール転送と POP/IMAP]（または[転送]）タブの[転送]で[転送を無効にする]を選び、ページ下部の[変更を保存]を押すと止まります。Gmail ヘルプによると、転送を設定すると「メールを [メールアドレス] に転送しています」という通知が1週間表示されます。設定した覚えがないのにこの通知が出たら、すぐにパスワードを変え、転送をオフにするよう案内されています。

フィルタも見落としやすい場所です。特定の差出人のメールを自動で転送したり、ゴミ箱へ送ったりする設定があると、大事な連絡に気づけなくなるおそれがあります。自分で作った覚えのないフィルタは消してください。

メールが受信トレイから消えていて、ゴミ箱にもない場合は、メールが見つからないことを報告し、復元を試せるとGoogleは案内しています。あなたのアドレスから友だちに迷惑メールが送られていたら、電話など別の手段で「開かないで」と伝えてください。

06ドライブ・フォト・YouTubeの後始末

Googleドライブ

Googleは、ドライブの履歴とファイルの版（以前の版）を見て、不審な操作がないかを調べるよう案内しています。知らないうちにファイルが消えていたら、ファイルの復元を試します。共有の設定を変えられていないかも見てください。

Googleフォト

許可していないアルバムの共有があれば、共有を止めます。追加した覚えのない相手と写真が「パートナー」として共有されている場合も、不審なアクティビティに当たるとGoogleは書いています。

ドライブやフォト、Gmailに、税金やパスポートなどの個人情報を保存していた場合、Googleは、第三者が銀行や行政機関に口座の開設や送金などを指示していないかを、その銀行や地域の行政機関に確かめるよう勧めています。

YouTubeチャンネル

YouTubeのチャンネルは、少なくとも1つのGoogleアカウントにひも付いています。YouTube ヘルプは、ハッキングされたチャンネルを取り戻す手順を3つに分けています。

1. チャンネルにひも付くGoogleアカウントを取り戻して保護する（チャンネルの管理者や所有者にも同じ手順を頼む）
2. チャンネルに加えられた変更をすぐ戻す。自分がアップロードしていない動画はすべて削除する
3. 関係するメンバー全員でアカウントの守りを固める

乗っ取りのあとにチャンネルが停止された場合は、Googleアカウントを取り戻すと、再審査の請求方法を書いたメールが届きます。YouTube ヘルプによると、サポートの対象は過去9か月以内に起きたハッキングに限られます。気づいたら早めに動いてください。

07Google Pay・Google Playの支払いは大丈夫？

Googleアカウントにカードや口座を登録していると、お金の被害につながることがあります。Googleは、次のものを「金銭に関わる不審なアクティビティ」に挙げています。

• Google Payで覚えのない購入がある：不正な請求を報告して、払い戻しを求めます。
• 覚えのない銀行口座やカード、ギフトカードが登録されている：その支払い方法を削除します。
• Google Playで覚えのない購入がある：不正な請求を報告します。
• Chromeに覚えのない支払い情報がある：削除します。
• Google 広告やAdSenseを使っている：覚えのない広告や請求、支払先の口座の変更がないかを見ます。

Google Playの払い戻しポリシーでは、家族や友だちの購入ではないと確かめたうえで、取引から120日以内に不正な請求を報告するよう書かれています。アカウントやお支払いの詳細を他人に教えた場合などは、通常は払い戻しに応じられないともしています。

Google Pay ヘルプは、Google Payで行った支払いが詐欺や不正な請求だと疑われるときは、すぐに銀行またはカード発行会社に問い合わせるよう案内しています。警察庁も、不正アクセスされたサービスにカード情報を登録していた場合はカード会社に、ネットバンキングを使っている場合は不正送金の有無を確かめて金融機関に、すぐ連絡するよう呼びかけています。

08Androidスマホへの影響と後始末

AndroidスマホはGoogleアカウントでログインして使うため、アカウントの乗っ取りとスマホの問題がつながっていることがあります。

「デバイスを保護するため、ログアウトしました」と出たら

Google アカウント ヘルプは、この表示が出た場合や、しつこいポップアップ広告などの不審な現象がある場合、端末にマルウェアが入っている可能性があるとしています。マルウェアを消さないと、またログアウトされることがあります。Googleが案内している手順は次のとおりです。

1. Google Play ストアアプリを開き、右上のプロフィールアイコンから[Play プロテクト]＞[設定]で、[Play プロテクトによるアプリのスキャン]をオンにする
2. Androidとセキュリティのアップデートがあれば入れる
3. 入れた覚えのないアプリを削除する

パソコンでも、信頼できるウイルス対策ソフトで検査するようGoogleは勧めています。必要ならパソコンを出荷時の設定に戻し、OSを入れ直す方法もあります。その場合は先に大切なファイルを保存してください。

スマホをなくした・盗まれたとき

Find Hub アプリか、ブラウザで android.com/find を開くと、別の端末から位置の確認、ロック、データ消去ができます。[紛失としてマーク]を選ぶと、PIN・パターン・パスワードで端末をロックできます。見つからないときは[初期状態へのリセット]で消去できますが、Android ヘルプは、端末のデータがすべて消え、Find Hubでも探せなくなると注意しています。消去したあとに端末が見つかった場合、使い直すにはGoogleアカウントのパスワードが必要です。

あわせて、Googleアカウントの[すべてのデバイスを管理]から、なくした端末をログアウトさせてください。その端末で作られたパスキーも、別の端末から削除できます。

09会社・学校のアカウント（Google Workspace）の場合

会社や学校から配られたGoogleアカウント（Google Workspace）は、個人のアカウントと動き方が違います。Google アカウント ヘルプは、職場や学校のアカウントは通常の復元手順では取り戻せないことがあり、管理者への問い合わせが必要だとしています。

乗っ取りに気づいたら、自分でいろいろ直す前に、まず管理者に連絡してください。管理者はGoogleではなくあなたの組織にいるため、Googleは管理者が誰かを教えることができません。Google Workspace ラーニング センターは、次のような人が管理者の可能性があるとしています。

• 「氏名@会社名.com」のようなユーザー名をあなたに割り当てた人
• IT部門やヘルプデスクの人
• 小規模な会社やクラブなら、メールやWebサイトを管理している人

連絡するときは、気づいた時刻、出ていた通知、送られていたメールなど、分かっていることをそのまま伝えます。末尾が @gmail.com のアカウントには管理者はいません。個人のアカウントとして、この記事の手順で取り戻してください。会社のメールが乗っ取られて取引先にメールが送られた場合の会社全体の動き方は、被害にあったときのページの「社員メール乗っ取り」の項目も参考になります。

10乗っ取りを防ぐ対策：パスキーと2段階認証

1. パスキーを作る：パスキーは、指紋認証、顔認証、スマホの画面ロックでログインする、パスワードの代わりの方法です。Googleは、パスキーは共有やコピー、書き留めができず、誤って他人に渡す心配がないため、フィッシング対策になると説明しています。Android 9、iOS 16以降のスマホなどで使えます。パスキーの用語ページも見てください。
2. 2段階認証プロセスを有効にする：パスワードに加えて、スマホやセキュリティキー、印刷したコードなど「持っているもの」で確かめる仕組みです（多要素認証の用語ページ）。2つ目の手順は、SMSのコードより「Google からのメッセージ」（スマホに届く確認の通知）を使うよう、Googleは勧めています。SMSや音声通話のコードは電話番号を使ったハッキングに弱いおそれがある、としています。
3. バックアップコードを用意する：スマホをなくしたときに使える8桁のコードです。印刷するかダウンロードして、安全な場所に保管します。各コードは1回しか使えません。
4. 覚えのないパスキーやセキュリティキーを消す：[セキュリティとログイン]＞[Google にログインする方法]の[パスキーとセキュリティ キー]で、登録済みのものが見られます。
5. 端末に画面ロックをかける：スマホやパソコンを他人に勝手に使われないようにします。

注意点もあります。パスキーは自分だけが使う端末で作り、共有の端末では作らないでください。新しく作ったパスキーがログインに使えるまで、7日間ほどかかる場合があります。2段階認証用に新しい電話番号を追加した場合も、Googleが信頼できる番号として確かめるまで最長で7日かかることがあります。会社や学校のアカウントでは、パスキーだけではログインできない場合があります。

11セキュリティ診断と高度な保護機能

セキュリティ診断で残りを点検する

取り戻したあとは、Googleの「セキュリティ診断」で抜けがないかを見ます。Google アカウントにログインし、右上のプロフィール写真から[推奨される対応]を選ぶと、セキュリティ診断の画面が開き、そのアカウントに合ったおすすめが表示されます。印の色は、青がセキュリティのヒント、黄色が重要な手順、赤が緊急の通知です。すべて終わると、チェックマークのついた緑色の盾が表示されます。

狙われやすい人は「高度な保護機能」

Googleは、ジャーナリストや活動家など、標的型のオンライン攻撃の危険がある人に「高度な保護機能プログラム」を勧めています。内容は次のとおりです。

• ログインにパスキーかセキュリティキーが必要になる
• 確認済みのサードパーティ製アプリしか、Gmailやドライブなどのデータに入れなくなる
• 不審なダウンロードのチェックと、アカウント復元のときの本人確認が厳しくなる
• アプリパスワードは使えなくなり、登録した時点のものはすべて取り消される

利用料は無料です（セキュリティキーを使うなら購入が必要な場合があります）。登録の前に、再設定用のメールアドレスと電話番号を登録し、2段階認証を有効にしておくよう案内されています。キーをなくしてログインできなくなると、復元の本人確認に数日かかります。セキュリティキーを使う場合は、予備のキーを少なくとも1つ用意してください。会社のアカウントは、管理者が機能を有効にしていれば登録できます。

12なぜ乗っ取られる？よくある入り口

YouTube ヘルプは、Googleアカウントが乗っ取られる原因として、有害なソフトウェア（マルウェア）と、よく使うサービスを装った偽のメール（フィッシング）を挙げています。警察庁も、不正アクセスを「他人のＩＤやパスワードを使用しサービスを悪用」する犯罪と説明し、ID・パスワードの適切な管理、OSやソフトの更新、ウイルス対策ソフトの導入を挙げています。

• 偽のログイン画面：「アカウントが停止されます」などのメールやSMSから、Googleそっくりの画面に誘い、パスワードを入れさせます。Chromeの「パスワード アラート」を使うと、Googleのパスワードを Google 以外のサイトで入力したときに通知が出ます。
• 確認コードを聞き出す：Googleは、確認コードを他人と共有しないこと、Googleが電話でコードの確認を求めることはないことを明記しています。
• パスワードの使い回し：ほかのサービスから漏れたパスワードで、Googleにも入られることがあります。

怪しいメールのリンクを開いてしまったときの共通の対処は、変なメールを開いてしまったときの記事にまとめています。守り方全体は乗っ取り・不正ログインの悩みのページで見られます。

13困ったときの相談先

• Googleのアカウント復元ページ：ログインできないとき。Googleは電話でのログイン支援をしていません。それでも解決しないときは、Google アカウント ヘルプのヘルプコミュニティに投稿できます。
• 会社・学校の管理者：Google Workspace のアカウントのとき。
• 警察（最寄りの警察署・都道府県警察のサイバー犯罪相談窓口）：警察庁は、不正アクセスの被害に遭ったら、ログイン履歴の画面を保存・印刷し、サービス会社とのやりとりも記録して、それを持って相談するよう案内しています。事前に電話で日時を調整すると対応がスムーズです。警察庁にはオンラインの受付窓口もあります。
• 警察相談専用電話「#9110」：緊急ではない相談のときに使えます（警察庁）。
• IPA 情報セキュリティ安心相談窓口：電話 03-5978-7509、10時00分〜17時00分（土日祝日・年末年始を除く）。ウイルスや不正アクセスの技術的な相談ができます。
• 消費者ホットライン「188」：近くの消費生活センターを案内する全国共通の番号です（国民生活センター）。
• カード会社・銀行：覚えのない請求や送金があったとき。

14よくある質問