ハッキングされたか確認する方法｜アカウント・パソコン・スマホ・会社のサイト別の見分け方

01この記事でわかること（3行まとめ）

• 最初に見るのは「ログイン履歴」と「端末の一覧」です。Google、Apple、Microsoftのどれも、覚えのない端末やログインを自分で確かめられます。
• 次に、メールの転送設定とお金の動きを見ます。入った人は、気づかれないように転送設定を残すことがあります。身に覚えのない送金や購入がないかも確かめます。
• 覚えのないものが1つでもあれば、「された」と考えて動きます。パスワードの変更、記録の保存、サービス会社や警察への相談へ進みます。

02「ハッキングされた」とは、どういう状態？

この記事では、自分のアカウントや機器に、許可していない人が入り込んだ状態を「ハッキングされた」と呼びます。警察庁は、他人のIDやパスワードでサービスを悪用したり、不正にコンピュータへ侵入したりする犯罪を「不正アクセス」と説明しています。言葉の違いはハッキングのまとめページにまとめました。

確かめる対象は大きく2つあります。ひとつは、GoogleやAppleなどのアカウントです。もうひとつは、パソコンやスマホといった機器です。アカウントは機器が無事でも、パスワードが盗まれれば入られます。逆に、機器に悪いソフトが入ると、その機器で使うアカウントまで危なくなります。そのため両方を確かめます。

03まず確認する5つ

どの場合でも、この順番で見れば大きな見落としを減らせます。あとの節で、それぞれの手順を説明します。

1. よく使うアカウントのログイン履歴と端末の一覧を開き、覚えのないものがないか見る。
2. メールの転送設定と受信ルールに、自分で作っていないものがないか見る。
3. 銀行、クレジットカード、スマホ決済に、身に覚えのない利用がないか見る。
4. パソコンとスマホでウイルスの検査をし、入れた覚えのないアプリがないか見る。
5. 覚えのないものを見つけたら、消す前に画面を保存する。

確かめるときは、届いたメールやSMSのリンクを使わず、公式アプリや自分で開いた公式サイトから入ります。Microsoftも、不審なアクティビティの知らせが届いたときは、メール内のリンクを使わず、直接サインインして確かめられると案内しています。「確認してください」という偽の連絡そのものが、パスワードを盗む入口になるからです。

04アカウントを確かめる：Google・Apple・Microsoft

Googleアカウント

Googleアカウントの「セキュリティとログイン」を開きます。「お使いのデバイス」の「すべてのデバイスを管理」で、今ログインしている端末と、過去数週間にログインした端末を確かめられます。セキュリティイベントの欄では、最近の重要な操作も見られます。

Googleは、次のようなものを不正利用のサインに挙げています。

• 覚えのないアクティビティや、見覚えのない端末が表示される
• 再設定用の電話番号やメールアドレス、氏名、2段階認証の設定が勝手に変わっている
• 書いていないメールが「送信済み」にある、友人に迷惑メールが届いている
• Googleドライブのファイルが知らないうちに消えた、Googleフォトのアルバムが許可なく共有されている
• Google PayやGoogle Playに、覚えのない購入や支払い方法がある

覚えのない端末は「ログアウト」で外せます。その後、パスワードを変え、同じパスワードを使っているほかのサービスも変えて、2段階認証を有効にします。ログインできないときは、Googleのアカウント復元ページから手続きをします。

Apple Account

iPhoneでは「設定」→自分の名前→「デバイス」で、同じApple Accountにサインインしている端末を確かめられます。パソコンからなら、account.apple.com の「デバイス」でも見られます。Appleは、次のようなものを不正利用のサインに挙げています。

• 覚えのないサインインやパスワード変更の通知が届く
• 頼んでいないのに2ファクタ認証のコードが届く
• 送っていないメッセージ、消していないはずの削除、追加していない端末、覚えのない購入がある
• パスワードが使えなくなる
• 第三者に端末をロックされた、紛失モードにされた

当てはまるときは、パスワードを変え、登録されている個人情報とセキュリティ情報を確かめ、覚えのない端末を消します。パスワードを変えられて入れないときは、iforgot.apple.com からリセットや復旧をします。Appleは、メール会社と携帯電話会社に問い合わせ、SMSの転送などが設定されていないかを確かめることも勧めています。

Microsoftアカウント

Microsoftアカウントの「最近のアクティビティ」ページでは、過去30日以内にアカウントが使われた日時と場所が分かります。「不審なアクティビティ」の欄が出ていたら、自分の操作かどうかを答えます。自分でない、または確信が持てないときは「自分ではありません」を選び、案内に沿ってパスワードとセキュリティ情報を更新します。

会社や学校のアカウントは手順が別です。本人は「マイ サインイン」で履歴を見られ、調査は管理者が行います。

LINE・Facebookなど

LINEとFacebookは、それぞれ専用の手順をLINEが乗っ取られたときとFacebookが乗っ取られたときにまとめています。ほかのサービスでも、設定の「セキュリティ」や「ログイン履歴」の欄を探してください。

05パソコンを確かめる

パソコンは、動きが遅いだけではハッキングとは言えません。逆に、普段どおりに動いていても入られていないとは限りません。画面の印象ではなく、検査の結果とアカウントの履歴で判断します。

• Windowsでウイルスを検査する：Windowsセキュリティの「ウイルスと脅威の防止」から検査します。Microsoftは、感染が疑われるときはすぐクイックスキャンを行い、最も完全な検査にはMicrosoft Defender オフラインを使うよう案内しています。オフラインの検査はパソコンが再起動するので、先に開いているファイルを保存してください。
• 入れた覚えのないソフトを探す：設定のアプリ一覧を、新しく入った順に見ます。自分や家族、会社の担当者が入れたものかを確かめます。
• ブラウザの拡張機能を見る：Googleは、Chromeの拡張機能に覚えのない変更がないかも確かめるよう案内しています。
• パソコンで使っているアカウントを確かめる：前の節のログイン履歴を、別の端末からも確認します。

検査で何か見つかったときや、見つからなくても不安が残るときは、パソコンの初期化も選択肢です。Googleも、必要に応じて初期化するよう案内しています。その場合は先に大切なファイルを保存してください。会社のパソコンは自分で初期化せず、先に担当者へ連絡します。調査に必要な記録が消えるおそれがあるからです。

「ウイルスに感染しました」という画面が急に出て、電話をかけるよう求められた場合は、ハッキングではなく偽の警告かもしれません。偽の警告が出たときの対処を見てください。

06スマホを確かめる

iPhone

Appleの安全の手引きでは、次の項目を確かめるよう案内しています。

• 同じApple Accountに入っている端末に、覚えのないものがないか
• Face IDやTouch IDに、覚えのない登録がないか
• 入れた覚えのないアプリがないか
• 知らない構成プロファイル（端末を管理するための設定）が入っていないか

構成プロファイルは、本来は会社や学校が端末を管理するために入れるものです。個人のスマホで見覚えのないものがあれば、注意が必要です。

Android

Googleは、次のようなものをマルウェア（悪意のあるソフト）のサインに挙げています。

• ウイルスに関するメッセージが出る、ウイルス対策のアプリが動かなくなる
• 動きが極端に遅い、正常に動かない、空き容量が以前より減った
• 連絡先の相手に、送った覚えのないメールやメッセージが届く

取り除く手順は、Playプロテクトをオンにして検査する、システムとセキュリティの更新を当てる、信頼できないアプリを消す（Google Play以外から入れたものを含む）、Googleアカウントのセキュリティ診断を行う、の順です。それでも続くときは、端末の初期化を検討するか、メーカーに相談します。

SMSのリンクを押してアプリを入れてしまった場合は、被害にあったらの該当箇所から始めてください。

07メールを確かめる：転送設定と受信ルール

パスワードを変えても、転送設定が残っていれば、メールは相手に届き続けます。ここは見落とされやすいところです。

• Gmail：Googleは、転送、フィルタ、ラベルに覚えのない変更がないか確かめるよう案内しています。
• Microsoft 365：Microsoftは、知らないアドレスへ自動で転送するルール、メールを「ノート」や「迷惑メール」などのフォルダーへ移すルール、最近追加された外部への転送を、侵害のサインに挙げています。
• 送信済みと削除済み：書いた覚えのないメールがないか確かめます。読んでいないメールが既読になっている、送信メールが勝手に消えている、というのも警察庁の相談事例にあるサインです。

覚えのない設定は、消す前に画面を保存してください。誰に転送されていたかは、あとの調査や相手への連絡で必要になります。

08お金まわりを確かめる

警察庁の相談事例には、身に覚えのない送金、請求、購入、ポイントの使用があります。次を確かめてください。

• インターネットバンキングの入出金の履歴と、登録された振込先
• クレジットカードの利用明細
• スマホ決済とポイントの履歴
• ネット通販の注文履歴と、登録された届け先

覚えのない利用があれば、すぐにカード会社や金融機関へ連絡します。連絡先は、届いたメールではなく、カードの裏面や公式サイトで確かめてください。Googleも、口座開設や送金などを第三者にされていないか、金融機関に確かめるよう案内しています。

09会社の場合に確かめること

会社のメールとクラウド

Microsoft 365を使っている場合、管理者はMicrosoft Entraのサインインログで、IPアドレス、場所、時刻、成功か失敗かを確かめられます。さらに監査ログで、怪しい動きが始まる直前からの操作を追えます。本人は、覚えのないパスワード変更やアカウントのロックがないかを見て、担当者に伝えます。

パスワードを変えただけでは足りません。Microsoftは、ログイン中のセッションの取り消し、多要素認証に登録された端末、許可したアプリ、管理者の権限、メールの転送まで確かめるよう案内しています。社員のメールから迷惑メールが送られた場合は、被害にあったらの該当箇所も見てください。

会社のホームページ

• 検索で確かめる：警察庁とGoogleは、検索窓に「site:自社のドメイン」と入れる方法を案内しています。業務と関係のないページが混じっていれば、改ざんの可能性が高いと考えます。
• Search Consoleを見る：「セキュリティの問題」レポートに、ハッキングされたコンテンツが出ていないか確かめます。ここに出るURLは例の一部なので、出ていないページも無事とは限りません。
• ログを見る：Webサーバー、FTP、SSHのログに不審なアクセスがないか、サーバー会社や制作会社と確かめます。

Googleは、問題のあるページを普段のブラウザで直接開くのは避けるよう案内しています。見つけたあとの手順は会社のホームページがハッキングされたときの記事にまとめました。

外から見える設定の弱さは、Webサイト診断でも確かめられます。ただし、これは入られたかどうかを調べるものではなく、入られやすい点を見つけるものです。確実に調べるには、事故対応・フォレンジックの専門会社に頼みます。

10ハッキングではないこともある

履歴に見覚えのない表示があっても、すべてが被害とは限りません。公式の説明で挙げられているのは、次のような場合です。

• 新しい端末や共用のパソコンを使った：Googleは、新しい端末を使い始めた場合や、図書館などのパソコンを使った場合も、見覚えのない表示が出ることがあるとしています。
• 初期化した端末が残っている：初期化したあとも、端末が表示され続けることがあります（Google）。
• モバイル通信で場所がずれた：通信の経路の関係で、実際とは別の場所からのサインインに見えることがあります（Microsoft）。
• 旅行中だった：普段と違う場所からのサインインとして出ることがあります（Microsoft）。

思い当たることがなければ、本物の被害として扱ってください。確かめるより先に、パスワードを変えて構いません。変えて困ることはほとんどありません。

「ハッキングされました」というメールが届いただけなら、脅迫メールや偽の警告かもしれません。見分け方は「アカウントがハッキングされました」というメールが来たときにまとめました。

11された可能性が高いときの順番

警察庁の案内に沿うと、順番は次のとおりです。

1. サービス会社に連絡する：ログインできないときも、ここから始めます。カードを登録していればカード会社に、ネットバンキングを使っていれば金融機関にも連絡します。
2. パスワードを変える：同じパスワードを使うほかのサービスも変えます。2段階認証も有効にします。
3. 証拠を残す：ログイン履歴の画面を保存し、サービス会社とのやりとりも記録します。
4. 警察に相談する：保存した履歴を持って、最寄りの警察署かサイバー犯罪相談窓口へ相談します。先に電話で日時と持ち物を確かめるとスムーズです。

場面ごとの最初の3つは被害にあったらにまとめています。会社で個人情報が漏れたおそれがあるときは、報告の要否と期限も確かめてください。ファイルが開けず身代金を求められているなら、ランサムウェアの最初の1時間へ進みます。

12困ったときの相談先

13次にされないための対策

警察庁が基本に挙げているのは、OSとソフトを最新にする、IDとパスワードをきちんと管理する、ウイルス対策ソフトを入れる、の3つです。これに、Googleなどが勧める2段階認証を加えます。

• パスワードを使い回さない：覚えきれないならパスワード管理を使います。
• 2段階認証を有効にする：パスワードが盗まれても、入られにくくなります。
• 更新をためない：自動更新をオンにします。
• ウイルス対策を入れる：個人はセキュリティソフト、会社はEDRを比べられます。

会社全体の守りがどの程度かは、セキュリティレベル診断で確かめられます。

14よくある質問