アカウントの乗っ取りは、特別な人だけが狙われるものではありません。どこかのサービスから流出したパスワードの組み合わせを、別のサービスで片っ端から試す「リスト型攻撃」は自動化されており、使い回しのパスワードがあれば誰でも被害に遭う可能性があります。
とはいえ、対策の多くは一度設定すれば終わるものです。この記事では、今日10〜30分で確認できる12項目をチェックリストにまとめ、万一乗っ取られたときの復旧手順もあわせて紹介します。
この記事でわかること
- 乗っ取りが起きる主な経路
- パスワード・認証・連携・端末の4分野で確認する12項目
- 乗っ取りに気づいたときの優先順位と復旧手順
乗っ取りはどこから起きるのか
乗っ取りの入口は、大きく分けて次の4つです。どれか1つを塞ぐだけでなく、複数の層で守ることが大切です。
| 経路 | 典型的な手口 | 主な対策 |
|---|---|---|
| パスワードの流出・使い回し | 他サービスから漏れたIDとパスワードを試される | サービスごとに異なるパスワード |
| フィッシング | 偽のログインページで入力させる | リンク先の確認、パスキー |
| 連携アプリ・セッション | 不要な外部アプリやログイン状態を悪用される | 連携とログイン端末の定期的な見直し |
| 端末・再設定経路 | 紛失した端末、古い再設定用メールの悪用 | 端末ロック、再設定用情報の更新 |
まずメールアカウントを守る理由
チェックを始める前に、優先順位を決めておきましょう。最初に守るべきなのは、ほかのサービスに登録しているメールアカウントです。
多くのサービスは、パスワードを忘れたときにメールで再設定用のリンクやコードを送ります。つまりメールアカウントを乗っ取られると、そのアドレスで登録しているSNS、ネット通販、クラウドストレージなどのパスワードを、攻撃者が次々に再設定できてしまいます。メールアカウントは、ほかのアカウントの「合鍵」をまとめて保管している場所だと考えてください。
そのため、この記事のチェックリストも、まずは普段使っているメールアカウントで実施し、そのあとで金融系、仕事用、SNSの順に広げていくのが効率的です。GmailやOutlookで再設定用情報を確認する手順は、Gmailの再設定用メール・電話番号の変更方法とOutlookの復旧用メールの変更方法で詳しく解説しています。
パスワードの見直し（項目1〜3）
- 重要なアカウントのパスワードが使い回されていない
メール、金融、仕事用、主要SNSは、それぞれ別のパスワードにします。特にメールアカウントは、ほかのサービスのパスワード再設定に使われるため最優先です。 - 短すぎる・推測しやすいパスワードを使っていない
名前や誕生日、キーボードの並びは避け、長さを確保します。管理にはパスワードマネージャーが便利です。 - 漏えいしたパスワードが含まれていない
Googleのパスワードマネージャーにある「パスワードチェックアップ」や、各パスワードマネージャーの漏えい検出機能で確認できます。
認証と再設定情報の確認（項目4〜6）
- 2段階認証が有効になっている
SMSよりも認証アプリやパスキーのほうが安全です。仕組みは認証アプリ（TOTP）の解説を参考にしてください。 - バックアップコードを保管している
端末を失ったときの最後の手段です。印刷するか、パスワードマネージャーに保存します。 - 再設定用のメールアドレスと電話番号が最新
使わなくなったメールアドレスや解約した電話番号が登録されたままだと、その経路から乗っ取られるおそれがあります。
連携とログイン状態の見直し（項目7〜9）
- 使っていない連携アプリを解除した
Googleアカウントでは「セキュリティ」→「サードパーティのアプリとサービス」、Microsoftアカウントでは「プライバシー」→「アプリとサービス」から確認できます（2026年10月時点の画面）。覚えのないアプリは連携を解除します。 - ログイン中の端末に見覚えがある
各サービスの「デバイス」「ログイン中の端末」一覧を確認し、手放した端末や知らない端末はログアウトさせます。 - メールの転送設定やフィルタが変更されていない
乗っ取りに気づかれないよう、攻撃者が自動転送やメールの自動削除フィルタを仕掛けることがあります。GmailやOutlookの設定画面で確認してください。
端末と通知の設定（項目10〜12）
- スマートフォンに画面ロックがかかっている
認証アプリやメールアプリが入った端末は、それ自体が鍵です。紛失時に遠隔でロック・消去できる機能も有効にしておきます。 - OSとアプリが最新版になっている
既知の脆弱性を悪用されないよう、自動更新をオンにします。 - ログイン通知を受け取れる
新しい端末からのログインがあったときに通知が届く設定にしておくと、異変に早く気づけます。
乗っ取られたときの復旧手順
「パスワードが変わっていてログインできない」「送った覚えのないメッセージが送信されている」など、異変に気づいたら次の順序で対応します。
まだログインできる場合
- すぐにパスワードを変更し、ほかの端末からすべてログアウトさせます。
- 再設定用のメールアドレス・電話番号が書き換えられていないか確認し、必要なら元に戻します。
- 2段階認証の設定を確認し、知らない認証アプリや電話番号が追加されていれば削除します。
- 連携アプリ、転送設定、フィルタを確認します。
- 同じパスワードを使っていたほかのサービスも変更します。
ログインできなくなった場合
- 各サービスの公式なアカウント復旧ページから手続きします。Googleはアカウント復旧の案内、Microsoftはアカウント回復フォームが用意されています。
- 復旧フォームでは、以前使っていたパスワード、アカウントを作った時期、よく連絡する相手など、本人しか知らない情報が判断材料になります。できるだけ正確に入力します。
- 復旧できたら、上の「まだログインできる場合」の手順をすべて実施します。
SNSアカウントの場合
InstagramやTikTok、X（旧Twitter）などのSNSでは、乗っ取り後すぐにプロフィールや登録メールアドレスが書き換えられることがよくあります。各サービスには、登録メールアドレスの変更通知に記載されたリンクから変更を取り消す仕組みや、乗っ取り専用の報告フォームが用意されています。「メールアドレスが変更されました」という通知を受け取ったら、心当たりがなければ通知内のリンクではなく公式アプリのヘルプから手続きしてください。証拠として、届いた通知メールや不審な投稿のスクリーンショットを残しておくと、運営への報告がスムーズです。
乗っ取られたアカウントから知人に不審なメッセージが送られている可能性があります。復旧後、心当たりのある相手には「乗っ取られていた」ことを伝えておくと、二次被害を防げます。
定期点検のすすめ
一度チェックしても、時間が経てば状況は変わります。おすすめは3か月に1度、項目6〜9（再設定情報、連携アプリ、ログイン端末、転送設定）を見直すことです。カレンダーに予定として入れておくと続けやすくなります。GoogleアカウントやMicrosoftアカウントの「セキュリティ診断」機能を使えば、確認すべき箇所を一覧で示してくれます。
よくある質問
乗っ取られたかどうかを確認する方法はありますか？
ログイン履歴（アクティビティ）で、見覚えのない場所や端末からのログインがないか確認します。あわせて送信済みメール、転送設定、連携アプリに不審な点がないかを見ると判断しやすくなります。
2段階認証を設定していれば乗っ取られることはありませんか？
リスクは大きく下がりますが、ゼロにはなりません。フィッシングで認証コードまで入力させる手口もあるため、リンク先の確認やパスキーの利用を組み合わせることが大切です。
セキュリティ診断の結果に「問題なし」と出れば安心ですか？
診断は登録内容や設定の状態を確認するもので、見落としを減らすのに役立ちます。ただし、使い回しているパスワードが他サービスで漏れていないかまでは判断できない場合もあるため、パスワードマネージャーの漏えいチェックと組み合わせて使うと確実です。
購入したアカウントの場合、まず何をすべきですか？
受け取り後すぐにパスワードを自分だけのものに変更し、再設定用の情報と2段階認証を自分の管理下にある内容へ更新します。ログイン中の端末も確認し、不要なセッションはログアウトさせてください。
まとめ
- 乗っ取りの入口はパスワード、フィッシング、連携、端末の4つ
- 12項目のうち、まずは使い回し解消と2段階認証から始める
- 乗っ取りに気づいたら、パスワード変更より先に再設定情報の改ざんがないかも確認
- 3か月に1度、再設定情報・連携・端末・転送設定を点検する
お受け取りいただいたアカウントの初期設定について不安がある場合は、LINEサポートまでご相談ください。商品はHotmail・Outlookのカテゴリなどからご確認いただけます。
