身に覚えのない「ログイン通知」が届いたら、最初の10分でやること

深夜にスマホが光って、「新しいログインがありました」。心当たりがない。場所は見知らぬ都市。使った覚えのない端末名。この通知は、「今すぐ動けば間に合う」最後の警告であることが多いです。

ヒント: この記事の結論

まず10秒だけ疑う: その通知、本物ですか？

あわててメール内のリンクを踏むのがいちばん危険です。ログイン通知を装ったフィッシングメールが大量に出回っているからです。本物かどうか迷ったら「リンクを踏まずに正面玄関から入る」。これが鉄則です。

例通知が届いたときの動き方

通知メールの「今すぐ確認」リンクを押してログインする。偽サイトならその瞬間にパスワードを渡してしまう

通知は閉じて、自分でアプリを開くか、ブックマークやURL直打ちでサービスに入り、「セキュリティ」や「ログイン履歴」を見る

本物の通知でも、リンクからは入らない

本物のGoogleやAmazonの通知にもリンクは付いていますが、「正面から入る」癖をつけておけば本物・偽物を見分ける必要がなくなります。見分けようとするから、巧妙な偽物に負けます。

作成者矢嶋

止血の順番（合計10分）

① パスワードを変更

3分。他で使ったことのない新しいものに

② 見知らぬ端末を追い出す

3分。「ログイン中の端末」から全部ログアウト

③ 2段階認証をオン

4分。メール・SNS・決済系も

ログインし直して、パスワードを変更します。このとき、他のサービスで使ったことのない、新しいパスワードにしてください。過去に使ったものの再利用は、後述する理由で意味がありません。

主要なサービスには「ログイン中のセッション（端末）一覧」画面があります。Google、X、Instagram、Amazonにもあります。見覚えのない端末があれば、すべてログアウト（セッション削除）してください。パスワードを変えても、既にログイン済みの端末は残ることがあるためです。

✎ Ex.「ログイン中の端末」はどこにある？

サービス	場所
Google	アカウント管理 → セキュリティ → 「お使いのデバイス」
Apple	設定 → 自分の名前 → 画面下のデバイス一覧
X	設定とプライバシー → セキュリティとアカウントアクセス → アプリとセッション
Instagram	設定 → アカウントセンター → パスワードとセキュリティ → ログインの場所
Amazon	アカウントサービス → ログインとセキュリティ → 「すべてのデバイスからサインアウト」

パスワードが破られても、もう1つの鍵（スマホへの確認コードなど）がなければ入れなくなります。設定は各サービスの「セキュリティ」メニューから数分で終わります。今回通知が来たサービスだけでなく、メール・SNS・決済系は全部オンにするのがおすすめです。

注意: 「確認コードを教えて」は全部詐欺

2段階認証をオンにしたあと、「本人確認のためコードを教えてください」という電話やメッセージが来ることがあります。コードを他人に伝える正当な場面はありません。サービス側がコードを尋ねることもありません。

ここまでで、当面の危険はほぼ止血できます。

「パスワードを誰にも教えていないのに、なぜ？」と思いますよね。多くの場合、原因はあなたのミスではありません。過去に使っていたどこかのサービスが攻撃を受け、そこに登録していたメールアドレスとパスワードの組み合わせが盗まれた、というケースが大半です。

1つの漏洩パスワードが複数のサービスへの総当たりに使われる（リスト型攻撃）

盗まれたデータは犯罪者の間で売買・共有され、何年も経ってから「同じ組み合わせを他のサービスで機械的に試す」攻撃（リスト型攻撃）に使われます。あなた個人が狙われたのではなく、リストの上から順に試されているだけです。だから誰にでも起こります。

どのサービスから漏れた可能性があるのかは、漏洩事件データベースで事件ごとに確認できます。仕組みの詳しい解説はパスワードの使い回しが危険な本当の理由にまとめています。

通知が来た日にやること