身に覚えのない「ログイン通知」が届いたら、最初の10分でやること

深夜にスマホが光って、「新しいログインがありました」。心当たりがない。場所は見知らぬ都市。使った覚えのない端末名——この通知、実は「今すぐ動けば間に合う」最後の警告であることが多いです。

この記事では、身に覚えのないログイン通知が来たときに最初の10分でやるべきことを、順番どおりに書きます。ブックマークしておいて、いざというとき上から順に実行してください。

まず10秒だけ疑う: その通知、本物ですか？

あわててメール内のリンクを踏むのはいちばん危険です。ログイン通知を装ったフィッシングメールが大量に出回っているからです。

これだけでフィッシングは無力化できます。本物かどうか迷ったら「リンクを踏まずに正面玄関から入る」。これが鉄則です。

ログインし直して、パスワードを変更します。このとき、他のサービスで使ったことのない、新しいパスワードにしてください。過去に使ったものの再利用は、後述する理由で意味がありません。

主要なサービスには「ログイン中のセッション（端末）一覧」画面があります。GoogleやX、Instagram、Amazonにもあります。見覚えのない端末があれば、**すべてログアウト（セッション削除）**してください。パスワードを変えても、既にログイン済みの端末は残ることがあるためです。

パスワードが破られても、もう1つの鍵（スマホへの確認コードなど）がなければ入れなくなります。設定は各サービスの「セキュリティ」メニューから数分で終わります。今回通知が来たサービスだけでなく、メール・SNS・決済系は全部オンにするのがおすすめです。

ここまでで、当面の危険はほぼ止血できます。

「パスワードを誰にも教えていないのに、なぜ？」と思いますよね。

多くの場合、原因はあなたのミスではありません。過去に使っていたどこかのサービスが攻撃を受け、そこに登録していたメールアドレスとパスワードの組み合わせが盗まれた——というケースが大半です。

盗まれたデータは犯罪者の間で売買・共有され、何年も経ってから「同じ組み合わせを他のサービスで機械的に試す」攻撃（リスト型攻撃）に使われます。あなた個人が狙われたのではなく、リストの上から順に試されているだけ。だから誰にでも起こります。

どのサービスから漏れた可能性があるのかは、漏洩事件データベースで事件ごとに確認できます。