Googleの重大なセキュリティ通知とは？本物の確認と対処

Googleから「重大なセキュリティ通知」という件名のメールやスマートフォン通知が届くと、アカウントを乗っ取られたのではないかと不安になるでしょう。この通知は、新しい端末でのログイン、不審な操作、保存済みパスワードの確認をブロックした場合などにGoogleが送る警告です。ただし、Googleを装い、偽のログイン画面へ誘導するフィッシングメールもあるため、送信元の表示名やメール本文だけでは本物と断定できません。

対処の基本は、メール内のリンクを使わず、自分でGoogleアカウントを開いて事実を確認することです。身に覚えのない操作なら、安全な端末でパスワードを変更し、不明な端末をログアウトさせ、2段階認証と復旧情報を点検します。新しいパスワードをほかのサービスと重複させないため、導入段階からGoogle パスワード マネージャーなどのパスワード管理ツールを利用することも重要です。以下の仕様、画面名、操作順は2026年10月27日時点のGoogle公式情報に基づきます。

Googleの「重大なセキュリティ通知」はどの操作を検知すると届く？

重大なセキュリティ通知は、届いた時点で乗っ取りが確定したことを意味するものではありません。Googleが通常と異なる、または確認を要すると判断した操作について、本人に確認を求める警告です。Google公式の「セキュリティ通知への対応」では、通知が送られる主な状況として、次の三つを挙げています。

• 新しいデバイスでのログインなど、重要な操作を検知した場合
• 大量のメール送信など、不審なアクティビティを検知した場合
• 保存されているパスワードの確認など、機密情報に関する操作をブロックした場合

たとえば、スマートフォンを買い替えた、ブラウザのCookieを削除した、シークレットウィンドウを使った、旅行先やモバイル回線からログインしたという場合は、自分の操作でも新しいログインとして扱われることがあります。一方、利用していない端末、訪れていない地域、就寝中など操作していない時刻が示されている場合は、不正利用を疑う必要があります。

新しいデバイスでGoogleアカウントが使用されると、ログイン済みのAndroid端末へ「ログインしましたか？」という通知が届く場合もあります。Android端末がなければ、ログインに使うメールアドレスまたは再設定用メールアドレスへ通知されます。メール、端末通知、Googleアカウント画面という複数の経路があるため、「メールが届いたかどうか」だけを判断材料にしないでください。

また、パスワードや再設定用情報などのセキュリティ設定が変更された疑いがある場合にも通知されます。自分でパスワード変更や機種変更を行った直後なら、その操作と通知時刻が一致するか確認します。心当たりがあっても、通知に表示されたGoogleアカウントが自分が操作したアカウントと同じかを見てください。複数アカウントを使っていると、別アカウントへのログイン通知を誤認することがあります。

通知は「被害確定」ではなく「本人確認が必要」という合図です。まず対象アカウント、時刻、端末を照合しましょう。

メール内リンクを使わず「最近のセキュリティ関連のアクティビティ」を開くには？

本物か偽物かを確認する最も安全な方法は、受信メールから離れ、自分でGoogleアカウントへアクセスすることです。メールの送信者欄に「Google」や「no-reply」と表示されていても、表示名は偽装できます。ロゴ、文体、緊急性を強調する表現が本物らしくても、それだけでは根拠になりません。

パソコンでは新しいブラウザタブを開き、アドレス欄へ「myaccount.google.com」と自分で入力します。アドレスが「https://myaccount.google.com/」で始まることを確認し、Googleアカウントへログインしてください。2026年10月27日時点では、「セキュリティ」または「セキュリティとログイン」から「最近のセキュリティ関連のアクティビティ」へ進みます。「最近のセキュリティ イベント」パネルが表示される構成では、「セキュリティ イベントを確認」を選びます。直接確認する場合はGoogleアカウントの通知ページを自分で開く方法もあります。

Androidでは「設定」アプリ→「Google」→「Google アカウントを管理」→「セキュリティとログイン」と進みます。メーカーやAndroidの版によって「Google」の位置が異なる場合は、設定アプリ内で「Google アカウント」を検索してください。iPhone・iPadではGmailやGoogleアプリを開き、右上のプロフィール写真→「Google アカウントを管理」→「セキュリティとログイン」と進むか、SafariやChromeからmyaccount.google.comを直接開きます。

複数のGoogleアカウントへログインしている場合は、右上のプロフィール写真を選び、通知を受けたメールアドレスと現在表示中のアカウントが一致しているか確認します。目的のイベントが見つからなければ、別アカウントを開いていないか、通知が古く表示期間外になっていないかを調べます。メールにだけ警告があり、正規のアカウント画面に対応するイベントがない場合は、リンクや添付ファイルを開かず、フィッシングの可能性を前提に扱います。

Googleのフィッシング回避の公式案内も、Googleを装ったセキュリティメールが疑わしい場合は、メールのリンクではなくmyaccount.google.com/notificationsへ直接アクセスするよう案内しています。

メールを鑑定するより、正規のGoogleアカウント側に同じイベントがあるかを確認する方が確実です。

ログインの端末・時刻・場所から自分の操作か判定するには？

「最近のセキュリティ関連のアクティビティ」で対象イベントを選ぶと、端末の種類、時刻、場所、ブラウザなどが表示される場合があります。三つの情報を個別に見るのではなく、自分の行動と組み合わせて判断してください。たとえば「自分のiPhone」「機種変更を行った時刻」「自宅付近」がそろえば本人操作の可能性が高まります。反対に、所有していないWindowsパソコン、操作していない時刻、訪れていない国が並ぶ場合は、身に覚えのないログインとして対応します。

場所はGPSによる現在地とは限らず、IPアドレスや通信事業者の経路を基に付近の地域が示されることがあります。モバイル回線、VPN、勤務先ネットワークを使うと、実際とは異なる都市が表示されることもあります。このため、場所だけがずれている場合は、同じ時刻にその端末を使用したか、表示ブラウザやサービスに覚えがあるかも確認します。

イベントが自分の操作なら「はい」を選択します。身に覚えがなければ、画面に応じて「いいえ、アカウントを保護します」「いいえ、私ではありません」または「いいえ、リクエストしていません」を選び、Googleが示す保護手順を開始してください。新しい端末へのログイン通知で本人ではないと回答すると、Google公式案内では、ほかのすべてのデバイスでログアウトが行われる場合があります。その後、普段使う端末でも再ログインを求められることがあります。

端末の確認はGoogleアカウント→「セキュリティとログイン」→「お使いのデバイス」→「すべてのデバイスを管理」でも行えます。Google公式の「アカウントにアクセスしたデバイスを確認する」によると、同じ端末でもブラウザ、アプリ、シークレットウィンドウごとに複数のセッションが作られる場合があります。また、表示時刻はGoogleとの最後の通信時刻であり、Gmailなどのバックグラウンド同期によって、自分が最後に操作した時刻より新しくなることがあります。

判断できない場合は「端末名が似ているから自分」と決めず、イベントを保留したまま安全な端末からパスワード変更とセッション確認へ進む方が安全です。Googleアカウント乗っ取り後の確認箇所は、LUFTMEDIAの不正アクセスの手口と防止策も参考になります。

場所のずれだけで決めず、端末・時刻・ブラウザ・直前の行動を一組として照合してください。

身に覚えがないとき安全な端末でパスワードを変更する順番は？

不審なイベントを確認したら、最初に信頼できる端末と通信環境を用意します。共有パソコン、通知が出た不明な端末、マルウェア感染が疑われる端末は避け、普段使っているスマートフォンやパソコンから操作してください。メール内リンクではなくmyaccount.google.comを直接開き、対象メールアドレスを確認します。

1. Googleアカウントで「セキュリティとログイン」を開きます。
2. 「Googleにログインする方法」→「パスワード」を選びます。
3. 現在のパスワード、パスキー、端末の画面ロックなど、表示された方法で再認証します。
4. そのGoogleアカウントで以前使っておらず、ほかのサービスにも流用していない新しいパスワードを設定します。
5. 変更後、GmailやGoogleアカウントへ新しいパスワードで入れることを確認します。

Google公式のパスワード変更手順によれば、変更または再設定後は原則として各デバイスがログアウトします。ただし、本人確認に使う端末、アクセス権を付与した一部のサードパーティ製アプリ、連携済みの一部ホームデバイスは例外になり得ます。そのため、パスワード変更だけで全セッションが確実に切れたと考えず、次節の端末管理も実行します。

新しい文字列を記憶だけで管理すると、使い回しや単純化につながりやすくなります。Google パスワード マネージャーなどのパスワード管理ツールで、サービスごとに異なる長いパスワードを生成・保存してください。共有端末へ保存せず、保管庫自体のアカウントと端末の画面ロックも保護します。使い方はLUFTMEDIAのGoogleパスワードマネージャーの使い方で確認できます。

同じ古いパスワードを通販、SNS、金融サービスなどでも使っていた場合は、Googleの変更後に各サービスの正規サイトを自分で開き、それぞれ異なるパスワードへ変更します。Googleアカウントだけを変更しても、漏れた組み合わせを使った他サービスへの不正ログインは止められません。

再認証できずログインできない場合は、何度も推測して入力し続けず、accounts.google.comのアカウント復元へ切り替えます。職場や学校のGoogle Workspaceアカウントでは、管理者の設定により自分で変更できない場合があるため、組織の管理者へ連絡してください。

新しいパスワードは安全な端末で設定し、使い回し先も個別に変更するところまでを一連の対応にしましょう。

「すべてのデバイスを管理」で不明な端末をログアウトするには？

パスワードを変更した後は、Googleアカウント→「セキュリティとログイン」→「お使いのデバイス」→「すべてのデバイスを管理」を開きます。現在ログイン中、または過去数週間にログインしたパソコン、スマートフォン、ブラウザやアプリのセッションが表示されます。個々の項目を選び、端末名、場所、最終アクティビティ、ブラウザなどを確認します。

紛失した端末、売却・譲渡した端末、自分が所有していない端末を選び、「ログアウト」を実行します。同じ端末名の下に複数のセッションが表示される場合は、どれが不正なセッションか断定できなければ、その名前に表示された各セッションをすべてログアウトしてください。Googleは、一つの端末でも新しいブラウザ、アプリ、サービスへのログインや再認証ごとに別セッションが作られる場合があると説明しています。

「ログアウト済み」と表示される項目は、現在のアクセスを切断済みです。ただし、履歴としてしばらく一覧に残る場合があります。ログアウトしたはずの端末で新しいアクティビティが再び発生するなら、パスワードが再度知られた、端末が侵害されている、または第三者のアクセス権が残っている可能性があります。Googleアカウントの「サードパーティ製のアプリとサービスへの接続」も開き、覚えのないサービスや不要なアクセス権を削除します。

Gmailで不審な送信があった場合は、送信済みメール、ゴミ箱、フィルタ、転送設定も確認します。第三者が自動転送やメール削除のフィルタを設定していると、端末をログアウトしても情報流出の痕跡が設定に残ることがあります。身に覚えのない転送先やフィルタは削除し、Gmailの設定変更後にもう一度「最近のセキュリティ関連のアクティビティ」を確認してください。

会社支給端末や学校アカウントでは、管理者が端末セッションやサードパーティ連携を管理している場合があります。見覚えのない管理対象端末を独断で削除すると業務に影響する可能性があるため、端末名と時刻を記録して管理者へ確認します。

パスワード変更の例外として接続が残る場合があるため、不明なセッションは端末管理画面から明示的にログアウトしてください。

「Googleにログインする方法」で2段階認証を設定するには？

不明な端末の遮断後は、Googleアカウント→「セキュリティとログイン」→「Googleにログインする方法」→「2段階認証プロセスを有効にする」と進み、画面の指示に従います。2026年10月27日時点で利用できる方法は、アカウント、端末、地域、組織の管理方針によって異なり、Googleからのメッセージ、認証アプリ、電話番号、パスキー、セキュリティキー、バックアップコードなどが表示される場合があります。

Google公式の2段階認証プロセスの案内では、パスキーを使わない場合、Googleからのメッセージを2つ目の手順として推奨しています。対応するAndroid端末、またはGoogleアプリへログインしたiPhoneに通知が届き、表示された端末情報や位置情報を確認して「はい」か「いいえ」を選びます。自分がログイン操作をしていないときに承認要求が届いた場合は、承認せず「いいえ」を選びます。

認証アプリを使う場合は、「2段階認証プロセス」の設定内で認証システムを追加し、表示されたQRコードをGoogle Authenticatorなどで読み取ります。同じスマートフォン上でQRコードを読めないときは、パソコンに設定画面を表示するか、提示されるセットアップキーの入力方法を利用します。登録後は認証アプリに出たコードをGoogle側へ入力し、設定完了まで確認してください。

SMSや音声通話のコードも利用できる場合がありますが、Googleは電話番号を利用した攻撃に対して脆弱となるおそれを案内しています。利用可能ならGoogleからのメッセージ、パスキー、セキュリティキーなども検討し、スマートフォンを紛失した場合に備えて別経路の予備手段を用意します。バックアップコードは、ログインできないGoogleドライブやGmailの下書きだけに保管せず、本人だけが参照できる別の安全な場所へ保存します。確認コードやバックアップコードを、電話やメールで他人へ伝えてはいけません。

職場・学校のアカウントで項目が出ない、設定が拒否される場合は、Google Workspace管理者が方式を制限している可能性があります。個人向け手順を繰り返さず管理者へ問い合わせてください。方式ごとの違いはLUFTMEDIAの2段階認証の設定と管理方法でも整理しています。

2段階認証は有効化だけで終えず、主手段を失ったときに使える予備の確認方法も同時に準備しましょう。

再設定用メール・電話番号を確認しログイン不能時に復元するには？

アカウントを守る処置の最後に、復旧情報が第三者のものへ変更されていないか、現在も自分が利用できるかを確認します。2026年10月27日時点の画面では、Googleアカウントの「個人情報」→「連絡先情報」から「メール」と「電話」を開き、再設定用メールアドレスと再設定用電話番号を確認できます。「セキュリティとログイン」内に復旧情報の確認候補が表示された場合は、そこから進んでも構いません。

再設定用メールには、対象Googleアカウントとは異なり、日常的に確認できるアドレスを指定します。退職した勤務先、解約したプロバイダ、家族との共有アドレスなど、自分だけで継続管理できないものは更新します。電話番号はSMSを受け取れる自分の番号を使い、古い番号や身に覚えのない番号を削除します。ただし、Google公式情報では、新しい電話番号や再設定用情報が機密操作の本人確認に使えるようになるまで時間がかかる場合があります。変更直後に利用できなくても、何度も追加と削除を繰り返さず画面の案内に従ってください。

すでにパスワードを変えられ、ログインできない場合は、正規のGoogleアカウント復元ページを直接開きます。普段使っていた端末、ブラウザ、場所、通信環境から行い、表示された質問へ可能な限り回答します。覚えている最後のパスワードを求められた場合は、思い出せる中で最も新しいものを入力します。パスワードや確認コードを入力するドメインがaccounts.google.comであることも確認してください。

Google公式のアカウント復元手順では、質問に誤答しても復元を試せなくなるわけではなく、再試行できると案内しています。一方、試行回数が制限される場合もあるため、手当たり次第に入力せず、利用可能な旧端末や過去の情報を整理してから進めます。復元処理に保留時間が表示された場合は、申請が即座に失敗した意味ではありません。

Googleは、アカウントやパスワードの復元サービスを名乗る第三者と提携していないと案内しています。検索広告やSNSで見つけた代行業者へ、パスワード、確認コード、バックアップコードを渡さないでください。職場・学校のアカウントは個人向け復元で戻せない場合があるため、組織の管理者に連絡します。

復旧情報は「登録済み」だけでなく、今そのメールと電話を自分が受け取れる状態かまで確認してください。

偽通知をGmailで報告しアカウント保護と切り分けるには？

偽の重大なセキュリティ通知を受け取った場合、「メールを報告する操作」と「Googleアカウントを保護する操作」は目的が異なります。Gmailでの報告は、不審メールをGoogleへ知らせ、受信トレイから隔離するための処置です。アカウント保護は、不正ログイン、パスワード、端末、2段階認証、復旧情報を確認する処置です。フィッシングを報告しただけでは、すでに漏れたパスワードや不正なセッションは解消されません。

パソコン版Gmailでは、不審なメールを開きます。本文中のリンクや添付ファイルには触れず、返信ボタン付近の「その他」メニュー→「フィッシングを報告」を選択します。単なる広告や大量配信なら上部の「迷惑メールを報告」を使えますが、Googleになりすましてログイン情報や確認コードを盗もうとしているメールは「フィッシングを報告」が適切です。Google公式によると、迷惑メールへ移動または報告すると、メールと添付ファイルのコピーが分析のためGoogleへ送られる場合があります。

スマートフォンのGmailアプリでは、対象メールを開いて右上のメニューを確認します。アプリ版やOSによって「フィッシングを報告」が見つからない場合は、まず「迷惑メールを報告」で隔離し、パソコン版Gmailから詳細メニューを確認してください。メールを削除する前に、正規のGoogleアカウント画面で同じセキュリティイベントが存在しないことを確認します。

リンクを開いただけで認証情報を入力していない場合でも、ダウンロードしたファイルを実行していないか、ブラウザへ不審な拡張機能を追加していないか確認します。偽サイトにパスワードを入力した場合は、メール報告よりアカウント保護を優先し、安全な端末からパスワード変更→不明な端末のログアウト→2段階認証→復旧情報確認の順で進めます。確認コードまで入力した場合やログインできなくなった場合は、直ちにアカウント復元ページを使います。

通知が本物だった場合は迷惑メール報告をせず、Googleアカウント内でイベントへ回答します。誤ってフィッシングとして報告した場合は、パソコン版Gmailでメールを開き、「その他」→「フィッシングではないことを報告」を選べます。最終的な判定は送信元表示ではなく、myaccount.google.comのアクティビティと一致するかで行ってください。

メールの報告は受信対策、パスワード変更や端末ログアウトは侵入対策です。疑わしいときは両方を別々に完了させましょう。

参照した公式情報

• Google アカウント ヘルプ「セキュリティ通知への対応」
• Google アカウント ヘルプ「アカウントでの不審なアクティビティを調べる」
• Google アカウント ヘルプ「ハッキングまたは不正使用された Google アカウントを保護する」
• Google アカウント ヘルプ「アカウントにアクセスしたデバイスを確認する」
• Google アカウント ヘルプ「パスワードを変更または再設定する」
• Google アカウント ヘルプ「2段階認証プロセスを有効にする」
• Google アカウント ヘルプ「Google アカウントや Gmail を復元する方法」
• Gmail ヘルプ「フィッシング メールを報告する、回避する」