「保存したパスワードの一部がウェブ上に漏洩しました」の対処法

ChromeやGoogle パスワード マネージャーに「保存したパスワードの一部がウェブ上に漏洩しました」と表示されたら、通知内のリンクを急いで押すのではなく、自分でpasswords.google.com/checkupを開いて対象を確認します。その後、対象サイトの公式アプリまたは正しいURLからパスワードを変更し、同じ文字列を使っている別サイトも固有パスワードへ切り替えます。

ここでいう「漏洩」は、保存したユーザー名とパスワードの組み合わせが既知のデータ侵害情報と一致したという意味です。Googleから認証情報が流出したと断定する表示ではありません。対象サイト、過去に利用した別サービス、フィッシングなど、漏洩元を通知だけで特定できない場合もあります。

変更時は、人が考えた似た文字列を増やすのではなく、Google パスワード マネージャーなどの管理ツールでサイトごとに異なるパスワードを生成し、そのまま保存します。サイト側で変更を完了してから保存内容を更新するのが基本です。Google パスワード マネージャーの保存や自動入力については、LUFTMEDIAのGoogleパスワードマネージャーの使い方も参照してください。

以下の機能、仕様、画面名、操作経路は2026年10月2日時点のGoogle公式情報を基にしています。Chromeのバージョン、OS、端末メーカー、管理対象アカウントによって名称や配置が異なる場合があります。

「保存したパスワードの一部がウェブ上に漏洩しました」はGoogleからの漏洩を意味する？

この警告は、「Googleに保存していたからGoogleから漏れた」という意味ではありません。GoogleのChromeでのパスワード保護の仕組みによると、Chromeは保存した認証情報を暗号化したうえで、既知の侵害されたデータの暗号化リストと照合し、一致した場合に変更を促します。照合の過程でユーザー名やパスワードがGoogleに記録されるものではないと説明されています。

警告が示すのは、保存されている「ユーザー名とパスワードの組み合わせ」がインターネット上で公開された既知の情報と一致し、安全なまま使い続けられない可能性があることです。漏洩元は、警告に表示されたサイト自身とは限りません。同じメールアドレスとパスワードを別サイトでも使っていた場合、その別サイトの侵害情報との一致で検出されることがあります。

一方、警告だけで第三者がすでにログインしたとも断定できません。実害の有無とは別に、認証情報を知る人物が試行できる状態と考え、変更を優先します。注文、投稿、送金、登録情報の変更などに心当たりがある場合は、パスワード変更に加えて、対象サービスのログイン履歴、利用履歴、登録メールアドレス、電話番号、連携アプリも点検してください。

「漏洩」「不正使用された」「侵害された」は、Googleの画面やヘルプで近い意味に使われることがあります。「脆弱なパスワード」は推測されやすい文字列、「使い回し」は複数アカウントで同じ文字列を使っている状態であり、漏洩検出とは項目が異なります。

Googleの保存機能を消す前に、どの認証情報が一致したのかをチェックアップ画面で確認しましょう。

passwords.google.com/checkupではどの項目を確認する？

メールやポップアップ内のリンクを使わず、ブラウザのアドレス欄へ「https://passwords.google.com/checkup」と自分で入力します。Googleアカウントへのログインや再認証を求められたら、アドレスがpasswords.google.comまたはGoogleの正規ログイン用ドメインであることを確認して進みます。共有パソコンや公共端末では、保存パスワードを表示する作業を避けてください。

Google公式の不正使用されたパスワードを変更する手順では、チェック結果として主に「不正使用されたパスワード」「使い回しているパスワード」「脆弱なパスワード」を確認できます。最初に不正使用された項目を開き、サイト名、ユーザー名、同じパスワードが保存されている件数を把握します。件数が多くても、まとめて同じ新パスワードへ変更してはいけません。

複数のGoogleアカウントやChromeプロフィールを使っている場合は、画面右上のプロフィール画像を見て、目的のアカウントで開いているか確認します。仕事用、個人用、家族用で保存先が分かれていれば、それぞれでチェックアップが必要です。passwords.google.comに対象が出ない場合は、別のGoogleアカウント、端末内だけの保存、Appleの「パスワード」、Microsoft Edge、Firefox、専用のパスワード管理アプリなど、実際の保存先を確認します。

「パスワードを変更」ボタンが表示されても、移動先が常にサイトの変更画面へ直結するとは限りません。トップページ、ログイン画面、存在しないページが開いた場合は、対象サイトの公式アプリか、自分で確認した公式URLから「アカウント」「設定」「セキュリティ」「パスワード変更」に進みます。警告の「閉じる」は問題の解消ではなく一覧から隠す操作なので、変更前に閉じない方が管理しやすいでしょう。

複数アカウントを使う人は、チェックアップ画面右上のGoogleアカウントが正しいかを最初に確認してください。

Chromeの「Google パスワード マネージャー」からチェックアップを開くには？

Windows・Mac・ChromeOS

パソコン版Chromeでは、右上の「その他」から「パスワードと自動入力」→「Google パスワード マネージャー」→左側の「チェックアップ」と進みます。アドレスバー付近にパスワードアイコンが表示されている場合は、そこから管理画面へ入れることもあります。会社や学校が管理するChromeでは、管理者のポリシーにより保存、同期、チェックアップの利用範囲が制限される場合があります。

Android

Android版Chromeでは、「その他」→「設定」→「Google パスワード マネージャー」→「チェックアップ」が基本です。端末によってはAndroidの「設定」→「Google」→「すべてのサービス」→「自動入力とパスワード」→「Google パスワード マネージャー」からも開けます。メーカー独自の設定画面で階層が違う場合は、設定アプリ内で「パスワード マネージャー」を検索します。

iPhone・iPad

iPhone・iPad版Chromeでは、「その他」→「パスワード マネージャー」から保存情報を確認します。Google側のチェックアップ全体を確実に確認したい場合は、SafariまたはChromeでpasswords.google.com/checkupを直接開く方法が分かりやすいでしょう。iOSの「パスワード」アプリに保存している項目とGoogle パスワード マネージャーの項目は別管理になるため、どちらが自動入力元なのかも確認します。

メニューが見つからない場合は、Chromeを最新版へ更新して再起動し、同じGoogleアカウントにログインしているかを確認します。それでも開けなければ、OSに依存しにくいpasswords.google.comを利用します。保存一覧が空なら、同期の停止、別プロフィール、別アカウント、端末内保存の可能性を順に調べてください。

端末のメニューで迷ったときは、正しいGoogleアカウントを確認してpasswords.google.comへ直接アクセスするのが近道です。

警告された対象サイトでパスワードを変更して保存し直すには？

変更作業は、警告から無関係なサイトへ飛ばず、対象サービスの公式アプリ、普段使うブックマーク、または自分で正しいと確認したURLから始めます。「アカウント設定」「ログインとセキュリティ」「サインイン方法」「パスワード」などを開き、現在のパスワードと新しいパスワードを入力します。画面名はサービスごとに異なります。

1. Google パスワード マネージャーで対象のサイト名とユーザー名を確認する
2. 対象サイトの公式画面を別タブまたは公式アプリで開く
3. 管理ツールの「安全なパスワードを提案」「強力なパスワードを生成」などを使う
4. サイトが指定する文字数、使用可能文字、過去パスワードの再利用禁止条件を確認する
5. 新しい固有パスワードを設定し、「変更」「保存」「更新」を押す
6. Chromeの保存確認が出たら「更新」または「保存」を選ぶ
7. シークレットウィンドウや別端末で新しい情報によるログインを確認する

パソコン版Chromeでは、新しいパスワード欄を右クリックして「パスワードを提案」が表示される場合があります。表示されなければGoogle パスワード マネージャー内でパスワードを生成し、コピー後すぐに対象サイトへ設定します。生成方法の考え方はLUFTMEDIAの安全なパスワードを生成する方法でも整理しています。

重要なのは、先に対象サイト側を変更し、その後で保存情報を更新する順序です。Google パスワード マネージャーの「編集」で保存値だけを書き換えても、対象サイトの登録パスワードは変わりません。保存確認が出なかった場合は、サイト側の変更完了を確認してから、Google パスワード マネージャーで該当項目を開き、「編集」で新しい値へ更新します。

現在のパスワードが分からない場合は、対象サイト公式の「パスワードを忘れた場合」から再設定します。登録メールを受け取れなければ、メールアカウントを先に復旧します。変更画面がエラーになる場合は、指定文字の条件、前後の空白、自動入力された古い値を確認し、別ブラウザや公式アプリも試します。アカウントがすでに変更されて入れない場合は、各サービスの公式復旧窓口を利用してください。

保存一覧の編集だけでは変更になりません。対象サイトで変更を完了し、保存値を更新する順番を守りましょう。

同じパスワードを使い回したサイトはどの順番で変更する？

警告された文字列をほかのサイトでも使っていた場合、表示された1件だけを変えても対処は終わりません。同じ文字列、末尾の数字だけを変えたもの、サイト名を付け足したものも同じ系列として扱います。漏洩した認証情報を別サイトへ試す攻撃では、規則的な派生形も推測される可能性があります。

変更の優先順位は、最初にメール、次にGoogle・Apple・Microsoftなどの基盤アカウント、金融・決済、携帯電話会社、通販、SNS、その他のサービスが目安です。メールは多くのアカウントの再設定リンクを受け取るため、先に守ることで連鎖的な再設定を抑えやすくなります。カードや決済サービスに不審な履歴があれば、パスワード変更と並行して公式窓口へ連絡します。

一件ずつ「公式サイトで変更→管理ツールへ保存→新しい値でログイン確認」と進めます。途中で表計算や平文メモへ新旧パスワードを一覧化すると、別の漏洩経路を増やします。作業状況はパスワードそのものを書かず、「変更済み」「2段階認証済み」などの状態だけを記録してください。

今後は、サイトごとに管理ツールが生成した無関係な文字列を使います。Chrome中心ならGoogle パスワード マネージャー、複数ブラウザや家族共有など別要件がある場合は専用ツールも候補です。選択肢を比較する際は、LUFTMEDIAの1Passwordの基本設定と使い方も確認できます。どのツールでも、保管庫を開くためのパスワードを他サービスへ流用せず、復旧方法を先に確認します。

使わなくなったサービスは、パスワードを保存一覧から消すだけでなく、公式の退会手順でアカウント自体を削除できるか確認します。削除できない場合は、固有パスワードへ変え、保存されている支払い情報や不要な個人情報を整理してください。

使い回し解消は、再設定の起点になるメールアカウントから着手すると被害の連鎖を抑えやすくなります。

パスワード変更後に2段階認証を設定するには？

パスワード変更後は、対象サービスが対応していれば「セキュリティ」「ログインとセキュリティ」「2段階認証」「2要素認証」「多要素認証」などを開いて追加認証を設定します。2段階認証は、漏洩済みパスワードを使い続ける代替策ではありません。固有パスワードへ変更したうえで追加します。

Googleアカウントでは、Googleアカウントの「セキュリティ」→「Googleにログインする方法」→「2段階認証プロセス」から設定します。Google公式の2段階認証プロセスによる個人情報の保護では、Googleからのメッセージ、確認コード、セキュリティキーなどが案内されています。利用できる方式はアカウントや端末によって異なります。

設定時は、日常用の認証手段だけでなく、スマートフォンの故障・紛失に備えた予備手段も用意します。バックアップコードが発行される場合は、パスワードと同じ場所や同じ端末だけに置かず、安全な別の場所へ保管します。電話番号を変更したら、古い番号を削除して新しい番号を登録します。

身に覚えのないログインがある場合は、追加認証を有効にするだけで終えず、「デバイス」「ログイン中のセッション」「最近のセキュリティ アクティビティ」を確認します。不明な端末をログアウトし、見覚えのない復旧先、連携アプリ、アプリパスワードがあれば解除します。すでに作成されたログインセッションは、パスワード変更だけでは残るサービスもあるため、「すべての端末からログアウト」が提供されていれば実行します。

認証方式の違いや機種変更時の備えは、LUFTMEDIAの2段階認証とは？SMS・認証アプリの違いとパスワード管理も参考になります。

2段階認証を有効にするときは、主な認証手段と端末紛失時の予備手段をセットで登録してください。

漏洩警告を装うフィッシング通知はどう見分ける？

本物らしいロゴ、送信者名、文章だけでは判定できません。「今すぐ変更しないと停止する」「漏洩が確認されたのでこのリンクからログイン」と急がせるメールやSMSを受け取っても、そのリンクからパスワードを入力しないでください。Google公式のフィッシング メールを報告する、回避するでも、リンク先で入力を求められた場合は情報を入力せず、利用するウェブサイトへ直接アクセスするよう案内しています。

確認は、通知とは別にChromeを開き、自分でpasswords.google.com/checkupへアクセスして行います。Googleのセキュリティ通知が本物か確かめる場合は、myaccount.google.com/notificationsを直接開きます。対象サイトの警告なら、そのサービスの公式アプリやブックマークからセキュリティ画面を確認します。

ブラウザ内でChrome自身が出す警告と、ウェブページが表示する偽のポップアップは外観が似る場合があります。ページ内に電話番号、サポートへの連絡、ソフトのインストール、遠隔操作、確認コードの送信を求める表示があれば従わず、タブを閉じます。閉じられない場合はChromeを終了し、再起動後に履歴から同じページを復元しないでください。

誤ってリンク先へパスワードを入力した場合は、信頼できる端末で正規サイトを直接開き、入力したアカウントのパスワードを変更します。同じ文字列を使った別アカウントも固有パスワードへ変更し、ログイン履歴と復旧情報を確認します。確認コードまで渡した場合や不審なセッションがある場合は、全端末ログアウトと公式サポートへの連絡も検討します。

Gmailで報告するには、不審なメールを開き、返信付近の「その他」→「フィッシングを報告」を選びます。報告前に添付ファイルを開いたり、送信者へ返信したりする必要はありません。

通知の真偽を通知内で確かめようとせず、別に開いた正規URLのチェックアップ画面で確認しましょう。

変更後も警告が消えない・対象サイトに入れないときはどうする？

変更直後も警告が残る場合は、最初に対象サイト側で新しいパスワードによるログインが成功するか確認します。成功するなら、Google パスワード マネージャーに古い保存項目が残っていないかを調べます。同じサイトについて、別のユーザー名、古いURL、wwwの有無、アプリ用ドメインなど複数の項目が保存されていることがあります。

保存項目を開き、表示されるユーザー名と更新日時を照合します。古い項目が不要だと確認できた場合だけ削除し、現用項目には新しいパスワードを保存します。Chromeにログインして同期している場合でも、反映に時間がかかったり、別プロフィールを見ていたりすることがあります。Chromeを再起動し、passwords.google.com側と端末側の両方を確認してください。

対象サイトへ入れない場合は、自動入力をいったん使わず、ユーザー名が正しいか、前後に空白がないか、別アカウントを選んでいないかを確認します。パスワード変更後に古いパスワードが自動入力されているなら、保存内容を更新します。何度も失敗すると一時ロックされるサービスがあるため、連続試行を続けず、公式の再設定手順へ切り替えます。

すでに退会したサイト、運営終了サイト、変更画面へ到達できないサイトは、警告を閉じる前に、同じパスワードを使った現役アカウントがないか確認します。Google パスワード マネージャーの「警告を閉じる」は対応済みまたは対処不能な項目を整理する機能で、漏洩したパスワードを安全な状態へ戻す機能ではありません。誤って閉じた警告は「閉じた警告」から復元できます。

最後にチェックアップを再実行し、不正使用された項目と使い回し項目が減ったかを確認します。その後も、対象サイトから不審な通知が来る、復旧先が変わっている、ログイン履歴が増える場合は、対象サービスの公式サポートへ連絡してください。

参照した公式情報

• Google アカウントの不正使用されたパスワードを変更する
• Chromeでのパスワード保護の仕組み
• Chromeでパスワードを管理する
• 2段階認証プロセスによる個人情報の保護
• フィッシング メールを報告する、回避する

警告が残るときは、サイト側の変更成功、古い保存項目、GoogleアカウントとChromeプロフィールの順で確認してください。