Googleアカウントは、Gmailだけでなく、Google Drive、Google Photos、YouTube、Chrome同期、Googleでログインしている外部サービスなど、多くのデータや認証機能と結びついています。そのため、不正ログインが発生すると、メールの閲覧や送信だけでなく、保存ファイルの取得、復旧情報の変更、他サービスへの侵入などへ被害が広がる可能性があります。

一方で、「普段と異なる地域からログインがありました」といった通知だけでは、必ずしも乗っ取りが確定したとは限りません。VPN、携帯回線、ブラウザの切り替えなどによって、実際とは異なる地域や端末として表示される場合もあります。

ただし、身に覚えのない端末、送信済みメール、復旧用メールアドレスの変更、知らないOAuthアプリ、パスワード変更通知などが確認された場合は、侵害を前提に早急な対応が必要です。

そこで本記事では、Googleアカウントが乗っ取られた疑いがあるときに確認すべきサイン、ログインできる場合・できない場合の対処、GmailやDriveなどの影響範囲、端末側の侵害確認、証拠保全、必要に応じたフォレンジック調査までを解説します。

Googleアカウントが乗っ取られた疑いのあるサイン

Googleアカウントの乗っ取りは、ログイン通知だけでなく、メール・復旧情報・連携アプリ・Googleサービス内の操作などから判断します。

身に覚えのない端末や場所からログインされている

Googleアカウントのセキュリティ画面では、最近利用された端末やセキュリティアクティビティを確認できます。

見覚えのないスマートフォン、PC、ブラウザ、地域などが表示されている場合は注意が必要です。

ただし、位置情報はIPアドレスなどから推定されるため、VPNや携帯回線を利用している場合には実際の場所と異なることがあります。地域だけで判断せず、端末名、利用日時、自分の行動と照合してください。

自分が送っていないメールがある

Gmailの「送信済み」「下書き」「ゴミ箱」などに、自分が作成していないメールがある場合は、不正利用が疑われます。

攻撃者が、Googleアカウントを使って知人へフィッシングリンクや詐欺メールを送信するケースもあります。

パスワードや復旧情報が変更されている

再設定用メールアドレス、電話番号、パスワード、2段階認証の方法などに心当たりのない変更がある場合は、侵害の可能性が高まります。

攻撃者が復旧情報を自分のものへ変更すると、所有者がパスワードを変更しても再びアカウントを奪われる可能性があります。

Gmailに不審な転送・フィルタ設定がある

攻撃者は、アカウントから追い出された後もメールを読み続けられるように、外部アドレスへの自動転送や、特定メールを自動削除・既読化するフィルタを作成することがあります。

そのため、パスワード変更だけでなくGmail内部の設定確認が重要です。

知らないアプリ・サービスが連携されている

Googleアカウントでは、GoogleログインやOAuthを利用して外部アプリにGmail、Drive、連絡先などへのアクセス権を付与できます。

心当たりのないサービスや、必要以上に広い権限を持つアプリがある場合は、不正な連携を疑ってください。

Google DriveやYouTubeにも不審な操作がある

Googleアカウントが侵害されると、Gmail以外にも影響が及ぶ可能性があります。

Driveの外部共有、YouTubeへの不審な動画投稿、Google Photosの共有、Chrome同期による拡張機能追加なども確認してください。

Googleアカウントにログインできる場合に今すぐ行うこと

まだGoogleアカウントにログインできる場合は、攻撃者が操作を続ける前に、セッション・パスワード・復旧情報・外部連携をまとめて確認します。

最近のセキュリティアクティビティを確認する

Googleアカウントのセキュリティ設定を開き、「最近のセキュリティアクティビティ」を確認してください。

不審なログインや設定変更があれば、日時、端末、地域などをスクリーンショットで記録しておくと、後の調査に役立ちます。

不審な端末をログアウトする

Googleアカウントに接続されている端末一覧を確認し、利用した覚えのない端末やブラウザをログアウトさせます。

不審な端末が複数ある場合は、認証情報の変更と合わせて整理してください。

Googleアカウントのパスワードを変更する

パスワードは、他サービスで利用していない長く固有のものへ変更します。

パスワードマネージャーを利用し、ランダムな文字列を生成して管理する方法も有効です。

Googleアカウントと同じパスワードを他サービスでも使用していた場合は、そちらも変更してください。

復旧情報を確認する

再設定用メールアドレス、電話番号、パスキー、認証アプリ、バックアップコードなどを確認します。

攻撃者が追加した復旧経路を残したままでは、パスワード変更後も再侵入される可能性があります。

2段階認証を再確認する

2段階認証を利用していない場合は有効化します。

すでに利用している場合でも、不明な電話番号、パスキー、認証器、バックアップコードなどが追加されていないか確認してください。

利用できる環境では、パスキーやFIDO2対応セキュリティキーなど、フィッシング耐性の高い方式を優先するのが安全です。

Gmailで不審な設定が残っていないか確認する

Googleアカウントを取り戻しても、Gmail内部に攻撃者の設定が残っていると、メールの監視や情報流出が続く可能性があります。

メールの自動転送

Gmailの設定から「メール転送とPOP/IMAP」周辺を確認し、知らない外部メールアドレスへの転送が設定されていないか確認します。

フィルタとブロック設定

特定の送信元や件名に対して、自動削除、自動既読化、転送などの設定がないか確認します。

金融機関やGoogleからのセキュリティ通知だけを自動削除するような設定がある場合は特に注意が必要です。

メール委任

自分以外のGoogleアカウントへメール閲覧・送信権限が付与されていないか確認します。

送信元アドレス

「名前」や「送信元アドレス」などに不審な追加設定がないか確認します。

自動返信・署名

知らないURLや文面が自動返信・署名へ追加されていないか確認してください。

Googleアカウントの第三者アプリ・OAuth連携を確認する

パスワードを変更しても、Googleアカウントに許可した外部アプリのアクセス権が残る場合があります。

心当たりのないOAuthアプリ

Googleアカウントの「第三者のアプリとサービス」などから接続済みサービスを確認します。

導入した覚えのないサービスはアクセス権を削除してください。

Gmailへのアクセス権

メールの閲覧・送信など、Gmailへ広い権限を持つアプリは特に慎重に確認します。

Google Driveへのアクセス権

Driveのファイル閲覧・変更・削除が可能なアプリに心当たりがあるか確認します。

連絡先へのアクセス権

Google Contactsへのアクセス権を悪用されると、知人・取引先の情報が取得される可能性があります。

不要な「Googleでログイン」連携

以前利用していたものの、現在は不要になったサービスも整理しておくと、攻撃対象を減らせます。

Googleアカウントにログインできない場合の対処法

パスワードや復旧情報を変更されてGoogleアカウントに入れない場合は、公式のアカウント復元フローを利用します。

Google公式のアカウント復元を利用する

Google公式のアカウント復元ページから本人確認を進めます。

「アカウント復旧代行」などを名乗る第三者へパスワードや認証コードを渡さないでください。

普段使っていた環境から復元を試す

普段利用していた端末、ブラウザ、ネットワークから復元手続きを行うことで、本人確認の判断材料になる場合があります。

Googleから届いた変更通知を保存する

「パスワードが変更されました」「再設定用メールアドレスが変更されました」などの通知は削除せず保全します。

日時や変更内容は、不正アクセスの時系列を整理する手掛かりになります。

復旧先にしている他サービスを保護する

Googleアカウントを復旧できない状態が続く場合は、そのGmailアドレスをパスワード再設定先として利用しているSNS、金融、クラウド、ECサービスなどを先に保護してください。

Googleアカウントが乗っ取られた場合に確認すべき影響範囲

Googleアカウントは複数サービスのハブとして利用されるため、Gmailだけ確認して終わらせないことが重要です。

Gmail

送信済み、下書き、ゴミ箱、自動転送、フィルタ、委任などを確認します。

Google Drive

知らない共有相手、外部公開リンク、大量ダウンロード、削除されたファイルなどがないか確認します。

Google Photos

共有アルバムや公開リンクに不審なものがないか確認してください。

YouTube

不審な動画投稿、ライブ配信、チャンネル設定の変更、ブランドアカウントへの権限追加などを確認します。

Chrome

Chrome同期を利用している場合、拡張機能、保存パスワード、ブックマークなども確認対象になります。

心当たりのない拡張機能が複数端末へ同期されていないか確認してください。

Googleログインを利用している外部サービス

「Googleでログイン」を利用しているWebサービスも確認します。

また、Gmailをパスワード再設定用メールとして登録しているサービスも、必要に応じてログイン履歴や回復情報を見直してください。

Googleアカウント乗っ取りの原因として考えられるもの

Googleアカウントの侵害は、単純なパスワード漏えいだけでなく、フィッシングや端末感染、セッション情報の窃取などでも発生します。

フィッシング

Googleを装うログイン画面へパスワードや認証コードを入力させる手口です。

パスワードの使い回し

別サービスから漏えいしたメールアドレス・パスワードの組み合わせが、Googleアカウントにも試されることがあります。

情報窃取型マルウェア

インフォスティーラーなどのマルウェアは、ブラウザ保存パスワード、Cookie、認証情報などを窃取する場合があります。

悪性ブラウザ拡張機能

不審な拡張機能に強い権限を与えることで、閲覧内容やセッション情報が取得される可能性があります。

不正なOAuth連携

偽アプリの同意画面でGmailやDriveへのアクセスを許可してしまうと、パスワードを知られなくても情報へアクセスされる場合があります。

セッションCookie・トークンの窃取

ログイン済み状態を示すセッション情報が盗まれると、MFAを利用していても既存セッションを悪用される場合があります。

Googleアカウントを乗っ取られた疑いがある場合は端末も確認する

パスワード変更後も不審なログインが続く場合は、Googleアカウントだけでなく利用端末側も確認します。

不審なブラウザ拡張機能

Chromeなどに導入した覚えのない拡張機能がないか確認してください。

情報窃取型マルウェア

OS・セキュリティ製品を更新し、信頼できるAV・EDRでスキャンします。

ただし、検出がなかったことだけで侵害がなかったと断定することはできません。

遠隔操作ツール

AnyDesk、TeamViewer、RustDesk、ScreenConnectなどを知らない相手の指示で導入した場合は、端末侵害を強く疑ってください。

ClickFixなどで実行したコマンド

偽CAPTCHAや「認証のためWin＋Rを押してください」といった指示に従い、PowerShellなどを実行した場合は、マルウェア感染の可能性を確認する必要があります。

最近インストールした不明なアプリ

乗っ取りが始まった時期の前後に導入したソフトやアプリを確認します。

Googleアカウント乗っ取りで証拠として保存すべきもの

明確な不正アクセスや業務データへの影響がある場合は、設定を削除・変更する前に必要な証拠を保存します。

最近のセキュリティアクティビティ

不審なログインの日時、端末、地域などが分かる状態で記録します。

不審な端末一覧

端末をログアウトさせる前に、名称や最終利用日時をスクリーンショットで保存します。

Googleから届いた変更通知

パスワード、電話番号、再設定用メールアドレス、2段階認証などの変更通知は保存してください。

不審な送信メール

自分が送っていないメールの宛先、本文、送信日時などを保存します。

Gmail転送・フィルタ・委任設定

不審な設定を削除する前に、内容が分かる状態で記録します。

第三者アプリの権限

不明なOAuthアプリがある場合は、アプリ名・付与権限・確認日時を記録してください。

Google Workspaceアカウントが乗っ取られた場合の対応

会社や学校などで利用しているGoogle Workspaceアカウントの場合は、自己判断だけで処理せず、管理者やCSIRTへ速やかに報告してください。

管理者側では、対象ユーザーのセッション失効、パスワード変更、OAuthアプリ監査、管理者権限の確認、Gmail・Driveなどの監査ログ保全を行います。

また、顧客情報、個人情報、契約書、機密資料などが含まれる場合は、単なるアカウント復旧だけでなく、どのデータが閲覧・共有・ダウンロードされた可能性があるかを確認する必要があります。

Googleアカウント乗っ取りをフォレンジック調査で確認する方法

不審なログイン通知だけで、送信メールや設定変更、端末異常などが確認されていない場合は、必ずしも専門的なフォレンジック調査が必要になるわけではありません。

一方、身に覚えのないメール送信、不正な転送設定、端末感染、不審なOAuth連携、他サービスへの不正ログインなどがある場合は、侵害経路や影響範囲を確認するために専門調査を検討できます。

端末上のマルウェア感染痕跡

情報窃取型マルウェアなどが端末上で実行されていなかったか確認します。

不審なブラウザ拡張・実行ファイル

ブラウザ拡張機能、ダウンロードファイル、遠隔操作ツールなどを確認します。

フィッシングサイトへのアクセス履歴

ブラウザ履歴などから、不審なGoogleログイン画面や誘導サイトへアクセスしていなかったか確認します。

Googleアカウントへの不正ログイン時系列

取得できるアカウント情報や端末上の痕跡を組み合わせ、不審なログインや操作の時系列を整理します。

他サービスへの横展開の可能性

Gmailを復旧先に利用していたSNS、クラウド、EC、金融サービスなどにも影響が広がっていないかを確認します。

不審なメール送信や端末感染が確認された場合はフォレンジック調査会社に相談する

Googleから不審なログイン通知を受け取っただけで、確認したところ自分の端末だった場合は、必ずしも専門調査が必要になるとは限りません。

一方、身に覚えのない端末からのログイン成功、自分が送っていないメール、不審な転送設定、復旧情報の変更、知らないOAuthアプリ、パスワード変更後の再侵害などがある場合は、アカウントだけでなく端末やブラウザまで含めて確認する必要があります。

特に、原因確認前に端末を初期化したり、不審なファイル・拡張機能・履歴を削除したりすると、フィッシング、情報窃取型マルウェア、悪性拡張、セッション窃取など、どの経路から侵害されたのかを判断するための痕跡が失われる場合があります。

不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、端末上の実行履歴、ブラウザ情報、マルウェア、遠隔操作ツールなどを調査し、Googleアカウントへの不正アクセスがどのように発生した可能性があるのか、他のアカウントやデータまで影響している可能性があるのかを詳しく確認できます。

こうした専門調査によって原因と影響範囲を整理できれば、どの認証情報・セッションを失効すべきか、端末を再構築する必要があるか、関係者への連絡や法的対応が必要かを判断しやすくなります。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

Googleアカウントが乗っ取られた疑いがある場合は、まず安全性が確認できる端末からセキュリティアクティビティと接続中デバイスを確認し、不審な端末をログアウトさせてください。

続いて、Googleアカウントのパスワード、再設定用メールアドレス、電話番号、2段階認証、パスキー、バックアップコードなどを確認します。

Gmailでは、自動転送、フィルタ、委任などに攻撃者が残した設定がないか確認し、Googleアカウントに接続された第三者アプリ・OAuth権限も見直してください。

また、GoogleアカウントはGmailだけでなく、Drive、Photos、YouTube、Chrome同期、「Googleでログイン」を利用する外部サービスにも影響します。必要に応じて各サービスの共有・操作履歴も確認することが重要です。

パスワード変更後も不審なアクセスが続く、情報窃取型マルウェアや悪性拡張機能が疑われる、第三者によるメール送信やデータ取得が確認された場合は、端末側も含めた調査を検討してください。

侵害経路や影響範囲が分からない場合は、必要に応じてフォレンジック調査を行い、どこからGoogleアカウントへ侵入された可能性があるのか、他のサービスまで被害が広がっていないかを整理したうえで再発防止につなげることが重要です。