この記事は探偵が監修しています
監修：佐藤 良太（ラクーン探偵社 代表（合同会社EXE RESEARCH））
ある日突然、スマホに届く1通のメール。
「重大なセキュリティ通知」「あなたのGoogleパスワードを使用した人がいます」
心臓が止まりそうになった方も多いのではないでしょうか。しかも今は、タイムズカー、焼肉きんぐ、ソースネクスト、ローソンと、誰もが一度は使ったことのある会社から、数百万件、数千万件という単位で個人情報が漏れ出している真っ最中です。「自分のパスワードも、もう誰かの手に渡っているのでは」。その不安は、残念ながら考えすぎではありません。
この記事では、こうしたメールが届いたときに最初の10分でやるべきこと、本物と偽物の見分け方、そして相次ぐ情報漏えいから自分を守るための対策を、人の情報を扱う仕事をしている探偵の目線でまとめました。先に結論を言います。メールのリンクは絶対に押さないでください。
そのメール、本物？偽物？答えは「どちらもあり得る」
まず知っておいてほしいのは、このメールには本物と偽物の両方が存在するということです。
本物の場合：Googleが本当に危険を知らせている
Googleは、いつもと違う場所や端末からのログイン、パスワードの変更、セキュリティ設定の変更などを検知すると、登録しているメールアドレスやスマホに「重大なセキュリティ通知」を送ります。また、Googleパスワードマネージャーに保存しているパスワードが、どこかの会社の漏えいデータに含まれていた場合にも警告が出ます。
本物の通知が来たということは、あなたのパスワードを使って、誰かが実際にログインしようとした可能性があるということです。のんびりしている時間はありません。
偽物の場合：通知そのものが「罠」
一方で、Googleの通知そっくりに作られた偽メールも出回っています。2026年10月6日に＠ITが報じた事例は、かなり悪質です。
- 件名は「Security alert」、差出人の表示は「Google <no-reply@accounts.google.com>」。本物とまったく同じでした。
- Gmailの「不審なメール」の警告も出ませんでした。
- リンク先は、Googleの無料ホームページ作成サービス（sites.google.com）の上に作られた偽ページ。アドレスの部分は本物のGoogleのドメインです。
- 人間確認の画面まで表示したうえで、メールアドレスとパスワードを入力させる作りになっていました。
「差出人がGoogleなら安心」「アドレスがgoogle.comなら安心」。これまで常識だった見分け方が、もう通用しなくなっています。焦ってリンクを押し、言われるがままにパスワードを入力した瞬間、守るつもりで自分から鍵を渡してしまうのです。
届いたら最初の10分でやること
本物でも偽物でも、やることは同じです。メールからは一切操作せず、自分でGoogleアカウントを開いて確認する。これだけ守れば、偽メールに引っかかることはありません。
1. メールのリンク・ボタンは押さない。添付も開かない
確認のためでも押さないでください。「今すぐ確認」「アカウントを保護」といったボタンこそ、偽メールが一番押させたい場所です。
2. 自分でGoogleアカウントを開く
ブラウザに自分で「myaccount.google.com」と入力するか、スマホの「設定」アプリからGoogleアカウントを開きます。「セキュリティ」の画面にある「最近のセキュリティ アクティビティ」と「お使いのデバイス」を確認し、身に覚えのないログインや端末がないかを見てください。
3. 心当たりがなければ、すぐにパスワードを変える
新しいパスワードは、他のサービスで一度も使ったことのない、長くて推測されにくいものにします。誕生日、電話番号、名前、「password」「1234」のような並びは論外です。
4. 知らない端末を追い出す
「お使いのデバイス」に見覚えのない端末があれば、その端末からログアウトさせます。パスワードを変えただけでは、すでにログインしている端末が残っていることがあります。
5. 2段階認証かパスキーを設定する
パスワードが知られても、スマホでの確認がなければログインできない状態にしておきます。Googleアカウントでは「パスキー」も使えます。指紋や顔認証でログインする仕組みで、そもそも盗まれるパスワードを持たずに済みます。
6. 乗っ取られた後に「仕込まれるもの」を確認する
本当に怖いのはここです。アカウントを乗っ取った犯人は、パスワードを変えられても後から入り直せるよう、こっそり仕掛けを残していくことがあります。次の項目を必ず確認してください。
- 再設定用のメールアドレス・電話番号が、知らないものに変わっていないか
- Gmailの転送設定に、知らないアドレスが追加されていないか（届いたメールが全部、犯人にも送られ続けます）
- Gmailのフィルタで、特定のメールが自動で削除・アーカイブされる設定になっていないか（銀行や通販からの通知を隠すために使われます）
- Googleアカウントにアクセスできるアプリ・サービスに、覚えのないものがないか
7. パスワードチェックアップを実行する
Googleパスワードマネージャーの「パスワードチェックアップ」を使うと、保存しているパスワードのうち、漏えいしたもの、使い回しているもの、弱いものを一覧で確認できます。ここで警告が出たサービスは、Googleに限らず全部変えてください。
本物か偽物か、見分けるポイント
それでも「このメールは本物なのか」が気になる方のために、見分けるポイントを挙げておきます。ただし、どれか1つで本物と判断するのは危険です。
- 差出人の表示だけでは判断できない：前述のとおり、偽メールでも「no-reply@accounts.google.com」と表示されることがあります。
- メールの詳細情報を見る：パソコンのGmailでは、メールの詳細から「mailed-by（送信元）」を確認できます。＠ITの事例では、本物は「identity-reachout.bounces.google.com」、偽物は「fwd.privatemail.com」でした。
- パスワードの入力を求めてくるか：メールのリンクから開いたページで、パスワードやメールアドレスの入力を求められたら、偽物と考えて閉じてください。
- 急かしてくるか：「24時間以内に」「今すぐ確認しないとアカウントを停止」などの言葉で焦らせるのは、詐欺の定番です。
結局のところ、一番確実なのは「メールは見るだけ。確認は自分でアカウントを開いて行う」というルールを守ることです。本物なら、アカウントのセキュリティ画面にも同じ警告が出ています。
止まらない情報漏えい。あなたの情報も、もう出ているかもしれない
なぜ今、こうした通知や偽メールにここまで注意が必要なのか。理由は単純で、犯人の手元に、本物のメールアドレスと名前と電話番号が大量にあるからです。2026年の9月から10月にかけて、身近な会社の情報漏えいが立て続けに公表されました。
- ソースネクスト：最大2,251万9,960件の会員情報が流出した可能性（10月15日公表）。メールアドレス、パスワード、氏名、住所、電話番号、生年月日など。
- 焼肉きんぐ（物語コーポレーション）：公式アプリの会員1,078万8,963件が漏えい（10月5日公表）。登録者のほぼ全員にあたり、会員番号、氏名、メールアドレス、電話番号が対象とされています。
- 第一興商：委託先のパソコンがウイルスに感染し、顧客と従業員の情報約872万件が漏えいした可能性があると報じられています（10月8日公表）。
- タイムズカー：約660万件のアカウント情報が漏えい。そのうち約160万件では、運転免許証などの本人確認書類の画像まで含まれていたとされています。
- ブックオフ：子会社の会員管理システムへの不正アクセスで、最大約643万件の会員情報が漏えいした可能性があると報じられています。
- ローソン：ローソンID 215万5,345件が漏えい（10月8日公表）。メールアドレス、氏名、性別、電話番号、住所などが対象です。
これは一部にすぎません。報道によれば、9月中旬からのわずか3週間ほどで20を超える組織が被害を公表しています。事態を重く見て、10月6日にはデジタル大臣が会見でパスワードの使い回しをやめることや多要素認証の利用を国民に呼びかけ、10月8日にはJPCERT/CC（国内のサイバー攻撃対応の調整機関）や警察庁も注意喚起を出しました。国が名指しで「気をつけてください」と言う段階に来ているのです。
タイムズカーとソースネクストの件は、当社でも詳しくまとめています。
会社は謝ってくれる。でも、あなたの情報は取り戻せない
どの会社も、お詫びの文書を出し、問い合わせ窓口を作り、再発防止を約束しています。それ自体は当然のことです。
しかし、はっきり言います。一度ネットに流れた情報は、どこの会社にも回収できません。あなたのメールアドレスと名前と電話番号の組み合わせは、これから何年も、詐欺グループの名簿として使われ続ける可能性があります。そのメールアドレスを使って届く偽メールにだまされても、乗っ取られたアカウントで被害が出ても、漏えいした会社がそこまで面倒を見てくれるわけではありません。
会社に責任を取ってもらうのを待っていても、あなたのアカウントは守れない。最後に自分を守れるのは、自分だけです。
漏れた情報は、こうやって悪用される
「名前とメールアドレスくらいなら」と思うかもしれません。しかし、犯人にとってはそれで十分です。
- パスワードの総当たり（リスト型攻撃）：漏れたメールアドレスとパスワードの組み合わせを、Google、Amazon、楽天、LINE、銀行などに片っ端から試します。使い回しをしていれば、1つの漏えいで全部のアカウントが開いてしまいます。
- 本名入りの偽メール・偽SMS：あなたの本名、利用しているサービス名を入れた偽メールは、本物と区別がつきません。冒頭のような「Googleからの通知」もその1つです。
- お詫びや補償を装った連絡：漏えいの直後は「補償のお手続き」「本人確認のお願い」を名乗る偽の連絡が必ず増えます。
- なりすまし：免許証の画像まで流出していれば、他人があなたになりすまして契約を結ぶ材料にもなり得ます。
そしてGoogleアカウントが乗っ取られると、被害はメールだけでは済みません。写真、連絡先、カレンダー、Googleドライブの書類、そしてスマホの位置情報の履歴。あなたが毎日どこに行き、誰と会っているのかが、まるごと他人に見られることになります。人の行動を調べる仕事をしている私たち探偵から見ても、これほど多くのことが分かってしまう情報はありません。
今日からやるセキュリティ対策チェックリスト
難しいことは必要ありません。次の項目を、今日、1つずつ片付けてください。
- パスワードの使い回しをやめる。特にメール、銀行、通販、SNSは全部別々に。
- パスワード管理アプリを使う。Googleパスワードマネージャーやスマホ標準の機能で十分です。覚えようとするから使い回しが起きます。
- 2段階認証かパスキーを、使えるサービスすべてで有効にする。
- メールやSMSのリンクからログインしない。ログインは、公式アプリかブックマークから。
- 認証コードは誰にも教えない。SMSで届く6桁の数字を聞いてくるのは、相手が誰であっても詐欺です。
- 使っていないサービスは退会する。登録が残っている限り、そこから漏れる可能性があります。
- クレジットカードと携帯電話の明細を毎月見る。小さな金額の見覚えのない請求は、本番前の「試し打ち」のことがあります。
- スマホとパソコンのOS・アプリを最新にする。
- 免許証の画像が漏れた可能性がある方は、信用情報を確認する。信用情報機関（CIC、JICC、全国銀行個人信用情報センター）に開示を請求すれば、身に覚えのない契約がないかを確認できます。
- 被害の疑いがあれば一人で抱え込まない。カード会社、警察、消費者ホットライン（188）に相談してください。
まとめ：通知が来た「今」が、守りを固める最後のチャンス
「あなたのGoogleパスワードを使用した人がいます」。このメールが本物であれ偽物であれ、届いたという事実は、あなたの情報がすでに狙われている側にあることを意味しています。
- メールのリンクは押さず、自分でGoogleアカウントを開いて確認する
- 心当たりがなければ、パスワード変更、知らない端末の追い出し、2段階認証の設定
- 転送設定・フィルタ・再設定用の連絡先に、犯人の仕掛けが残っていないか確認する
- 漏えいした会社は情報を取り戻してくれない。自分の身は自分で守る
ラクーン探偵社は、日々、ご依頼者様の大切な秘密をお預かりしています。だからこそ、情報がどれほど簡単に漏れ、どれほど取り返しがつかないかを知っています。「スマホやアカウントを誰かにのぞかれている気がする」「身に覚えのない連絡が続いている」など、不安なことがあれば、一人で悩まずにご相談ください。
