こんにちは、くまさんです。
倹約×コツコツ積立投資で、サイドFIREに向けて資産形成を頑張っています。
最近、Googleのアカウントが乗っ取られる話をよく聞くけど…。
私のアカウントは大丈夫かな？何をすればいいの？
設定は4つで、今日中に終わるよ。ぼくも実際に見直してみたら、残ったままの古い設定や、覚えのない設定が見つかったんだ。順番に見ていこう！
※設定はパソコンのブラウザで「Googleアカウント」の「セキュリティとログイン」から行います。スマホでも同じ項目があります。
なぜ今、Googleアカウントを守るのか
ある証券会社で、利用者のGoogleやAppleのアカウントが乗っ取られ、そこに保存されていたパスキーやパスワードが使われて、証券口座に不正ログインされた疑いのある事案が確認されました（会社名は公表されていません）。
これを受けて2026年10月、SBI証券や楽天証券など大手の証券会社がそろって、利用者に「GoogleやAppleのアカウントを守ってください」と呼びかけています。
証券会社のパスワードは盗まれてないのに、どうして口座に入られちゃうの？
Googleアカウントの中に、ほかのサービスの「鍵」がまとめて入っているからなんだ。図にするとこうなるよ。
パスキーやパスワードをGoogleに保存・同期している場合、Googleアカウントは「ほかのサービスの合鍵の保管場所」になります。証券口座側の対策に加えて、その保管場所であるGoogleアカウントも守る必要があります。
証券会社が勧めている対策と、この記事でやることの対応は次のとおりです。
① パスキーを作る
パスワードの代わりに、スマホやパソコンの顔認証・指紋認証・画面ロックでログインする仕組みです。パスワードを入力する方式に比べて、偽サイトにだまされにくい仕組みです。
作り方は、Googleの公式ヘルプのとおりに進めれば数分で終わります。作るときは、次の2点に気をつけます。
- 自分だけが使うスマホやパソコンで作る（家族と共用の端末や、会社の端末では作らない）
- その端末に画面ロック（パスコードや顔・指紋認証）を設定しておく
→ パスワードの代わりにパスキーでログインする（Google アカウント ヘルプ）
作ったあとは、「セキュリティとログイン」の画面で確かめられます。「パスキーとセキュリティキー」に件数が出ていればOKです。押すと登録されている端末が出るので、心当たりのある端末だけかも見ておきます。
以降、ログインするときは、このような本人確認の画面が出ます。指や顔で認証するだけです。
✅ 完了の目安：自分の端末でパスキーを作り、「パスキーとセキュリティキー」に心当たりのある端末だけが並んでいる
② 2段階認証をオンにする
2段階認証は、ログインのときに「もう1つの確認」を求める仕組みです。パスワードが盗まれても、2つ目の確認ができなければ入れません。
なお、パスキーでログインしたときは、この追加の確認は出ません（パスキー自体が本人確認を兼ねるため）。パスワードでログインされる場合に備えて、2段階認証もオンにしておきます。
→ 2 段階認証プロセスを有効にする（Google アカウント ヘルプ）
オンにすると、さきほどの画面の「2段階認証プロセス」に「○年○月○日より有効」と表示されます。
「2つ目の確認」って、いろいろ選べるみたい。どれにすればいいの？
安全さに差があるんだ。迷ったら、スマホに届く「Googleからのメッセージ」を使えば大丈夫だよ。
自分が今どの方法を使っているかは、「セキュリティとログイン」の「Googleにログインする方法」で確かめられます。
自分がログインしていないのに「ログインしようとしていますか？」の通知が来たら、必ず「いいえ」を押します。誰かがパスワードを使って入ろうとしているサインです。
✅ 完了の目安：「2段階認証プロセス」が有効になっていて、自分が使う2つ目の確認の方法が分かっている
③ 締め出されないための準備をする
守りを固めると、今度は「自分がスマホをなくしたとき、入れなくなる」ことが心配になります。いざというときに戻れる道を、先に用意しておきます。
再設定用のメールアドレス：自分が受け取れるものにする
ログインできなくなったときや、不審なログインがあったとき、Googleからここに連絡が来ます。「このGoogleアカウントに入れなくなっても確認できる、別のアドレス」で、普段から見ているものにしておきます。
ぼくは、もう使っていない携帯会社のメールアドレスのままになっていたよ。これだと、いざというときにGoogleからの連絡が届かないんだ。みんなも一度見てみてね。
再設定用の電話番号：自分の番号か確かめる
昔の番号や、家族の番号になっていないかを見ます。どちらも上の「Googleにログインする方法」の一覧で確かめられます。
アカウント復元用の連絡先：家族を登録する
2025年10月から使えるようになった機能です。信頼できる家族や友人を登録しておくと、自分が締め出されたときに、その人の協力でアカウントを取り戻せます。
- 登録しても、相手が自分のGmailの中身などを見られるようになるわけではない（ただし招待には、自分の名前・メールアドレス・プロフィール写真が表示される）
- 取り戻すときは、自分の画面に出たコードと同じものを、相手のスマホで選んでもらう（15分以内）
- 相手が招待を承諾してから、さらに7日たつと使えるようになる（登録したその日から使えるわけではない）
→ アカウント復元用の連絡先を追加、管理、使用する（Google アカウント ヘルプ）
ぼくは妻を登録したよ。そのとき「ぼくから連絡がないのにコードの確認が来たら、選ばずに無視してね」と伝えておいたんだ。誰かがなりすまして取り戻そうとしている可能性があるからね。
予備の手段がない人は：バックアップコード
スマホも家族も頼れないときに使える、使い捨ての8桁のコードです。作っても普段のログインは何も変わりません。家族に頼れない人や、スマホ以外に予備の手段がない人は作っておきます。作ったら、紙に印刷して大事な書類と一緒にしまっておきます。
秘密の質問は削除してOK
「最初に使った電話番号は？」のような秘密の質問は、今はGoogleでは使われていません。残っていたら削除して大丈夫です。
✅ 完了の目安：再設定用のメール・電話が自分の受け取れるものになっていて、復元用の連絡先などの予備の手段を用意した
④ セキュリティ診断で見直す
最後に、Googleの「セキュリティ診断」で、今の状態を点検します。
→ セキュリティ診断を開く（「セキュリティとログイン」の一番上からも開けます）
覚えのない「アプリパスワード」は削除
2段階認証に対応していない古いアプリが、Googleのサービス（Gmailなど）に入るための専用パスワードです。そのアプリからは2段階認証なしで入れてしまうので、覚えのないものは残しておかないほうが安全です。
診断で「このアプリパスワードはまだ必要ですか？」と出たら、「最終使用」と「作成」の日付を見て、作った覚えがなければ「削除」を押します。
ぼくも診断したら、覚えのないアプリパスワードが残っていたから削除したよ。心当たりのないものが見つかったときは、削除で終わりにせず、下の「心当たりのないものが見つかったら」も確かめてね。
リンク済みアプリ：覚えのないもの・使っていないものを外す
「Googleでログイン」などで許可を出したアプリの一覧です。判断の目安はこうです。
- 今も使っている → そのまま
- もう使っていない → 外す
- 名前に覚えがない → 右の「i」で中身を見て、心当たりがなければ外す
外しても、必要になればそのアプリから連携し直せます。ただし、ログインや設定のやり直しが必要になることがあります。
名前だけでは分からないアプリもあったけど、「i」を押したらスマホに入れたアプリだと思い出せたよ。今は使っていないから外したんだ。
お使いのデバイス：使っていない端末はログアウト
Googleアカウントにログインしている端末の一覧です。同じ端末でも、ブラウザやアプリごとに別の行（セッション）として並びます。表示される日時は「Googleと最後に通信した日時」で、自動の同期も含むため、実際に触った日より新しく出ることがあります。
- 今使っているスマホ・パソコン → そのまま
- 手放した端末、何か月も通信していない端末 → ログアウト
- 見覚えのない端末 → ログアウトしたうえで、下の「心当たりのないものが見つかったら」へ
外したい端末を押すと詳細が開くので、「ログアウト」を押します。
ぼくのアカウントには、端末やセッションの表示が19件も残っていたよ。何か月も通信していないパソコンや、覚えのない端末をログアウトしたんだ。
ログアウトすると「一部のアプリは依然としてアクセスできる可能性があります」と表示されることがあります。これは、上の「リンク済みアプリ」で許可したアプリは、端末からログアウトしても許可が残る、というお知らせです。自分の古い端末を整理しただけなら、リンク済みアプリを見直しておけば大丈夫です。
心当たりのないものが見つかったら
覚えのないアプリパスワード、端末、ログインなどがあった場合は、ログアウトや削除だけで終わりにせず、Googleの「アカウントを保護する」手順に沿って確認します。主な内容は次のとおりです。
- パスワードを変更する（同じパスワードを使っているほかのサービスも）
- 「最近のセキュリティ関連のアクティビティ」に、身に覚えのない操作がないか見る
- 再設定用のメール・電話や、Gmailの転送・フィルタが勝手に変えられていないか見る
→ ハッキングまたは不正使用された Google アカウントを保護する（Google アカウント ヘルプ）
✅ 完了の目安：不要なアプリパスワード・アプリ・端末を整理し、心当たりのないものは保護手順で確認した
まとめ
以上、Googleアカウントの乗っ取り対策について解説しました。まとめると以下の通りです。
- ① パスキーを作る
- ② 2段階認証をオンにし、身に覚えのない確認は「いいえ」
- ③ 再設定用のメール・電話を自分のものにし、家族を復元用の連絡先に
- ④ セキュリティ診断で、覚えのないアプリパスワード・アプリ・端末を外し、心当たりのないものは保護手順へ
設定は済んでいるつもりでも、見直すと何かしら見つかるものだね。ぼくも、やってよかったと思ったよ。
出典：
・楽天証券「【ご注意ください】不正ログインや不正取引などの被害に遭わないために」（2026年10月14日）
・＠IT「『パスキーだから安心』が危ない? SBI証券が警告したGoogle・Appleアカウント経由の口座乗っ取り」（2026年10月9日）
・Google アカウント ヘルプ（2段階認証、パスキー、アカウント復元用の連絡先）
※画面は2026年10月31日時点のものです。
