使い方・ハウツー·2026-08-25

AIアカウントに不審なログインの疑いがあるとき、今すぐやること完全ガイド

#セキュリティ#アカウント管理#ChatGPT#不正アクセス対策

AIのトリセツ使い方・ハウツー

この記事の要点

1.気づいた瞬間にまずパスワードを変更し、全デバイスからログアウトする——この2手を3分以内に終わらせるのが最優先。
2.その後、二段階認証を有効化し、連携アプリのアクセス権を確認するとほぼ再発を防げる。
3.被害状況の確認はツールが用意するログイン履歴ページで行い、疑わしい端末は即座に無効化する。

この記事を読み終えると、次のことが自分でできるようになります。①AIアカウントへの不正アクセスを疑ったときの「最初の15分」で何をすべきかが分かる。②ChatGPT・Claude・Geminiそれぞれのログイン履歴確認画面へのたどり方が分かる。③二段階認証の設定を実際に完了させ、再発を防げる状態にできる。手順は「今すぐやること（緊急対応）」→「落ち着いてやること（被害確認）」→「二度と起こさないための設定」の3段階で進めます。専門知識は不要。ブラウザとスマートフォンさえあれば、この記事を見ながらそのまま作業を進められます。

「怪しいな」と思ったら、まず深呼吸してこの1点を確認する

「見覚えのないデバイスからログインされた」「自分が送った覚えのないチャット履歴がある」「登録メールアドレスに知らないログイン通知が届いた」——こうした状況は不正アクセスのサインである可能性があります。ただし、焦って何でもクリックすると逆効果になります。フィッシングメール（偽のセキュリティ警告）も同じ見た目で届くからです。まず確認すべきは、届いたメールのリンクをクリックするのではなく、ブラウザのアドレスバーに自分でURLを打ち込んで公式サイトへアクセスすることです。ChatGPTならchat.openai.com、ClaudeならClaude.ai、GeminiならGemini.google.comと直接入力してください。この手順だけで「偽サイトへ誘導される」リスクをゼロにできます。

メールのリンクは踏まない。URLは必ず自分で打つ

不審メールに貼られたリンクの8割以上はフィッシングサイトへの誘導です（目安として覚えておいてください）。「パスワードを変更してください」と書かれていても、必ずブラウザのアドレスバーに自分で公式URLを入力してからログインし直しましょう。

ステップ1：今すぐやること——パスワード変更と全端末ログアウト（所要3〜5分）

不正アクセスを疑ったら、最初の3〜5分でパスワードの変更と全端末からのログアウトを完了させます。この2つが最優先な理由は、攻撃者がまだセッション（ログインしたままの状態）を保持している可能性があるからです。パスワードを変えるだけでは、現在ログイン中の攻撃者を追い出せません。「全デバイスをログアウト」する操作が必ずセットで必要です。ChatGPTの場合は、サイト右上のアカウントアイコン→「設定（Settings）」→「セキュリティ（Security）」→「すべてのデバイスからログアウト（Log out of all devices）」で実行できます。Googleアカウント（Gemini）の場合は、myaccount.google.com→「セキュリティ」→「お使いのデバイス」→「すべてのデバイスを管理」→各デバイスを個別にログアウトまたは「セキュリティ診断」から一括対応します。

ChatGPT：chat.openai.com → 右上アイコン → Settings → Security → 「Log out of all devices」をクリック
Claude：claude.ai → 右上のアカウントメニュー → 「Account Settings」 → パスワードセクションから変更（ツールにより画面構成は変わる場合があります）
Gemini（Google）：myaccount.google.com → セキュリティ → パスワードを変更 → その後「お使いのデバイス」で全端末をログアウト
パスワードは12文字以上・英大文字小文字+数字+記号を混ぜた文字列に変更する。「AIpassword2024!」のような予測しやすい文字列は避ける
変更後、必ず「パスワードマネージャー（1Password・Bitwarden・ブラウザ内蔵など）」に新しいパスワードを保存する

ステップ2：ログイン履歴を確認して「どこから入られたか」を把握する

パスワード変更と全ログアウトが終わったら、次はログイン履歴の確認です。ここで「知らない国・地域からのアクセス」「使ったことのないブラウザやOS」が記録されていれば、実際に不正アクセスがあったと判断できます。逆に自分のアクセスしか記録されていなければ、フィッシングメールの誤報だった可能性が高まります。ChatGPTの場合、設定画面の「Security」セクションに「Active sessions（アクティブなセッション）」が表示されます。Googleアカウントの場合はmyaccount.google.comの「セキュリティ」→「最近のセキュリティイベント」でIPアドレス・日時・使用ブラウザを確認できます。自分が身に覚えのないIPアドレスや地名（例：自分は東京在住なのに「ルーマニア」など）が記録されていたら、次のステップに進んでください。

ステップ3：チャット履歴を確認して「何を見られたか」を把握する

ログイン履歴の次に確認するのは、チャット履歴です。AIツールの不正アクセスで見落とされがちなのが「チャット内容の漏えい」です。業務で使っているなら、顧客情報・社内の機密情報・個人の連絡先・財務データなどをAIに入力した履歴が攻撃者に閲覧された可能性があります。ChatGPTのサイドバーには過去の会話が一覧表示されます。見知らぬタイトルの会話、あるいは自分が入力していないはずのプロンプトが残っていれば、攻撃者が実際にアカウントを操作した証拠になります。この確認は後のステップ（サービスへの報告）でも証拠として使えるので、スクリーンショットを撮って保存しておいてください。確認後、不要になった過去の会話はすべて削除することをお勧めします（設定→「データコントロール」→「会話を削除」）。

AIに入力した内容は「見られた前提」で被害範囲を考える

過去のチャット履歴に個人情報・社内情報が含まれていた場合は、その情報が関係する取引先や顧客へ状況を説明する必要が出てくることもあります。早めに上長や関係者に報告しておくことが後の対応をスムーズにします。

ステップ4：二段階認証を今日中に設定して「次の侵入口」を塞ぐ

パスワードだけの認証は「鍵1本」の状態です。二段階認証（2FA）は「鍵+指紋」の状態で、パスワードが漏れても認証コードがなければログインできません。設定は5〜10分で完了します。推奨はスマートフォンの認証アプリ（Google AuthenticatorやAuthyなど、いずれも無料）を使う方法です。SMSによる認証コードも有効ですが、SIMスワッピング（電話番号を不正に乗っ取る手口）という攻撃に弱い点があるため、可能なら認証アプリ方式を選んでください。ChatGPTの場合：設定（Settings）→ Security → 「Enable two-factor authentication」をオンにし、表示されたQRコードをGoogle Authenticatorでスキャンします。バックアップコード（緊急時にSMSや認証アプリが使えない場合のコード）は印刷するかパスワードマネージャーに保存してください。

認証アプリをインストール：iOS/Androidで「Google Authenticator」または「Authy」を検索し無料インストール
ChatGPT：Settings → Security → Enable two-factor authentication → QRコードを認証アプリでスキャン
Google（Gemini）：myaccount.google.com → セキュリティ → 2段階認証プロセス → 開始 → 「Google認証システム」を選択
バックアップコード（緊急時用の予備コード）は必ず印刷またはパスワードマネージャーに保存する——スクリーンショットだけではスマホを失くした時に使えない
設定完了後、一度ログアウトして再ログインし、認証コードが正しく求められるかテストする

ステップ5：連携アプリとAPIキーのアクセス権を棚卸しする

AIアカウントは「Zapier」「Make（旧Integromat）」「Notion AI」「社内ツール」などの外部サービスと連携していることがあります。攻撃者がこうした連携アプリのAPIキー（外部からアカウントに命令を送るための合い言葉のようなもの）を入手していた場合、パスワードを変更しても連携アプリ経由でアクセスし続けることができます。ChatGPTのAPIキーはplatform.openai.comの「API keys」ページで確認できます。見覚えのないキーは即座に削除（Revoke）してください。同様に、設定の「連携済みアプリ（Connected apps）」または「サードパーティ連携」のセクションで見覚えのないアプリの権限を取り消します。このステップを怠ると、パスワードを変えても数日後に再び問題が起きるケースがあるため、必ず実施してください。

ステップ6：公式サポートに報告して記録を残す

自衛策と並行して、サービスの公式サポートに不正アクセスの疑いを報告することを強くお勧めします。理由は2つです。①サービス側がアカウントに追加のセキュリティフラグを立て、異常なアクセスを検知しやすくなる。②万が一被害が拡大した場合に「報告した事実の記録」が手元にあると、補償交渉や法的対応の際に役立つ。報告の際には「発生日時」「気づいた経緯（例：見知らぬデバイスからのログイン通知メール）」「確認したログイン履歴の内容」「すでに実施した対処（パスワード変更・全ログアウト）」を簡潔に記載します。以下のコードブロックにコピペで使えるテンプレートを用意しました。

公式サポートへの報告メール／問い合わせフォーム用テンプレート（コピペ可）

件名：アカウントへの不正アクセスの疑いについて（報告）

担当者様

以下の状況が発生したため、ご報告いたします。

■ アカウント情報
・登録メールアドレス：[あなたのメールアドレス]

■ 発生状況
・気づいた日時：[例：2024年○月○日 午前10時頃]
・気づいたきっかけ：[例：見知らぬデバイスからのログイン通知メールを受信した]
・確認したログイン履歴：[例：ルーマニアのIPアドレスからのアクセス記録が残っていた]

■ すでに実施した対処
・パスワードの変更（完了）
・全デバイスからのログアウト（完了）
・二段階認証の有効化（完了）

アカウントに対して追加のセキュリティ確認・保護措置をお願いできますでしょうか。
ご対応のほど、よろしくお願いいたします。

[あなたの氏名]

実際のやり取り例：ChatGPTに「何を確認すべきか」を聞いてみた場合

場面設定：会社でChatGPTを使っている田中さん（中小企業の総務担当）が、朝出社したら「見知らぬデバイスからログインがありました」というメール通知に気づいた。不安になったが何をすればいいか分からず、ChatGPTに相談してみた。

ChatGPTへの入力例（コピペ可）

ChatGPTのアカウントに、私が使っていない端末からログインされた通知が届きました。
不正アクセスの疑いがあります。今すぐやるべきことを、順番にリストアップしてください。
ITに詳しくない人向けに、各手順でどのボタンや画面を操作するかも具体的に教えてください。

了解しました。今すぐ以下の順番で対処してください。 1. パスワードを変更する chat.openai.com にアクセス → 右上のアイコン → Settings → Security → Change password 2. すべてのデバイスをログアウトする同じSecurityページの「Log out of all devices」をクリック 3. ログイン履歴を確認する Securityページの「Active sessions」で見覚えのない場所・端末がないか確認 4. 二段階認証を有効にする同じページの「Enable two-factor authentication」をオンにし、認証アプリ（Google Authenticatorなど）でQRコードをスキャン 5. 公式サポートに報告する help.openai.com からサポートチケットを送付し、発生日時と対処済みの内容を記載する ※ メールに記載されたリンクは踏まず、必ずブラウザのアドレスバーに直接URLを入力してください。— ChatGPTへの質問への返答例（実際の返答はバージョンにより異なります）

このように、AIに対して「ITに詳しくない人向けに」「各手順でどのボタンや画面を操作するかも」と条件を追加することで、画面操作レベルの具体的な手順が返ってきます。漠然と「何をすればいいですか？」と聞くと一般的なアドバイスしか得られませんが、「対象の読者レベル」と「欲しい情報の粒度」を指定することで回答の質が大きく変わります。このテクニックはセキュリティ以外の場面でも使い回せます。

よくある失敗と直し方

対処を急ぐあまり、逆効果になる操作をしてしまうケースがあります。代表的な3つの失敗と、なぜ起きるのか・どう直すかをまとめます。

【失敗1】メールに書かれた「パスワード変更はこちら」リンクをクリックした → なぜ起きるか：焦ると「早く対処しなければ」という心理からリンクを踏んでしまう。フィッシングメールはサービスの公式通知と見分けがつかないほど精巧に作られている → 直し方：リンクを踏んだことに気づいたら、入力フォームにはまだ何も打ち込まず、ブラウザのタブを閉じる。その後、本物のURLをアドレスバーに直接入力してアクセスし直す。
【失敗2】パスワードを変更したが「全デバイスのログアウト」をしなかった → なぜ起きるか：パスワードを変えれば安全と思いがちだが、すでにログイン中のセッションはパスワードとは別に管理されているため、変更後も有効なまま残ることがある → 直し方：パスワード変更の直後に必ず「全デバイスからログアウト」の操作を行う。設定のSecurityページに必ずこのボタンがあることを覚えておく。
【失敗3】二段階認証のバックアップコードをスクリーンショットだけで保存した → なぜ起きるか：手軽なのでスマホのカメラロールに保存しがちだが、そのスマホを紛失・故障・盗難された際にログインできなくなる、またはコードが盗まれる → 直し方：バックアップコードは紙に印刷して鍵のかかる場所に保管するか、パスワードマネージャー（例：Bitwarden）の安全なメモ欄に保存する。クラウドに上げる場合は暗号化されたストレージを使う。

「全ログアウト」と「パスワード変更」は必ずセットで実行する

パスワード変更だけでは現在ログイン中の攻撃者を追い出せません。全ログアウトだけでも次回ログイン時にまた侵入されます。この2つは5分以内にセットで完了させるのが鉄則です。

再発防止のための「日常的なセキュリティ習慣」3つ

緊急対応が終わったら、次は再発を防ぐ習慣を作ります。特別なツールは不要で、今日から始められるものだけを紹介します。まず「AIアカウント専用のメールアドレスを作る」ことが有効です。普段使いのメールに連携していると、そのメールアカウントが突破口になります。Gmailは無料でアカウントをいくつでも作成できます。次に「月に1回、ログイン履歴を確認する習慣」をカレンダーに登録してください。見知らぬアクセスを早期発見できます。最後に「AIに貼り付ける前に個人情報を仮の文字に置き換える」習慣です。例えば「山田商事の田中次郎」ではなく「A社のBさん」として質問する習慣をつけると、仮に漏えいしても実害が出にくくなります。

AIに相談する際の「個人情報マスキング」入力例（コピペ可）

以下の状況で、相手への返信メールの文案を考えてください。

【状況】
・私の立場：A社（中小企業）の総務担当
・相手：B社の担当者（Cさん）
・内容：先月の請求書の金額に誤りがあり、差額●円を次回請求に加算したいと伝えたい
・トーン：丁寧だが簡潔に、3段落以内で

※固有名詞（会社名・担当者名・具体的な金額）は私が後で差し替えます。

上記のように「A社」「B社」「Cさん」「●円」といった仮の表現を使うことで、実際の個人情報をAIのサーバーに送らずに済みます。後から自分で実名・金額に置き換えるひと手間を加えるだけで、情報漏えいリスクを大きく下げられます。ChatGPT・Claude・Geminiいずれも、ツールにより入力データの扱い（学習への利用可否など）は異なりますが、「入力しなければ漏れない」という原則はすべてに共通です。

「入力しなければ漏れない」——AIへの入力情報は最小限に

どんなに強固なセキュリティを設定しても、AIに貼り付けた情報はサーバーに送信されます。顧客名・住所・マイナンバー・クレジットカード番号などは絶対に入力しないことが最大のリスク管理です。

よくある質問（Q&A）

Q：通知メールが届いたが、本物かフィッシングか判断できない。どう見分けるか？ A：送信元のメールアドレスを確認します。本物はopenai.com・anthropic.com・google.comなどの公式ドメインから届きます（例：noreply@openai.com）。ただしドメインが似ているだけの偽物（例：openal.com）もあるため、メール内のリンクは踏まず、ブラウザで公式URLに直接アクセスして確認するのが最も確実です。
Q：不正アクセスが確認されたが、ChatGPTの有料プラン（Plus）の料金を不正利用されていないか心配。どう確認するか？ A：chat.openai.comの設定（Settings）→「Billing（請求）」から請求履歴を確認できます。見覚えのない請求があれば、OpenAIのサポートに即座に連絡してください。クレジットカード会社にも連絡してチャージバック（支払い取り消し）の手続きを相談することをお勧めします。
Q：二段階認証を設定したが、スマホを機種変更した。認証アプリの引き継ぎはどうすればいいか？ A：機種変更の前に行うのが理想です。Authyは複数端末での同期機能があるため引き継ぎが比較的簡単です。Google Authenticatorは最新バージョンでGoogleアカウントへのバックアップ機能があります。機種変更後に困った場合は、最初に保存したバックアップコードを使って認証を突破し、その後改めて認証アプリを再設定する手順になります。バックアップコードを保存していない場合はサポートへの本人確認手続きが必要になるため、事前の保存が非常に重要です。
Q：企業でChatGPTを複数人で使っている。1人のアカウントが乗っ取られたら他のメンバーにも影響があるか？ A：個人アカウントを共有している場合は、全員のアクセスが危険にさらされます。ChatGPT Team・Enterprise、Claude for Workなど法人向けプランでは管理者アカウントから各メンバーの権限を管理できる機能があります（ツールにより機能の有無・名称は異なります）。乗っ取りが疑われたら管理者アカウントで該当アカウントのアクセスを一時停止し、全員にパスワードリセットを依頼してください。