「送信した覚えのないメールがある」「受信トレイのメールが勝手に既読になっている」「取引先から怪しい請求書が届いた」。Gmail セキュリティの問題は、こうした小さな違和感から発覚することが少なくありません。Gmailは迷惑メール対策や暗号化などを標準で備えていますが、アカウント設定、転送ルール、外部アプリ連携に穴があれば、それだけで被害につながります。
特にGmailは、Googleドライブ、カレンダー、フォト、各種Webサービスのログインにも使われるGoogleアカウントの中心です。メールだけを守る感覚では足りません。個人利用でも仕事利用でも、まずはアカウントを乗っ取られにくくし、異変が起きてもすぐ止められる状態を作ることが重要です。
Gmail セキュリティで最初に確認すべき3項目
対策の優先順位は明確です。最初に二段階認証、次に復旧情報、最後にログイン中の端末を確認してください。この3つが未設定のまま細かなメール設定だけを見直しても、不正ログインの根本対策にはなりません。
1. 二段階認証を有効にする
パスワードだけでログインできる状態は、もっとも避けるべき設定です。パスワードがフィッシング詐欺や情報漏えいで知られた場合、第三者がそのままアカウントへ入れてしまいます。
Googleアカウントの「セキュリティ」から二段階認証を設定し、可能ならパスキー、認証アプリ、セキュリティキーを優先しましょう。SMS認証も有効ですが、電話番号の乗っ取りやSMSを使った詐欺のリスクがあります。SMSしか使えない状況を除き、認証アプリやパスキーを主な認証方法にする方が安全です。
パスキーは、対応するスマートフォンやパソコンで画面ロックを使って本人確認する仕組みです。長いパスワードを毎回入力しなくてよく、偽サイトに認証情報を入力させるタイプのフィッシングにも強い点がメリットです。ただし、端末を共有している場合や、仕事用と私用の端末管理が混在している場合は、どの端末にパスキーを登録したかを把握しておく必要があります。
2. 再設定用メールアドレスと電話番号を見直す
復旧用のメールアドレスが昔の携帯キャリアメールだった、退職者のアドレスだった、家族しか確認できない電話番号だったというケースは珍しくありません。これではログインできなくなったときに本人確認が進まず、アカウントを取り戻すまで業務が止まります。
再設定用のメールアドレスは、日常的に確認でき、別の強力な認証で守られているものに変更します。電話番号も現在使える番号かを確認してください。変更後は、Googleアカウントに登録している復旧情報が本当に自分のものか、年に1回は点検する運用がおすすめです。
3. ログイン中の端末と最近のセキュリティ活動を確認する
Googleアカウントのセキュリティ画面では、ログインしているスマートフォン、パソコン、タブレットを確認できます。見覚えのない端末、すでに手放した端末、利用者が分からないブラウザがあれば、すぐにログアウトしてください。
あわせて、パスワード変更、復旧情報の変更、新しい端末からのログインといった最近のセキュリティ活動も見ます。海外からのアクセス表示だけで不正と断定はできません。モバイル通信やVPNの利用で、実際の場所と異なる地域が表示される場合もあります。ただし、利用した記憶のない時刻・端末・操作が重なっているなら、すぐにパスワード変更と全端末の見直しを進めるべきです。
Gmail セキュリティを強くするメール設定
不正ログインの防止だけでは不十分です。Gmailには、侵入後にメールを盗み見たり、受信メールを外部へ転送したりするための設定があります。とくに転送とフィルタは、気づきにくいので必ず確認してください。
転送設定とフィルタを確認する
Gmailの設定にある「転送とPOP/IMAP」と「フィルタとブロック中のアドレス」を開きます。知らないメールアドレスへの自動転送がないか、メールを自動削除・既読・アーカイブするフィルタがないかを確認してください。
攻撃者は、請求書、本人確認、パスワード再設定といったメールだけを別アドレスへ転送することがあります。受信トレイに残さないフィルタを作られると、本人が異変に気づくまで時間がかかります。仕事用のGmailでは、転送先が個人メールアドレスになっていないかも要注意です。利便性のための転送が、退職後の情報持ち出しや誤送信の経路になることがあります。
POPとIMAPは、メールソフトでGmailを利用する場合に必要になることがあります。しかし、Web版Gmailだけを使うなら無効でも困らないケースが多い機能です。利用目的がない設定はオンにしない、使う場合は接続しているメールソフトと端末を把握する。この基本が情報漏えいを防ぎます。
外部アプリへのアクセス権を整理する
「Googleでログイン」を使うと、さまざまな外部サービスへ簡単に登録できます。その一方で、過去に試したツールや使わなくなったアプリにGoogleアカウントへのアクセス権が残っていることがあります。
Googleアカウントのセキュリティ画面から、第三者のアプリとサービスの接続を確認しましょう。不要なもの、提供元が不明なもの、業務で承認されていないものはアクセス権を削除します。削除しても外部サービス側のアカウントが消えるわけではありませんが、Googleアカウントを使った連携ログインができなくなる場合があります。必要なサービスは、削除前にログイン方法やデータの保管先を確認してください。
フィッシングメールを見抜く実務的な確認手順
Gmailの迷惑メールフィルタは優秀ですが、取引先になりすましたメールや、正規のクラウドサービスを悪用した詐欺メールまで完全には防げません。メール本文の日本語が自然でも、送信元とリンク先が正しいとは限りません。
請求、アカウント停止、本人確認、荷物の不在通知など、急がせる内容が届いたら、メール内のリンクをそのまま開かないでください。送信者名ではなくメールアドレス全体を確認し、普段の取引先とドメインが一致するかを見ます。添付ファイルも同様で、想定外のZIPファイル、マクロ付きのOfficeファイル、パスワード付きファイルは慎重に扱うべきです。
確認が必要な場合は、ブックマークや公式アプリからサービスを直接開きます。取引先からのメールなら、登録済みの電話番号や別の連絡手段で確認する方が確実です。メールに返信して確認すると、攻撃者に「このアドレスは使われている」と知らせる結果になる場合があります。
Google Workspace管理者が行うべきGmail セキュリティ対策
組織利用では、各ユーザーに注意を呼びかけるだけでは限界があります。Google Workspaceの管理者は、二段階認証の利用を組織ポリシーとして求め、退職者や休職者のアカウントを速やかに停止できる状態にしておく必要があります。
共有アカウントを複数人で使う運用も避けてください。誰が操作したか追跡できず、パスワード変更や退職時の権限整理も難しくなります。代表メールアドレスが必要なら、グループ、エイリアス、共有受信トレイに相当する運用を検討し、個人アカウントの使い回しを減らすことが基本です。
また、外部への自動転送は情報漏えいにつながりやすいため、必要性を部門ごとに判断します。営業部では顧客対応のために例外が必要でも、経理や人事では原則禁止とする、といった運用設計が現実的です。全員に同じ制限をかけると業務が止まることもあるため、リスクの高い部署から優先的に制御しましょう。
管理者権限も最小限にします。最高権限の管理者アカウントを日常業務で使うと、フィッシング被害が組織全体へ広がります。通常業務用アカウントと管理作業用アカウントを分け、管理者にも強い二段階認証を必須にする運用が安全です。
乗っ取りが疑われるときの初動
不正アクセスの疑いがあるときは、メールを整理したり犯人らしきメールを探したりする前に、被害の拡大を止めます。まず、信頼できる端末からGoogleアカウントのパスワードを変更し、ログイン中の不明な端末をログアウトします。続いて、二段階認証、復旧用メールアドレス、電話番号、転送設定、フィルタ、外部アプリ連携を順番に確認してください。
同じパスワードを他サービスでも使っていた場合は、そちらも変更が必要です。Gmailが突破されると、他サービスのパスワード再設定メールを受け取られ、被害が連鎖する可能性があります。クレジットカード情報や顧客情報に関わるサービスは優先度を上げて確認しましょう。
会社のアカウントであれば、本人だけで解決しようとせず、管理者や情報システム担当へすぐ連絡してください。ログイン履歴や監査記録が残っている間に対応すれば、影響範囲を調べやすくなります。被害の有無が分からない段階でも、早めの報告は過剰対応ではありません。
Gmailの安全性は、一度設定して終わりではありません。新しい端末を買ったとき、外部サービスへ登録したとき、担当者が入れ替わったときこそ見直しのタイミングです。まずは今日、二段階認証と転送設定を確認するところから始めてください。
