Gmailに見覚えのない送信履歴がある、Googleドライブの共有設定が勝手に変わっている、急にログインできなくなった。このようなトラブルは、アカウントを奪われてから対処すると復旧に時間がかかります。Google アカウント 保護機能は、単にパスワードを複雑にするための設定ではありません。本人以外のログインを止め、異常を早く見つけ、万一のときにも自分で取り戻せる状態を作る仕組みです。
個人の写真やメールだけでなく、仕事の見積書、顧客との予定、Googleビジネスプロフィールの管理権限までGoogleアカウントに集約されるケースは珍しくありません。まずは「ログイン対策」「復旧対策」「利用中端末の管理」の3つを順番に固めましょう。
Google アカウント 保護機能で最初に確認する場所
設定の入口は、Googleアカウントの管理画面にある「セキュリティ」です。ここでは、最近のセキュリティ アクティビティ、ログインしているデバイス、2段階認証プロセス、再設定用の連絡先などをまとめて確認できます。
最初に見るべきなのは、最近のセキュリティ アクティビティです。見覚えのない地域、端末、ブラウザからのログイン通知があれば、通知を放置しないでください。出張先や機種変更直後なら正規の操作であることもありますが、判断できない場合は「自分ではない」を選び、パスワード変更と端末確認を続けるのが安全です。
「お使いのデバイス」では、現在または過去にログインしたスマートフォン、PC、タブレットを確認できます。売却・譲渡した端末、退職者が使っていた共有PC、すでに処分したスマートフォンが残っていれば、該当端末からログアウトします。端末一覧は、乗っ取りの調査だけでなく、アカウントを使える場所を減らす基本対策になります。
1. パスワードは使い回さず、漏えい前提で管理する
強いパスワードとは、記号を多く入れた覚えにくい文字列だけを指すわけではありません。他のサービスと使い回していないことが最優先です。ある通販サイトなどから流出したIDとパスワードが、Gmailへのログインに試される攻撃は今もあります。
Googleアカウント専用の長いパスワードを設定し、ブラウザやパスワード管理ツールで安全に管理してください。メールアドレス、生年月日、社名、電話番号のように推測されやすい情報は避けます。パスワードを家族や同僚に伝える運用も危険です。メール共有が必要なら、転送、委任、共有アドレス、Google Workspaceのグループなど、目的に合う機能を使うべきです。
2. 2段階認証プロセスを必ず有効にする
パスワードだけのログインは、現在の実務では不十分です。2段階認証プロセスを有効にすると、パスワードが漏れても、追加の確認を通過できない第三者のログインを防げます。
方法はいくつかありますが、Googleからスマートフォンに届くログイン確認の通知、認証アプリ、セキュリティキー、SMSなどが代表的です。SMSは手軽な一方、電話番号の乗っ取りや通信が不安定な場面の影響を受けます。可能なら、Googleのログイン確認、認証アプリ、または物理的なセキュリティキーを主な手段にし、SMSは予備として考えるとよいでしょう。
機種変更時に困らないよう、認証用の端末を1台だけに依存しないことも大切です。予備の確認方法を登録し、バックアップコードを安全な場所に保管してください。バックアップコードは、スマートフォン紛失や海外出張中の認証トラブルで役立ちます。ただし、画面のスクリーンショットをメールやクラウドに無造作に保存すると、保護の意味が薄れます。
3. パスキーでフィッシング被害を減らす
パスキーは、スマートフォンやPCの画面ロック、指紋、顔認証などを使ってログインする方式です。パスワードを入力する場面を減らせるため、偽のログイン画面にパスワードを入力してしまうフィッシング詐欺への強い対策になります。
Googleアカウントではパスキーを追加できます。自分専用のスマートフォンやPCで設定するのが基本で、共有PCや他人が触れる端末には登録しないでください。また、端末の画面ロック自体が弱いと、パスキーの安全性も下がります。短すぎるPINや、誰でも推測できるロック解除方法は見直しましょう。
パスキーは便利ですが、すべての環境でパスワードが完全に不要になるわけではありません。古い端末や一部の業務システムとの組み合わせでは、従来の認証方法が必要になる場合があります。パスキーを設定した後も、2段階認証と復旧情報は維持してください。
4. 再設定用の電話番号とメールアドレスを更新する
アカウント保護で見落とされやすいのが、復旧用の連絡先です。以前使っていた携帯電話番号、退職者のメールアドレス、すでに使えないプロバイダメールが登録されていると、ログイン不能時に本人確認を進められません。
再設定用の電話番号とメールアドレスは、現在自分で受信・管理できるものにします。仕事用アカウントの場合、個人の私用アドレスだけに依存する設計にも注意が必要です。担当者の異動や退職が起きても管理権限を失わないよう、組織で管理できる管理者アカウント、復旧手順、権限移管のルールを用意しておく必要があります。
5. 不要なアプリ連携と第三者アクセスを整理する
「Googleでログイン」を使ったアプリやサービスは便利ですが、許可したアクセス権が残り続けることがあります。セキュリティ画面の第三者アプリとサービスの接続を確認し、使っていないサービス、不明なサービス、業務上不要になったサービスのアクセス権を削除しましょう。
特に注意したいのは、メールの閲覧、Googleドライブのファイル操作、連絡先の読み取りなど、広い権限を求めるアプリです。サービス名だけで安全と判断せず、「何のデータに、どこまでアクセスできるのか」を確認します。削除後にそのアプリが使えなくなることはありますが、利用していない連携を残すメリットはありません。
6. 高リスクの人は高度な保護機能を検討する
Googleには、標的型攻撃のリスクが高い利用者向けに高度な保護プログラムがあります。ジャーナリスト、政治・行政に関わる人、経営者、重要な顧客情報を扱う担当者、知名度のある店舗や団体の管理者などは検討対象です。
このプログラムではログイン要件が厳しくなり、危険なアプリ連携やファイルの扱いに制限が加わります。安全性を優先できる反面、古いメールアプリや一部の外部連携が使いにくくなることがあります。「便利さを少し下げても、乗っ取りの被害を最小化したいアカウント」に向く選択です。
すべての人に必須ではありませんが、Googleビジネスプロフィール、広告アカウント、共有ドライブの管理者など、奪われた際の影響が大きいアカウントには有効です。まず通常の2段階認証と復旧情報を整え、その上で必要性を判断してください。
7. Workspaceでは個人任せにしない
Google Workspaceを使う組織では、各社員が設定を頑張るだけでは不十分です。管理者は2段階認証の適用状況、管理者権限を持つアカウント、退職者の停止手順、外部共有のルールを定期的に確認する必要があります。
特に特権管理者のアカウントは、通常の利用アカウントと分け、強い認証方法を設定してください。全社員にいきなり厳しい制限をかけると、現場の業務が止まることもあります。まず管理者、経理、人事、営業責任者など影響の大きい部署から強化し、問い合わせ対応と例外ルールを整えながら対象を広げる進め方が現実的です。
保護機能は、一度設定して終わりではありません。機種変更、退職、端末売却、新しい外部サービスの導入があったときこそ見直しのタイミングです。月に一度、セキュリティ画面を開いて「知らない端末がないか」「復旧先は今も使えるか」を確認する習慣が、いざというときの被害を大きく減らします。
