「普段と異なる環境からログインされました」
「新しい端末からログインがありました」
「通常とは異なる場所からログインされました」
「心当たりのないログインを検知しました」
突然このようなメールや通知が届いたら、
「アカウントを乗っ取られた？」
と焦ってしまう人も多いでしょう。
InstagramやGoogle、Appleなど、多くのオンラインサービスでは、実際に新しい端末や普段と異なる環境からのログインを検知した場合、利用者へセキュリティ通知を送ることがあります。
一方で、この不安を利用して、
「不正ログインがありました」
↓
「今すぐアカウントを確認してください」
↓
偽ログインページへ誘導
↓
ID・パスワードを入力させる
というフィッシングもあります。
つまり、
「不審なログインがあった」という通知が届いたから、本当に乗っ取られているとは限りません。
反対に、
「フィッシングだろう」と無視してよいとも限りません。
重要なのは、通知に書かれたリンクから確認しないことです。
本記事では、不審なログイン通知が届いた場合の確認方法と、本当に第三者がログインしていた場合の対処法について解説します。
まず結論｜通知のリンクを押さず、公式アプリから確認する
「普段と異なる環境からログインされました」という通知が届いた場合、最初にやることはシンプルです。
メールやSMSのリンクからログインしないでください。
代わりに、
- いつも使っている公式アプリを起動する
- ブックマークしている公式サイトを開く
- アカウントのセキュリティ設定を開く
- ログイン履歴・ログイン中の端末を確認する
という方法で確認します。
例えばGoogleでは、Googleアカウントの「最近のセキュリティ関連のアクティビティ」から、通常とは異なるログインや新しいデバイスなどを確認できます。
なぜ「普段と異なる環境からログイン」と通知されるの？
必ずしも第三者による不正ログインとは限りません。
例えば、
- スマートフォンを買い替えた
- PCを買い替えた
- 新しいブラウザを使った
- アプリを再インストールした
- 海外旅行・出張中にアクセスした
- Wi-Fiとモバイル回線を切り替えた
- VPNを利用した
- Cookieなどを削除した
といった場合でも、サービス側から見ると普段とは異なるアクセスに見える可能性があります。
そのため、
「普段と違う環境＝攻撃者」ではありません。
「東京にいるのに大阪からログイン」と表示されたら乗っ取り？
これも慌てる必要はありません。
ログイン通知に表示される位置情報は、必ずしもスマートフォンのGPSで取得した正確な現在地ではありません。
例えばAppleは、新しいデバイスからのサインイン通知に表示される位置について、IPアドレスやネットワークを基にしたおおよその位置であり、デバイスの実際の所在地とは限らないと説明しています。
そのため、
自分は東京にいるのに神奈川になっている
近隣県からのログインと表示された
というだけで第三者による不正アクセスと断定することはできません。
一方、
「使った覚えのない端末」「操作していない時間」「全く心当たりのないアクセス」
が表示されている場合は注意が必要です。
本物のログイン通知も実際にある
ここが、この問題を難しくしています。
例えばGoogleでは、新しいデバイスでGoogleアカウントが使用された場合、すでにログインしているAndroid端末などに確認通知が届くことがあります。
通知から、
- デバイス
- 時刻
- 場所
などを確認でき、自分の操作でなければアカウントを保護する対応へ進めます。
Appleでも、2ファクタ認証を有効にしている状態で新しいデバイスからサインインが試みられると、信頼済みデバイスへ通知が表示されます。心当たりがなければ「許可しない」を選択できます。
したがって、
「ログイン警告＝フィッシング」ではありません。
では、どうやって本物か確認する？
1．メール・SMSのリンクを押さない
最も簡単で効果的なのがこれです。
通知に、
アカウントを確認
今すぐログイン
パスワードを変更
というボタンがあっても、そこから操作する必要はありません。
一度メールを閉じて、公式アプリを自分で起動します。
2．ログイン履歴を確認する
サービスにログインしたら、
- ログイン履歴
- ログイン中の端末
- 最近のセキュリティアクティビティ
- セッション
- デバイス管理
などの項目を確認します。
そこでメールと同じログインが確認できれば、実際に何らかのログインまたはログイン試行が行われた可能性があります。
3．端末・時間・場所を見る
特に確認したいのは、
端末
時間
場所
です。
例えば、
iPhoneからログイン
19:35
東京都
となっていて、その時間に自分がInstagramを使っていたのであれば、自分の操作だった可能性があります。
反対に、
Windows PC
午前3:17
心当たりのない地域
など、自分の利用状況と明らかに異なる場合は注意が必要です。
4．ログインだけでなく「設定変更」も確認する
アカウント乗っ取りでは、攻撃者がログインした後に、
- メールアドレス変更
- 電話番号変更
- パスワード変更
- MFA設定変更
- 新しい端末追加
- 外部アプリ連携
などを行うことがあります。
Googleも、不正利用の兆候として、覚えのないパスワードやセキュリティ設定の変更、新しいデバイスなどを挙げています。
したがって、ログイン履歴だけ見て終わりにしないことが重要です。
Instagramで不審なログイン通知が来たら？
InstagramのようなSNSでは、アカウントを乗っ取られると、
- 勝手に投稿される
- DMを送られる
- 投資詐欺などに悪用される
- フォロワーへフィッシングメッセージを送られる
- メールアドレスやパスワードを変更される
など、本人だけでなく周囲へ被害が広がる可能性があります。
Instagramを名乗るログイン通知が届いた場合も基本は同じです。
メールの「ログインを確認」から入るのではなく、Instagramアプリを自分で起動し、アカウントのセキュリティ情報やログイン状況を確認する方法が安全です。
「Instagramからのメール」は偽物なの？
Instagramを名乗るメールがすべて偽物というわけではありません。
問題なのは、攻撃者がInstagramからのセキュリティ通知に似せたメールを作れることです。
例えば、
「新しい端末からログインがありました」
というメールを送り、
心当たりがない場合はこちら
というボタンを押させる。
その先にInstagramそっくりの偽ログイン画面を用意しておけば、
「乗っ取られたかもしれない」
↓
焦ってログイン
↓
本物のID・パスワードを攻撃者へ渡す
↓
本当に乗っ取られる
という逆説的な攻撃が成立します。
Googleの「不正なログインがブロックされました」は本物？
Googleは実際に、通常とは異なる場所やデバイスからのログイン操作などを検出した場合に警告する仕組みを提供しています。
一方Google自身も、攻撃者がこの種のセキュリティメールをコピーして、アカウント情報を盗もうとする可能性について注意を促しています。
したがって、
Googleのロゴがある
「不正ログインをブロックしました」と書いてある
だけでは判断しません。
Googleアカウントを自分で開き、セキュリティ関連のアクティビティを確認する方法が確実です。
Appleの「サインインが要求されました」は？
Appleでも、新しいデバイスからApple Accountへのサインインが試みられた場合、信頼済みデバイスに通知が表示されることがあります。
自分の操作でなければ「許可しない」を選択します。
またAppleは、心当たりのないサインイン通知や、要求した覚えのない2ファクタ認証コードが届くことを、アカウントが不正利用されている可能性を示す兆候として挙げています。
本当に自分以外がログインしていた場合の対処法
ここからは緊急度が上がります。
心当たりのないログインが公式サービス側でも確認できた場合は、次の対応を行います。
1．パスワードを変更する
まず正規サービスからパスワードを変更します。
同じパスワードを別サービスでも使用している場合は、それらも変更してください。
漏えいしたID・パスワードが別サービスへの**パスワードリスト攻撃（Credential Stuffing）**に使われる可能性があります。
2．不審な端末・セッションをログアウトする
サービスによっては、
「すべての端末からログアウト」
などの機能があります。
攻撃者がすでにログイン済みの場合、パスワード変更だけでなく既存セッションを無効化することが重要です。
Googleでも、本人ではないログインへの対応として他のデバイスからのログアウトなど、アカウント保護の手順を提供しています。
3．MFA・2段階認証を設定する
まだMFAを設定していない場合は有効化を検討します。
パスワードが漏えいしても、追加の認証要素が必要になるため、不正ログインのリスクを下げられます。
ただし、MFAを設定すればすべての攻撃を防げるわけではありません。
4．登録メールアドレス・電話番号を確認する
攻撃者がアカウントを完全に奪うために、復旧用メールアドレスや電話番号を書き換える場合があります。
必ず、
- メールアドレス
- 電話番号
- 復旧方法
- MFA設定
なども確認します。
5．連携アプリを確認する
見覚えのない外部アプリやサービスがアカウントと連携されていないかも確認してください。
不要・不審な連携は解除します。
パスワード変更だけでは足りない場合がある
ここは重要です。
仮に攻撃者がすでにログインしていた場合、
パスワードを盗まれた
だけでなく、
セッションを取得されている
可能性も考える必要があります。
また、
- 復旧用メールアドレスを書き換えられた
- MFA設定を変更された
- 外部アプリを連携された
などの状態になっていれば、単純なパスワード変更だけでは不十分な場合があります。
そのため、
パスワード
＋
ログイン端末
＋
セッション
＋
復旧設定
＋
外部連携
まで一通り確認することが重要です。
身に覚えのない認証コードが届いた場合は？
これも不審なログインの重要なサインです。
自分がログイン操作をしていないのに、
認証コード：123456
などのSMSや通知が届いた場合、第三者がログインを試みている可能性があります。
認証コードを誰かに教えたり、不審なWebページへ入力したりしないでください。
Appleも、要求した覚えのない2ファクタ認証コードが届くことを、不正利用の可能性を示す兆候の一つとして案内しています。
「新しい端末からログイン」と出たら、すでに侵入された？
必ずしもそうとは限りません。
サービスによって通知されるタイミングや意味は異なり、
ログイン試行
なのか、
ログイン成功
なのか、
新しい端末として認識された
のかを区別する必要があります。
通知文だけで判断せず、公式サービス側のセキュリティ履歴を確認してください。
なぜ「不正ログイン通知」はフィッシングに使われやすいのか
理由は非常にシンプルです。
人を焦らせやすいからです。
「キャンペーンに当選しました」
よりも、
あなたのInstagramに知らない人がログインしました
と言われた方が、すぐ確認したくなる人は多いでしょう。
攻撃者はこの心理を利用します。
恐怖・不安
↓
急いで確認
↓
リンクをクリック
↓
偽ログインページ
↓
ID・パスワード窃取
という流れです。
企業側は「正しいパスワード＝本人」と考えない
ここからはサービスを提供する企業側の視点です。
フィッシングやパスワードリスト攻撃によって認証情報が盗まれた場合、攻撃者は、
正しいID
＋
正しいパスワード
でログインします。
通常のパスワード認証だけを見ると、正規ユーザーとの区別が難しくなります。
そこで重要になるのが、
- 端末
- IP・ネットワーク
- 地域
- アプリ
- 実行環境
- 過去の利用傾向
- 操作内容
などを組み合わせて判断する考え方です。
Device Binding（端末認証）が重要になる理由
例えば、正しいID・パスワードでログインされたとしても、
「いつも使っている端末なのか？」
という別の情報を確認できれば、不正アクセスを検知する材料が増えます。
この考え方の一つが**Device Binding（端末認証）**です。
ユーザーアカウントと信頼された端末を結びつけることで、
正しいパスワード
＋
いつもの端末
という複数の条件から信頼性を判断できます。
金融・決済アプリなど、アカウント乗っ取りによる被害が大きいサービスでは特に重要な考え方です。
「ログイン時」だけでなく「ログイン後」も見る
さらに、不正対策はログインの瞬間だけでは終わりません。
例えば、
ログイン
↓
登録電話番号変更
↓
送金先追加
↓
高額送金
という操作が短時間に行われた場合、
認証そのものは成功していても、通常とは異なる行動として検知できる可能性があります。
したがって企業側では、
認証
↓
端末確認
↓
セッション監視
↓
重要操作の再認証
↓
異常行動・取引検知
まで含めて設計する必要があります。
まとめ｜不審なログイン通知は「通知から確認しない」
「普段と異なる環境からログインされました」という通知が届いたからといって、必ずアカウントが乗っ取られたとは限りません。
新しい端末、ブラウザ、ネットワークなどを利用しただけでも通知される場合があります。
一方、本当に第三者がログインしている可能性もあります。
だからこそ重要なのは、
通知を無視することでも、通知のリンクをすぐ押すことでもありません。
公式アプリや自分で開いた公式サイトから確認することです。
そして心当たりのないログインが確認された場合は、
- パスワード変更
- 不審な端末・セッションのログアウト
- MFAの設定・確認
- 登録メール・電話番号の確認
- 外部アプリ連携の確認
まで行いましょう。
企業側でも「正しいID・パスワードだから本人」と判断するだけではなく、端末・アプリ・環境・セッション・操作を組み合わせた多層的な不正アクセス対策が重要になります。
関連記事
- フィッシング詐欺とは？手口と企業・利用者が知っておきたい対策
- 不正ログイン対策とは？企業が確認すべきポイント
- スマホアプリにパスワードリスト攻撃｜会員アプリが確認すべき不正ログイン対策
- MFAとは？多要素認証の意味と導入時の注意点
- Device Binding（端末認証）とは？金融アプリで注目される理由
- VISAを装う迷惑メールをクリックしてしまったら？
- JCBを装う迷惑メール・SMSは本物？
- 三井住友カードを装う迷惑メールは本物？
- 楽天カードを装う迷惑メール・SMSは本物？
- イオンカードを装う迷惑メール・SMSは本物？