【2026年最新版】パスワードを変えてもまた不正ログインされる時の対処法｜再発する原因と止め方

※本ページにはプロモーション(広告)が含まれています

「パスワードを変えたのに、また不正ログインの通知が届いた」——その状況で最初に疑うべきは、パスワードの強さではありません。犯人があなたのアカウントの外側（端末）にいるか、アカウントの内側に居座る仕掛けを残しているかのどちらかです。

結論を先に言うと、まずやるべきは次の3つで、いずれも無料でできます。①「すべてのデバイスからログアウト（サインアウト）」で盗まれたセッションを失効させる、②メール転送ルール・フィルタ・アプリパスワード・連携アプリという「侵入者が残した仕掛け」を確認して削除する、③二段階認証（2ファクタ認証）を有効にする。そのうえで、端末に情報窃取型マルウェア（インフォスティーラー）が潜んでいないかを疑います。

この記事では、なぜパスワード変更だけでは止まらないのかという原理から、Gmail・Outlook（Microsoftアカウント）・Amazonでの具体的な確認場所、端末側の点検、そして正しいパスワードの変え方までを順番に解説します。メニュー名はサービスのアップデートで変わることがあるため、要所では「最新は公式ヘルプでご確認ください」と補いながら進めます。専門的な言葉も出てきますが、できるだけかみ砕いて説明しますので、上から順に一つずつ進めていけば大丈夫です。焦って何かを契約する前に、まずは無料でできることをやり切る——これが、遠回りに見えて一番の近道です。

📑 この記事の目次（タップで開く）

1. この記事でわかること
2. まず結論の早見表
3. 1. なぜパスワードを変えても再発するのか
4. 2. まず無料で潰す最優先の手順
5. 3. 端末側を疑う——マルウェアと不審な拡張機能
6. 4. パスワードの正しい変え方
7. 5. うまくいかない時のトラブルシューティング
8. 6. それでも再発する・被害が続くときの選択肢
9. よくある質問（FAQ）
10. まとめ

この記事でわかること

• パスワードを変えても不正ログインが再発する「3つの本当の原因」
• 無料でできる最優先の対処（セッション失効・仕掛けの削除・二段階認証）
• Gmail・Outlook・Amazonでの「転送ルール」「フィルタ」「アプリパスワード」「連携アプリ」の確認場所
• 端末に潜む情報窃取型マルウェアの疑い方と点検の流れ
• 使い回しをやめるためのパスワードの正しい変え方
• それでも再発する場合に検討する常時保護・ダークウェブ監視の考え方

まず結論の早見表

「どこから手をつければいいのか分からない」という方のために、症状と最初の一手を表にまとめました。上から順に進めるのが基本です。

ポイントは「パスワードを変える」を一番に置かないことです。犯人が居座る仕掛けや端末側の問題を残したまま鍵だけ替えても、また同じ鍵を盗まれてしまいます。

1. なぜパスワードを変えても再発するのか

パスワード変更が効かない、という現象には理由があります。多くの場合、犯人はすでに「パスワードを入力しなくても入れる状態」を作っているのです。原因は大きく3つに分けられます。

1. 端末に情報窃取型マルウェアが残っている

情報窃取型マルウェア（インフォスティーラー）は、感染した端末からブラウザ保存のパスワード、自動入力の情報、そして「セッションクッキー（Cookie）」を丸ごと抜き取るタイプの不正プログラムです。セキュリティの調査でも、こうしたマルウェアによって膨大な数の認証情報が流出し続けていると報告されています。

ここで重要なのは、マルウェアが端末に居座っている限り、あなたが新しく設定したパスワードもその場で盗まれるという点です。つまり鍵を替えるそばから合鍵を作られている状態で、いくらパスワードを変えても堂々巡りになります。だからこそ、アカウント側の対処と並行して、必ず端末側を疑う必要があります。とくに、「パスワードを変えた直後なのに、また別のサービスまで乗っ取られた」「複数のアカウントが立て続けにおかしくなった」という場合は、端末そのものから情報がまとめて抜かれている可能性が高いと考えてよいでしょう。この種のマルウェアは、目に見える動作をほとんどせず、静かに情報だけを送り続けることが多いため、「動作が重くないから大丈夫」とは限らない点にも注意が必要です。

2. セッション（ログイン状態）が盗まれている

私たちが一度ログインすると、サービスは「この人はもう認証済み」という印としてセッション情報（クッキー）を端末に持たせます。情報窃取型マルウェアはこのセッションクッキーを盗み、犯人のブラウザに読み込ませます。すると犯人は、あなたのパスワードも二段階認証のコードも入力せずに、ログイン済みの状態をそのまま乗っ取れてしまいます。

この「盗まれたセッション」は、パスワードを変えただけでは自動で切れないことがあります。パスワードは「入り口の鍵」ですが、セッションは「すでに部屋の中にいる状態」に例えられます。入り口の鍵を替えても、すでに中にいる人がそのまま居座れてしまう、というわけです。だからこそ、後述する「すべてのデバイスからログアウト（全セッションの失効）」が最初の一手になるのです。セッションを一斉に無効化すれば、部屋の中にいる相手ごと、まとめて追い出せます。二段階認証を設定していても、このセッション乗っ取りには効きにくい場合があるため、パスワード変更・二段階認証・セッション失効はセットで考えるのが基本です。

3. アカウント内に「仕掛け」が残っている

一度アカウントに侵入した犯人は、追い出されても戻ってこられるように、次のような仕掛けを残すのが典型的な手口です。これらは「アカウントの内側」に居座るため、外側の鍵であるパスワードをいくら替えても消えません。

• メール転送ルール——届いたメールを外部アドレスへ自動で転送し、あなたのやり取りやパスワード再設定メールを盗み見る。あなたが気づかないうちに、大切な連絡が丸ごと相手の手元に届き続けます。
• フィルタ（受信ルール）——「セキュリティ警告」「新しいログインがありました」といった特定のメールを、自動で既読化・削除・別フォルダへ移動し、あなたに異変を気づかせない。危険を知らせる通知だけが静かに消される、という状態を作られます。
• アプリパスワード——二段階認証に対応していない古いアプリのために発行される専用のパスワードです。これが残っていると、二段階認証を設定しても、そこが認証を通らずに入れる抜け道として悪用される場合があります。
• 連携している外部アプリ・サービス——一度「このアプリにアクセスを許可」と承認した連携が生きていると、パスワードを変えても、その連携経由でアクセスが続いてしまうことがあります。

これらの仕掛けは、パスワード変更やパスワードの強化とは無関係に効き続けます。そのため、仕掛けを一つずつ確認して外すことが、再発を止める決め手になります。この記事の中盤で、サービスごとの具体的な確認場所を紹介します。

4. 使い回しで別のサービスから芋づる式に

もう一つ見落とされがちなのが、パスワードの使い回しです。あるサービスからメールアドレスとパスワードの組み合わせが漏れると、犯人はその同じ組み合わせを、他のさまざまなサービスのログイン画面で機械的に試します。これは「リスト型攻撃」や「クレデンシャルスタッフィング」と呼ばれる手口です。

この場合、いま問題になっているアカウントのパスワードだけを変えても、根本原因は解決しません。使い回していた別のサービスが突破口になっているため、そちらを放置している限り、同じ情報を手がかりに何度でも狙われます。だからこそ、後半で解説するように「1か所だけでなく、使い回していた全サービスのパスワードを変える」ことが欠かせないのです。

2. まず無料で潰す最優先の手順

ここからが実際の対処です。この章の作業は、すべて無料でできます。まずは「安全な端末」から作業を始めてください。今使っている端末が感染している可能性がある場合、その端末で新しいパスワードを入力すると再び盗まれます。可能であれば、別のスマートフォンやパソコンなど、心配の少ない端末で操作するのが理想です。

「安全な端末」とは、ふだんその不正ログインに巻き込まれていない端末、たとえば家族の別のスマートフォンや、職場ではない自宅の別のパソコンなどを指します。心当たりがまったくない場合でも、少なくともセキュリティスキャンを済ませた端末や、最近クリーンな状態に保っている端末を選ぶと安心です。作業の順番は「セッションを切る→パスワードを変える→仕掛けを消す→二段階認証を入れる」を基本にしつつ、状況に応じて前後させても構いません。大切なのは、どれか一つで満足せず、全部をやり切ることです。

1. すべてのデバイスからログアウトしてセッションを失効させる

最優先は、盗まれたログイン状態を強制的に切ることです。多くのサービスには「すべてのデバイスからログアウト」「他のすべてのセッションからサインアウト」「サインアウトエブリウェア（Sign out everywhere）」といった機能があります。呼び方はサービスや時期によって異なるため、見当たらないときは各サービスのヘルプで「サインアウト」「デバイスの管理」を検索してください。

1. 安全な端末から対象アカウントにログインします。
2. アカウントの「セキュリティ」またはログイン中のデバイス一覧を開きます。
3. 「すべてのデバイスからログアウト」「他のセッションをサインアウト」に相当する項目を実行します。
4. そのうえで、改めてパスワードを変更します（順番が大切です。先にセッションを切ってから変えると効果的です）。

なぜこれが最優先なのかというと、盗まれたセッション（クッキー）はパスワードを変えただけでは切れないことがあり、犯人はその「ログイン済みの状態」を使って居座り続けられるからです。全セッションを一斉に失効させれば、正規のあなたも含めて全員がいったんログアウトされ、盗まれた状態も強制的に断ち切れます。あなたは新しいパスワードで入り直せばよいだけです。なお、サービスによっては全セッションの失効が反映されるまで時間がかかる場合があるとされています。実行後しばらくして再度状態を確認するとよいでしょう。ログイン中のデバイス一覧に、自分が使っていない端末や見慣れない場所からのアクセスが残っていないかも、あわせてチェックしてください。

2. 二段階認証（2ファクタ認証）を有効にする

二段階認証は、パスワードに加えてもう一つの本人確認（スマホのアプリで生成されるコードなど）を求める仕組みです。パスワードが漏れても、二つ目の要素がなければログインしにくくなります。

1. アカウントの「セキュリティ」設定を開きます。
2. 「二段階認証」「2ファクタ認証」「追加のサインイン確認」などの項目を探します。
3. 認証アプリ（オーセンティケーター）を使う方法を選ぶのが一般的におすすめとされています。SMS（テキストメッセージ）は、番号を乗っ取られる攻撃で突破される余地があるためです。
4. 画面の案内に従って設定を完了し、バックアップコードは安全な場所に控えます。

ただし、二段階認証は万能ではありません。前述のとおり、セッションクッキーが盗まれていると二段階認証ごと迂回されることがあります。また、二段階認証に対応しない古い接続のために発行される「アプリパスワード」が残っていると、そこが抜け道になることもあります。二段階認証を入れたら、それで安心せず、必ずセッション失効と仕掛けの削除もセットで行ってください。それでも、二段階認証がない状態に比べれば防御力は大きく上がります。「万能ではないが、必ず入れておくべきもの」と位置づけて、有効化を後回しにしないことをおすすめします。

3. 侵入者が残す「仕掛け」を確認して削除する

ここが再発を止める最重要ポイントです。次の4つを、乗っ取りに遭った可能性のあるすべてのアカウントで確認します。

1. メール転送ルール——見覚えのない外部アドレスへの転送設定がないか。
2. フィルタ（受信ルール）——特定のメールを自動で既読・削除・移動していないか。
3. アプリパスワード——自分が作った覚えのないものが残っていないか。
4. 連携している外部アプリ・サービス——身に覚えのない連携が許可されていないか。

いずれも、見覚えのないものは削除してください。「自分で設定した記憶がない」ものは、原則としてすべて疑ってよいと考えてください。とくに転送先の外部アドレスは、一見それらしい文字列に見えても、自分のものでなければ削除対象です。以下、代表的なサービスでの確認場所の目安を示します。メニュー名や画面の位置は更新で変わることがあるため、見つからない場合は各サービス公式のヘルプで検索することを前提にお読みください。ここでは「どのあたりを見ればよいか」の地図として活用してください。

Gmail（Googleアカウント）の場合

• 転送・フィルタ——Gmailの「設定」→「すべての設定を表示」→「メール転送とPOP／IMAP」で転送先を確認し、「フィルタとブロック中のアドレス」で不審なルールを削除します。
• アプリパスワード・二段階認証・デバイス——Googleアカウントの「セキュリティ」から、ログイン中のデバイスや二段階認証、アプリパスワードの項目を確認します。
• 連携アプリ——同じく「セキュリティ」内の「サードパーティ製アプリとサービス」で、アクセスを許可した覚えのないものを解除します。

Outlook（Microsoftアカウント）の場合

• 転送・受信ルール——Outlookの設定から「メール」→「転送」「ルール」を確認し、身に覚えのない転送・自動処理を削除します。
• サインアウト・アプリパスワード——Microsoftアカウントのセキュリティページで、全セッションのサインアウト（サインアウトエブリウェア）やアプリパスワードの項目を確認します。反映まで時間がかかる場合があるとされています。
• 連携アプリ——アカウントに紐づく外部アプリのアクセス許可を見直し、不明なものを削除します。

なお、転送ルールを消してもすぐ復活する場合は、まだセッションが生きているか、二段階認証が入っていないことが原因のことがあります。全セッションの失効と二段階認証を先に済ませてから、改めてルールを削除すると安定しやすいと報告されています。

Amazonの場合

• デバイスからのログアウト——アカウント設定から、ログイン中のデバイスやセッションを確認し、不審なものをサインアウトします。実行すると、Kindleや動画サービスなど連携端末も一度ログアウトされ、再ログインが必要になる場合があります。
• 二段階認証——「ログインとセキュリティ」から二段階認証（追加のサインイン確認）を有効にします。
• 連携・支払い・住所の確認——連携アプリのほか、注文履歴（アーカイブされた注文も含む）、登録された支払い方法や配送先に、身に覚えのないものがないかを併せて確認します。

Amazonのようなショッピング系では、乗っ取りが金銭被害に直結します。パスワードやセッションだけでなく、支払い方法・住所・注文履歴まで点検してください。とくに、犯人が注文を「アーカイブ（保管）」して通常の履歴から隠すことがあるため、アーカイブされた注文もあわせて確認するのが安全です。また、Amazonのアカウントはメールアドレスと結びついているため、メール側が乗っ取られていると、パスワードの再設定機能を使って何度でも入り直されてしまいます。ショッピング系を守るときも、起点となるメールアカウントの安全確保を必ずセットで行ってください。

その他のサービスでも考え方は同じ

SNS、クラウドストレージ、動画配信、ゲーム、仕事用のアカウントなど、サービスの種類が違っても、確認すべき観点は共通です。①ログイン中のデバイス・セッションを失効させる、②二段階認証を有効にする、③連携している外部アプリを見直す、④（メール機能があれば）転送・自動処理のルールを確認する、という4点を軸に点検してください。メニュー名はサービスごとに異なりますが、多くは「セキュリティ」「ログイン」「アカウント」「プライバシー」といった名前の設定の中にまとまっています。見つからないときは、サービス名とあわせて「ログイン デバイス 管理」「二段階認証 設定」などのキーワードで公式ヘルプを検索すると早いでしょう。

3. 端末側を疑う——マルウェアと不審な拡張機能

アカウント側をどれだけ整えても、端末そのものが感染していれば再発は止まりません。「変えても変えても入られる」「複数サービスが同時にやられる」という場合は、端末に情報窃取型マルウェアが常駐している可能性を強く疑ってください。

1. 感染しているかもしれない端末での作業を止める

まず、疑わしい端末で新しいパスワードを入力するのをやめます。前述のとおり、感染端末では入力した瞬間に盗まれます。パスワード変更やセッション失効は、できるだけ別の安全な端末から行いましょう。

2. マルウェアスキャンを実行する

信頼できるセキュリティソフト（ウイルス対策ソフト）で、端末の全体スキャン（フルスキャン）を実行します。簡易スキャンではなく、時間はかかっても全体を調べる方式を選んでください。パソコンだけでなく、スマートフォンも対象です。スキャン前に、ソフトの定義ファイルとOSを最新に更新しておくと、新しいマルウェアの検出精度が上がります。

ここで一点、非常に大切な注意があります。マルウェアを駆除できても、すでに盗まれたセッションや、アカウントに残された仕掛けは自動では元に戻りません。セキュリティソフトはあくまで「端末からの不正プログラムの除去」を担うもので、盗まれたログイン状態を失効させたり、勝手に作られた転送ルールを消したりはしてくれません。駆除は「これ以上盗まれない状態」を作る作業であり、盗まれた分の後始末（セッション失効・パスワード変更・仕掛けの削除）は別途、手作業で行う必要があります。この記事の前半で紹介したアカウント側の対処と、端末側の駆除は、どちらか一方では不十分です。両輪でやってこそ、再発が止まります。

3. 不審なアプリ・拡張機能を削除する

心当たりのないアプリや、いつの間にか入っているブラウザの拡張機能（アドオン）は、削除を検討してください。とくにブラウザ拡張は、入力内容や表示中のページの情報を読み取れる権限を持つものがあり、悪用されると被害が広がります。便利そうな見た目でも、提供元がはっきりしないものや、必要以上に広い権限を求めるものには注意が必要です。ブラウザの「拡張機能」の管理画面を開き、自分でインストールした覚えのないもの、しばらく使っていないものを無効化・削除します。パソコンにインストールされたアプリの一覧も見直し、身に覚えのないプログラムがないか確認してください。判断に迷うものは、名前で検索して正体を確かめてから対応すると安全です。

4. OSとブラウザを最新に更新する

OS（オペレーティングシステム）とブラウザを最新の状態に保つことは、既知の弱点（脆弱性）をふさぐ基本の対策です。攻撃者は、修正済みなのに更新していない古い弱点を好んで狙います。自動更新を有効にし、保留中の更新があればすべて適用してください。更新後は端末を再起動して、変更を確実に反映させましょう。スマートフォンの場合は、アプリストア経由で各アプリも最新にしておくと安心です。あわせて、ブラウザに保存していたパスワードは、安全を確保できるまでいったん使わない前提で考え、後述するパスワードマネージャーへの移行を検討するのがよいでしょう。

5. どうしても不安が残るとき

スキャンをしても不審な挙動が続く、あるいは重要な情報を扱う端末である場合は、より踏み込んだ初期化（クリーンな状態への再セットアップ）も選択肢になります。ただし初期化はデータが消える作業なので、実行前に必ずバックアップを取り、手順が不安な場合は端末メーカーの公式サポートに相談してください。

4. パスワードの正しい変え方

端末とアカウントの仕掛けを片づけたら、いよいよパスワードを変えます。ここで大切なのは「1つのサービスだけ」で満足しないことです。使い回しがあると、別のサービスから芋づる式にやられます。

1. 使い回しを完全にやめる

もっとも危険なのがパスワードの使い回しです。あるサービスから漏れたメールアドレスとパスワードの組み合わせは、犯人によって他のサービスでも次々と試されます（いわゆるリスト型の攻撃）。1か所漏れただけで、同じパスワードを使った全サービスが危険にさらされます。サービスごとに、まったく異なるパスワードを設定してください。

2. パスワードマネージャーを活用する

とはいえ、サービスごとに複雑で異なるパスワードを覚えるのは現実的ではありません。「覚えられないから、つい同じものを使ってしまう」というのが、使い回しが減らない最大の理由です。そこで役立つのがパスワードマネージャーです。これは、強力でばらばらなパスワードを自動生成し、暗号化された金庫（ボールト）にまとめて保管してくれる仕組みです。あなたが覚えるのは、金庫を開けるための「マスターパスワード」一つだけで済みます。

パスワードマネージャーには、情報窃取型マルウェア対策としての利点もあります。ブラウザにそのまま保存したパスワードは、感染時に狙われやすい場所とされています。一方、しっかり暗号化された金庫に入れておけば、仮に端末から情報を抜こうとされても、中身を取り出しにくくなると考えられています。ただし、金庫の鍵であるマスターパスワードが弱かったり、他のサービスと使い回していたりすると意味がありません。マスターパスワードだけは、長く、他で一切使っていない固有のものにし、可能ならパスワードマネージャー自体にも二段階認証をかけてください。どの製品を選ぶかは、対応端末・機能・料金などを公式情報で確認したうえで、自分の使い方に合うものを選ぶとよいでしょう。

3. 全サービスで、優先順位をつけて変更する

変更は数が多くて大変ですが、優先順位をつけると進めやすくなります。

1. メールアカウント——他サービスのパスワード再設定の起点になるため最優先です。ここを守らないと、いくら他を変えても再設定機能で突破されます。
2. 金銭に関わるアカウント——ネット銀行、証券、ショッピング、決済サービスなど。
3. SNS・クラウド・仕事関連——連絡先や重要データが集まる場所。
4. その他——使い回していたパスワードを設定しているサービスはすべて対象です。

変更のたびに、そのサービスでも「すべてのデバイスからログアウト」と「二段階認証の有効化」をあわせて行うと、より確実です。

5. うまくいかない時のトラブルシューティング

手順どおり進めても、思ったように解決しないことがあります。よくあるつまずきと、その対処を整理します。

1. 削除した転送ルールが、すぐ復活してしまう

転送ルールやフィルタを消しても、しばらくすると同じものが再び現れる——これは、まだ犯人のセッションが生きているか、二段階認証が未設定であることが原因のことがあります。対処の順番が大切です。先に「すべてのデバイスからログアウト」で全セッションを失効させ、パスワードを変更し、二段階認証を有効にしてから、最後に転送ルールとフィルタを削除してください。順番を逆にすると、消しても消しても復活する、いたちごっこになりがちです。

2. 「すべてのデバイスからログアウト」が反映されない

全セッションの失効は、サービスによっては反映に時間がかかる場合があるとされています。実行後すぐに状態が変わらなくても、しばらく待ってから改めて確認してみてください。時間を置いても不審なログインが続く場合は、端末側の感染や、まだ見つけていない仕掛けが残っている可能性を疑い、端末のスキャンと仕掛けの再確認に戻ります。

3. 何度対処しても、数日で必ず再発する

アカウント側をどれだけ整えても数日で再発する場合、もっとも疑わしいのは端末の感染です。感染した端末で新しいパスワードを入力していると、そのたびに盗まれ、堂々巡りになります。作業する端末を、心配の少ない別の端末に切り替えてください。そのうえで、疑わしい端末のスキャンと、不審なアプリ・拡張機能の削除、OSとブラウザの更新を行います。

4. アカウントに、そもそもログインできない

すでにパスワードを変えられ、ログインすらできない状態のときは、各サービスの「アカウントの復旧」「ログインできない場合」の手続きを利用します。あわせて、復旧の起点になるメールアカウントの安全を最優先で確保してください。自力での復旧が難しい場合は、各サービス公式のサポートやヘルプから、アカウントが乗っ取られた旨を伝えて相談するのが安全です。

5. 家族や共有の端末が原因になっている

自分の端末をいくら守っても、同じアカウントにログインしている家族の端末や、共有のパソコンが感染していれば、そこから再び情報が漏れます。共有している端末があれば、それらも点検の対象に含めてください。心当たりのない端末がログイン一覧に残っていないかも、あわせて確認しましょう。

6. それでも再発する・被害が続くときの選択肢

ここまでの手順——セッションの失効、転送ルール・フィルタ・アプリパスワード・連携アプリの削除、二段階認証の有効化、端末のスキャン、パスワードの変更——は、すべて無料でできます。これらで再発が止まった方に、以下は必要ありません。

一方で、次のような状況では、常時保護やダークウェブ監視といった継続的な仕組みを検討する余地があります。

• 手順をすべて実施したのに、なお不正ログインや不審な挙動が繰り返される。
• 過去に情報が流出しており、自分のメールアドレスやパスワードがどこまで出回っているのか把握しきれない。
• 複数の端末・家族の端末を含めて、常に最新の脅威に自動で対応できる状態を保ちたい。

常時保護とは、端末を常に監視し、危険なファイルや通信をリアルタイムで検出・遮断する仕組みのことです。単発のスキャンと違い、新たな感染を早い段階で食い止めることを狙います。ダークウェブ監視とは、流出した認証情報が闇市場（ダークウェブ）に出回っていないかを継続的にチェックし、あなたの情報が見つかったら知らせてくれる仕組みです。どこかから漏れた情報を早く把握できれば、先回りしてパスワードを変えられます。

これらは「無料の手順で止まらなかったとき」「継続的な安心を優先したいとき」の追加の選択肢です。導入を検討する際は、監視対象・通知方法・対応端末数・料金などを、各サービスの公式情報で確認したうえで、自分の状況に合うかを判断してください。恐怖に駆られて急いで契約する必要はありません。まずは無料でできることをやり切ることが先決です。

よくある質問（FAQ）

パスワードを変えたのに、なぜ入られるのですか？

多くの場合、犯人が「パスワードを入力せずに入れる状態」を作っているためです。盗まれたセッション（ログイン状態）がまだ生きている、端末の情報窃取型マルウェアが新しいパスワードもすぐ盗む、あるいはメール転送ルールやアプリパスワードといった仕掛けがアカウント内に残っている、といった原因が考えられます。鍵（パスワード）だけを替えても、合鍵や裏口が残っていれば入られてしまう、というイメージです。

二段階認証をすれば、絶対に安全ですか？

二段階認証は非常に有効ですが、「絶対」ではありません。セッションクッキーが盗まれている場合、認証済みの状態ごと乗っ取られ、二段階認証を迂回されることがあります。また、アプリパスワードという抜け道が残っていると、そこを突かれることもあります。二段階認証は必ず有効にしつつ、セッションの失効や仕掛けの削除もセットで行うことが大切です。

メール転送ルールとは何ですか？

受信したメールを、自動的に別のアドレスへ転送する設定のことです。乗っ取りの際、犯人は自分の外部アドレスへの転送ルールをこっそり作り、あなた宛てのメール（パスワード再設定の案内やセキュリティ警告を含む）を盗み見ようとします。あわせて「特定のメールを自動で既読・削除するフィルタ」も仕込まれることが多く、これがあると異変に気づけません。設定画面で見覚えのない転送・フィルタを見つけたら、すぐ削除してください。

どのアカウントから確認すべきですか？

最優先はメールアカウントです。メールは他サービスのパスワード再設定の起点になるため、ここが乗っ取られていると、いくら他を守っても、再設定機能を使って何度でも突破されてしまいます。まさに「すべての鍵をしまってある部屋の扉」にあたるので、真っ先に守ってください。次に、ネット銀行や決済、ショッピングなど金銭に関わるアカウント、続いてSNSやクラウドなど重要な情報が集まる場所、という順で確認していくとよいでしょう。そして、同じパスワードを使い回していたアカウントは、被害の有無にかかわらず、すべて対象に含めてください。

スマホも危ないのですか？

はい、スマートフォンも例外ではありません。不正なアプリや不審なプロファイル（構成情報）、偽のセキュリティ警告などを通じて、情報が抜き取られる恐れがあります。とくに、公式ストア以外から入手したアプリや、案内されるままに許可してしまった広い権限は要注意です。パソコンだけでなくスマホでもセキュリティスキャンを行い、身に覚えのないアプリは削除し、OSとアプリを最新に保ってください。アプリごとの権限設定を見直し、必要のない権限（連絡先やメッセージへのアクセスなど）を与えていないか確認するのも有効です。仕事や家族と共有している端末があれば、それらも点検の対象に含めましょう。

パスワードマネージャーは安全ですか？

適切に使えば、手動でばらばらに管理するよりも安全性を高めやすい仕組みです。強力なパスワードを自動生成し、暗号化された金庫に保管するため、ブラウザにそのまま保存するより盗まれにくいとされています。ただし、金庫を開けるマスターパスワードが弱かったり使い回しだったりすると本末転倒です。マスターパスワードは長く固有のものにし、可能であればマネージャー自体にも二段階認証を設定してください。具体的な機能や料金は各サービスの公式情報でご確認ください。

情報窃取型マルウェアは、どうやって入るのですか？

主な経路は、偽のダウンロードサイトや不正な添付ファイル、正規ソフトを装った実行ファイル、危険な広告リンクなどです。「無料で使えるツール」「割れたソフト」などをうたうページや、検索結果の上部に出てくる偽の広告リンクから入り込むことも少なくありません。最近は、動画の説明欄やチャットで案内されるファイル、偽のアップデート通知なども悪用されています。心当たりのない実行ファイルは開かない、ソフトは必ず公式の配布元から入手する、送り主が確かでも不審な添付やリンクは踏まない、といった基本の習慣が、感染を防ぐうえで有効です。「自分は大丈夫」と思っている人ほど狙われやすいので、日ごろから一呼吸おいて確かめる癖をつけておくと安心です。

銀行やクレジットカードは大丈夫でしょうか？

不正ログインの被害が続いている場合、金銭に関わるアカウントも必ず確認してください。ネット銀行や証券、決済サービスのパスワードを変更し、二段階認証を有効にし、身に覚えのない取引や登録情報がないかを点検します。とくに、ショッピングサイトに登録された支払い方法や配送先が勝手に書き換えられていないか、少額の見慣れない取引が紛れ込んでいないかは、見落としやすいので念入りに確認してください。カードの不正利用が疑われるときは、カード会社の公式窓口（カード裏面や公式サイトに記載の番号）に速やかに連絡し、利用停止や再発行を相談するのが安全です。判断に迷ったら、被害が広がる前に、各金融機関の公式サポートに早めに問い合わせることをおすすめします。

まとめ

パスワードを変えても不正ログインが再発するとき、問題はパスワードの強さではなく、犯人が端末側にいるか、アカウント内に仕掛けを残しているかにあります。だからこそ、鍵を替える前に、まず居座る仕組みを断つことが先決です。

優先順位を改めて整理します。①「すべてのデバイスからログアウト」で盗まれたセッションを失効させる、②メール転送ルール・フィルタ・アプリパスワード・連携アプリという仕掛けを確認して削除する、③二段階認証を有効にする、④端末をスキャンして情報窃取型マルウェアや不審な拡張機能を取り除く、⑤使い回しをやめてパスワードマネージャーで全サービスのパスワードを変える——この流れです。ここまでは、すべて無料でできます。

最後に、対処の全体像をチェックリストの形でもう一度整理しておきます。上から順に、できたものから消し込んでいくと進めやすいはずです。

• 安全な別の端末を用意した。
• すべてのデバイスからログアウトし、全セッションを失効させた。
• メール転送ルール・フィルタを確認し、身に覚えのないものを削除した。
• アプリパスワードと連携している外部アプリを見直し、不要なものを削除した。
• 二段階認証を有効にした。
• 端末のフルスキャンを行い、不審なアプリ・拡張機能を削除した。
• OSとブラウザ・アプリを最新に更新した。
• 使い回しをやめ、メールを最優先に、全サービスのパスワードを変更した。

これらがひととおり終わっても再発が止まらない、あるいは継続的な安心を優先したい場合にだけ、常時保護やダークウェブ監視といった追加の選択肢を検討すればよいのです。恐怖に急かされる必要はありません。まずは落ち着いて、無料でできることを一つずつ、確実にやり切っていきましょう。なお、各サービスのメニュー名や設定場所は更新で変わることがあるため、見つからない項目は公式ヘルプで最新の案内をご確認ください。