Googleの警告メールは本物？確認する場所とパスワード入力前の対処

Googleの警告メールから開いた画面で、パスワードを求められたら、まず入力を止めてください。見るのはブラウザのアドレスバーです。Google Sitesのページ内にはGoogleのパスワードを入力せず、迷ったらメールを閉じて普段のGmailアプリから確認しましょう。

『ちるライフ』のゆういちです。「Googleの名前があるし、自動入力の候補も出た。それでも危ないの？」と気になる事例が紹介されています。2026年10月20日に確認した公式情報をもとに、先に対処方法、そのあとに手口を整理します。

迷ったらここを見る！入力前にアドレスバーを確認

確認するのは、ページ内のGoogleロゴや「安全です」という説明ではありません。ブラウザの上部や下部にある、ページのアドレスが表示される欄です。スマートフォンでは、その欄をタップするとアドレス全体を確認しやすくなります。

アドレスで見る部分	どんな場所？	どうすればいい？
accounts.google.com	Googleアカウントの正規ログインに使われるホスト名	完全一致を確認。不審なメールから来た場合は、普段の入口から入り直す
sites.google.com	利用者がページを公開できるGoogle Sites	ページ本文の入力欄にGoogleのパスワードを入れない
よく分からない	安全に判断できない状態	ページを閉じてGmailアプリから確認

Googleの通常のウェブログインでは、accounts.google.comが使われます。「https://」の直後から次の「/」までを確認。「google.comの文字がある」だけでは足りず、後ろに別のドメイン名が続いていれば異なるサイトです。

Google Sitesでも、閲覧のために正規ログイン画面へ移動する場合はあります。ただし、sites.google.comと表示されたページ本文の入力欄にGoogleのパスワードを入れるのはやめてください。自動入力候補が出ても、安全の証明にはなりません。

見分ける自信がなければ、メールを閉じればOK

アドレスを見ても分からない。そんなときは、無理に本物か偽物かを決めなくて大丈夫です。そのページを閉じ、普段使っているGmailアプリからGoogleアカウントを開きましょう。警告の確認に、メール内のリンクを使う必要はありません。

複数のアカウントを使っている場合は、どのアカウントを確認しているかも大切です。表示名は端末などで多少異なりますが、心当たりのない操作があれば、その管理画面の案内に沿って保護を進めます。メールへ戻って操作を続けないでください。

通知の文章と同じ表示が見つからなくても、それだけで安全とは断定できません。最近の操作と端末を調べるところまで進めましょう。僕なら、青いボタンの形を比べるより、この入口を使います。

今回のメールは「アプリパスワードが作られた」と誘導

事例として紹介されているメールの件名は「Security alert」。画像には、アカウントにログインするためのアプリパスワードが作られた、という意味の英文が見えます。知らない相手のアドレスも書かれていたら、急いで取り消したくなりますよね。

本文は不正利用の可能性を示し、パスワードを確認・削除するよう促しています。その誘導先としてGoogle Sitesのページが示され、別の画像にはロボットではないことを確かめる欄もあります。今回は第三者の報告で、僕自身の受信体験ではありません。

アプリパスワードは実在する機能です。ただ、正規機能の名前を使っていても、メールの指示まで正しいとは限りません。「身に覚えがないから、すぐ取り消さなくては」という焦りにつけ込む内容として注意したいところです。

Googleの名前や青いボタンも、安全の証拠にはならない

Google Sitesは、利用者がウェブページを作って公開できるサービスです。Googleが提供する場所でも、掲載内容をGoogle自身が書いているとは限りません。会社や学校のサイトにも使われる仕組みが、不正な誘導に悪用されることがあります。

画像には青い「Check activity」ボタンもあります。「青いボタンがないから偽物」という判定では、この事例を説明できません。ロゴやボタン、ロボット確認の表示だけで、本物の手続きだと思い込まないようにしたいですね。

送信元の表示やメール認証も手がかりにはなりますが、それだけでリンク先の安全性までは保証されません。DKIMという署名の仕組みには、有効な署名付きメールの再送を防がない性質があります。ただし、今回の詳しい攻撃経路は確認できていません。

自動入力が出ても、そのまま進めない

投稿者は、パスワード管理ツールが入力候補を表示したと説明しています。便利な機能が反応すると、安心してしまいそうですよね。ただし、今回の資料では製品名や設定、再現条件を特定できず、すべてのツールが同じ動作をするとはいえません。

例えばBitwardenでは、保存したアドレスとの照合方法を設定できます。一方、iOSのキーボード候補には照合上の制限もあります。使っている製品の公式説明で、入力先の一致条件と端末ごとの制限を確かめるのがよさそうです。

長く異なるパスワードを管理する機能は、引き続き役立ちます。大切なのは、候補が出たことを安全の証拠にしないこと。分からない画面では入力せず、いつもの入口から入り直す。この判断なら、難しい設定を覚えていなくても実行できます。

もう開いた・入力した場合は、操作に合わせて対処

リンクを押してしまった場合も、ページを見ただけなのか、パスワードを入力したのかで対応が変わります。クリックだけで乗っ取りが確定するわけではありません。自動入力や通知の許可など、実際に何をしたかを振り返りましょう。

行った操作	まず取る対応
メールを読んだだけ	返信やリンクの操作をせず、普段の入口でアカウントを確認
ページを開いただけ	ページを閉じ、自動入力やダウンロード、通知の許可をしていないか振り返る
パスワード・確認コードを入力した	正規画面でパスワード変更と不審なログインの確認。身に覚えのない認証要求は承認しない
通知を許可した	ブラウザのサイト設定から、そのページの通知権限を取り消す
ファイルを実行・アプリを導入した	端末の点検も必要。信頼できるセキュリティ機能で調べ、業務端末なら管理者へ連絡

パスワードを入力したなら、送信ボタンを押していなくても変更を優先してください。ページ内の仕組みによっては、入力した段階で読み取られる可能性があるためです。安全な端末で正規画面を開き、使い回しているパスワードも変更します。

変更後は、不審な端末やアプリ連携、再設定用の連絡先、Gmailの転送・フィルタも点検します。見覚えのないアプリパスワードも確認対象です。ログインできなくなった場合は、Google公式ヘルプのアカウント復元手順へ進みます。

次の警告メールに備えて、確認する入口を決めておこう

普段の備えとしては、パスキーの利用も選択肢です。Googleは、パスキーによってフィッシングへの耐性を高められると説明しています。ただし、設定後も偽画面にパスワードを入力すれば漏れるおそれはあります。端末の画面ロックと併せて使いましょう。

不審なメールは、パソコン版Gmailなら返信アイコン横の「その他」から「フィッシングを報告」を選べます。通報するために、誘導先を開き直す必要はありません。仕事や学校のアカウントで操作してしまった場合は、管理者にも相談してください。

覚えておきたいのは「警告メールから入力せず、いつものアプリから確認」です。アドレスが読みにくいときも、この方法を選べます。まずはGmailアプリからアカウントの管理画面を開く場所を、一度確かめておきませんか。