ある平日の午前中、仕事中にスマホを見たら、こんな通知が出ていました。
「不正使用されたパスワード」
見たこともない通知でした。そのときの私は「パスワードが漏れたのね。あとで変えればいいか」くらいに考えていました。
でも、そうではありませんでした。お昼休みにログインしようとしたときには、もう私のアカウントではなくなっていました。
この記事でお伝えすること
- 「不正使用されたパスワード」という通知は、本物の警告です
- パスワード漏洩と、アカウント乗っ取りは別物です
- 気づいてから動くまでの時間が、そのまま被害の大きさになります
この通知は「偽警告」ではありません
先に大事なことをお伝えします。この通知は本物です。
「ウイルスに感染しました」のような偽警告とは違って、これはスマホやブラウザに入っているパスワード管理機能が出しているものです。あなたが保存しているパスワードと、どこかの企業から流出したパスワードのリストを照合して、一致したときに知らせてくれる仕組みです。
見分け方
この通知はスマホやブラウザの設定画面の中に表示されます。Webページの上に突然かぶさってきたり、「今すぐ購入」「サポートに電話」と急かしてきたりするものは偽物です。焦らせてくるかどうかが、いちばんの分かれ目です。
私の場合、漏洩していたのはゲーム機のアカウントでした。子ども用に置いてあったもので、私自身はほとんどゲームをしません。だから余計に「たいしたことない」と思ってしまったのです。
お昼休み、ログインできませんでした
午前中は仕事があって、何もできませんでした。通知は気になっていましたが、手を止められる状況ではありませんでした。
お昼休みになって、パスワードを変えようとサイトにアクセスしました。ところが──
ログインできませんでした。
漏れたパスワードで先にログインされ、パスワードを変更されていたのです。数時間の差でした。
ここで初めて、事の重大さに気づきました
アカウントの中身は間違いなく私のものです。それなのに、パスワードを変えられてしまったせいで、私にはもうログインする権限も、中を見る権限も、データを消す権限すらない。
私のアカウントなのに、他人が鍵を握っている。これがアカウント乗っ取りです。
いちばん怖かったのは「確認できない」こと
乗っ取られたと分かって、まず思い返したのは、そのアカウントに何が入っていたかです。
- クレジットカードの登録はあるか
- ゲームデータの保存はあるか
- 個人情報の登録はあるか
ゲームデータはありません。個人情報は登録に必要な分だけ。問題はクレジットカードでした。
息子のゲームをダウンロードで買っていたので、カードは使っています。でも、毎回入力していたのか、情報を保存していたのか、保存していたならパスワードをかけていたのか──どれも思い出せませんでした。
そして、確認しようにもログインできません。
アカウント乗っ取りが怖いのは、乗っ取られたこと自体よりも、その先で何が起きるか分からないことだと思います。カードが不正利用されるかもしれない。でも確かめられない。この宙ぶらりんの時間が、いちばんしんどかったです。
アカウントを取り戻すまで
ここからは、実際にアカウントを取り戻すまでの話です。結論から言うと、丸一日半かかりました。
まずは公式の問い合わせ窓口へ
やったことはシンプルで、アカウントの公式サポート窓口に連絡する。これだけです。乗っ取られてログインできない以上、自力でできることはありません。
ここでも大事なのは、検索して公式サイトから問い合わせることです。「アカウント 復旧」で検索すると、それらしい代行業者のページも出てきます。そこには絶対に情報を渡さないでください。
本人確認で聞かれた3つ
サポートから求められたのは、次の3つでした。
- ログインID（私の場合はメールアドレス）
- ユーザー名
- 最終ログイン日時
パスワードは変えられてしまっているので、それ以外の情報で「このアカウントは確かにあなたのものです」と証明するわけです。理にかなっています。
IDはメールアドレスなので、すぐ分かりました。問題は2つめでした。
ユーザー名が、どうしても分からない
これが本当に苦労しました。
というのも、このアカウントは子どものゲームを買うためだけに作ったものだったからです。私自身はほとんど使いません。ゲーム機の中でどんな名前になっていたのか、まったく思い出せませんでした。
ログインできれば確認できます。でも、ログインできないから問い合わせているのです。完全に堂々巡りでした。
最後の頼みは子どもでした。「このアカウントの名前、覚えてない？」「昔の画面のスクショ、残ってない？」と聞いて、一緒に探してもらいました。
そうしたら、奇跡的に一枚だけスクリーンショットが残っていました。
そこにユーザー名が写っていて、それで確認が取れました。あのスクショがなかったら、どうなっていたか分かりません。
無事に戻ってきました
3つの情報がそろい、私のアカウントだと確認が取れて、アカウントは戻ってきました。
いちばん心配していたクレジットカードも、不正利用はありませんでした。確認が取れたので、カード会社への連絡もしていません。
ただし、そのままとはいきませんでした。乗っ取り犯にログインIDを知られている以上、登録メールアドレスの変更が必要になりました。同じアドレスのままでは、また同じ入口から入られてしまうからです。
かかった時間は1日半。
金銭的な被害もデータの損失もありませんでした。それでも、この1日半のあいだずっと「カードが使われていたらどうしよう」と落ち着かないままでした。失ったのはお金ではなく、時間と平常心です。
在宅で働く私たちが、今日できること
この件で私が痛感したのは、「たいしたことないアカウント」なんてないということです。ほとんど使っていない、子ども用のゲーム機のアカウント。それでも、カード情報がつながっているというだけで、じゅうぶんに怖い存在でした。
在宅で仕事をしていると、この危険はもう一段深くなります。同じパソコンで、クライアントのデータも、請求書も、納品ファイルも扱っているからです。ひとつのアカウントが破られると、そこから芋づる式に広がっていきます。
今日のうちにやっておきたい4つ
- パスワードを使い回さない。私が破られたのも、結局はここです。1か所漏れると、同じ鍵で開く扉が全部開きます
- 二段階認証を設定する。パスワードが漏れても、これがあれば乗っ取りはかなり防げます。特に仕事で使うサービスは必ず
- 「漏洩したパスワード」の通知をオンにしておく。私はこの通知のおかげで、当日中に気づけました。気づくのが数日後だったらと思うとぞっとします
- 決済情報を保存しっぱなしにしない。毎回入力するのは面倒ですが、その面倒が保険になります
- ユーザー名を控えておく。これは私が痛い目を見た分です。ログインできなくなったとき、本人確認で使うのはパスワード以外の情報。特に「たまにしか使わないアカウント」ほど、ユーザー名も登録日も思い出せません。IDとユーザー名だけでも手元にメモしておいてください
それと、もうひとつ。気づいたら、その場で動いてください。
私は仕事中だったので、午前中はそのままにしました。数時間です。その数時間で、パスワードを変えられました。「あとでやろう」が通用しない相手だということを、身をもって知りました。
在宅で働いていると、トラブルを相談できる情シスも、隣の席の同僚もいません。だからこそ、起きる前の備えと、起きたときに慌てない知識が要ります。この記事が、そのどちらかの役に立てばうれしいです。
📖 あわせて読みたい：「トロイの木馬ウイルスが検出されました」は詐欺でした【在宅ワーカーの実体験】
