2026年10月末、Xで「Googleアカウントのセキュリティ設定チェックリスト」をまとめた投稿が話題になりました。乗っ取り対策は気になっていても、何から手を付ければいいか分からない人が多いテーマです。
当記事では、Googleの公式ヘルプとAppleのサポートページで1つずつ確かめた画面名・手順・注意点をもとに、10の対策をチェックリストにまとめました。
なぜGoogleアカウントのセキュリティ設定から守るの？
Gmailには「パスワードの再設定」のメールが届く
多くのネットサービスでは、パスワードを忘れたときに「再設定のためのメール」を、登録したメールアドレスへ送ります。ネット通販・SNS・動画配信などの登録にGmailを使っていると、そのGmailを開ける人は、ほかのサービスのパスワードも再設定できてしまう可能性があります。
つまり、Gmailは、ほかのサービスの「合鍵」が届く郵便受けのような場所です。Googleアカウントを乗っ取られると、被害がGmailだけで止まらず、つながっているサービスに広がるおそれがあります。
パスワード・写真・スマホの中身もGoogleアカウントにつながっている
Googleアカウントには、Googleパスワードマネージャーに保存したパスワードやパスキー、Googleフォト、Googleドライブなどもつながっています。Googleの公式ヘルプも、アカウントへのアクセスを失うと、保存済みのパスワードやパスキーにもアクセスできなくなるおそれがあると説明しています。
「取られないようにする」ことと、「自分が入れなくならないようにする」ことの両方が大切です。
Googleアカウントのセキュリティ設定チェックリスト一覧
10の対策を、記事の見出しの順に並べました（10番のスマホの守りも「まず全員」です）。所要時間は、画面の案内どおりに進めた場合の編集部の目安です（端末や状況で変わります）。
| 対策 | 優先度 | 時間の目安 |
|---|---|---|
| □ 1. パスキーを作る | まず全員 | 5分 |
| □ 2. 2段階認証プロセスをオン（電話番号のコード以外も登録） | まず全員 | 5〜10分 |
| □ 3. 再設定用の電話番号とメールアドレスを確認 | まず全員 | 5分 |
| □ 4. セキュリティ診断を実行 | まず全員 | 5〜10分 |
| □ 5. バックアップコードを印刷して保管 | 余裕があれば | 5分 |
| □ 6. Gmailの転送とフィルタを確認 | 余裕があれば | 5分 |
| □ 7. パスワードマネージャーのオンデバイスの暗号化（注意あり） | 余裕があれば | 5分 |
| □ 8. 使っていない連携アプリを外す | 余裕があれば | 10分 |
| □ 9. 高度な保護機能プログラムに登録 | 本気で守るなら | 準備しだい |
| □ 10. スマホの画面ロックと盗難対策 | まず全員（忘れがち） | 5〜10分 |
終わったものから□にチェックを入れていきましょう。
▶ 関連記事：パスキーとは？パスワードが残るなら意味ない？Xの議論への答えとやること
まず全員やりたいGoogleアカウントの対策
1. パスキーを作る
パスキーは、パスワードの代わりに、スマホやパソコンの指紋・顔認証・画面ロックでログインする仕組みです。Googleによると、パスキーは他人と共有したりコピーしたりできず、フィッシング（偽サイトでパスワードを盗む詐欺）対策の強化に役立ちます。
- Googleアカウントの「パスキーを作成する」のページ（myaccount.google.com/signinoptions/passkeys）を開く
- 「パスキーを作成する」→「パスキーを作成」の順に進む
- スマホやパソコンのロックを解除すると完成。複数の端末で使うなら、端末ごとに同じ手順を繰り返す
注意点として、共有の端末では作らず、自分が持っていて使っている端末でだけ作るようGoogleは案内しています。パスキーが残っている限り、その端末のロックを解除できる人はGoogleアカウントに入れるためです。なお、パスキーを追加しても今のパスワードや復元の手段は消えません。
>>パスワードの代わりにパスキーでログインする（Googleアカウント ヘルプ）
2. 2段階認証プロセスをオンにする
2段階認証プロセスは、パスワードに加えて「2つ目の確認」を求める仕組みです。パスワードが漏れても、2つ目がなければログインされにくくなります。
- Googleアカウントの画面を開き、「セキュリティとログイン」を選ぶ
- 「Googleにログインする方法」の中の「2段階認証プロセスを有効にする」を選ぶ
- 画面の指示に従って完了する
2つ目の確認には、Googleからのメッセージ（スマホに届く通知で「はい」を選ぶ）、確認コードアプリ、セキュリティキー、テキストメッセージ（SMS）や音声通話、パスキーなどを使えます。
Googleの公式ヘルプは、SMSや音声通話のコードは電話番号を悪用したハッキングの標的になるおそれがあるとして、ログインにパスキーを使わない場合の2つ目の確認として、SIMスワップ（電話番号の乗っ取り）のような攻撃の防止にもつながるGoogleからのメッセージをすすめています。SMSだけに頼らず、Googleからのメッセージや確認コードアプリ、パスキーも登録しておきましょう。なお、Googleがコードを電話で聞くことはありません。確認コードは誰にも教えないようにしましょう。
>>2段階認証プロセスについて（Googleアカウント ヘルプ）
▶ 関連記事：Google Authenticatorから1Passwordへ移行！同期を切る前の手順と落とし穴
3. 再設定用の電話番号とメールアドレスを確認する
再設定用の電話番号とメールアドレスは、ログインできなくなったときに自分のアカウントへ戻るための連絡先です。不審なログインがあったときの通知にも使われます。
- Googleアカウントを開き、「セキュリティとログイン」を選ぶ
- 「Googleにログインする方法」で「再設定用の電話番号」または「再設定用のメールアドレス」を選ぶ
- 画面の指示に沿って追加する。変更は編集アイコン、削除は削除アイコンから
再設定用のメールアドレスは、ログインに使うGmailとは別の、普段使っているメールアドレスを選ぶよう案内されています。電話番号は、自分が持っていてSMSを受け取れる普段使いのスマホの番号にしましょう。再設定用の電話番号は、変更が反映されるまで最長7日ほどかかることがあります。
>>再設定用の電話番号・メールアドレスについて（Googleアカウント ヘルプ）
4. セキュリティ診断を実行する
セキュリティ診断は、Googleアカウントの安全性を確かめて、やるべきことを教えてくれる画面です。myaccount.google.com/security-checkup から直接開けます。
Googleのヘルプでは、再設定用の連絡先、パスキー、2段階認証プロセス、アカウントにアクセスできるアプリ、端末の画面ロックなどの見直しが案内されています。すべての推奨事項を終えると、ページの上に緑色の盾が表示されます。
>>アカウントのセキュリティの強化について（Googleアカウント ヘルプ）
※2026年10月30日時点・Googleアカウント ヘルプより
余裕があればやりたい対策
5. バックアップコードを紙で保管する
バックアップコードは、スマホをなくして2つ目の確認ができないときに使う「予備の鍵」です。1セットは8桁のコードが10個で、それぞれ1回しか使えません。
- Googleアカウントの「セキュリティとログイン」を開く
- 「Googleにログインする方法」から「2段階認証プロセス」に進む
- 「バックアップコード」で「続行」→「バックアップコードの取得」を選ぶ
- 「コードをダウンロード」か「印刷」で保存する
Googleは、印刷してパスポートなどの重要な書類と同じような安全な場所に保管する方法を案内しています。新しいセットを作ると、古いセットは自動的に使えなくなるので、作り直したら紙も入れ替えましょう。また、2段階認証プロセスがオンでないとバックアップコードは使えません。
>>バックアップコードについて（Googleアカウント ヘルプ）
6. Gmailの転送とフィルタを確認する
乗っ取りの後、メールを別のアドレスへ転送する設定や、特定のメールを自動で消すフィルタを仕込まれていると、パスワードを変えても気づきにくくなります。
確認はパソコンのGmailで行います。
- Gmailの右上の設定アイコンから「すべての設定を表示」を選ぶ
- 「メール転送とPOP/IMAP」（または「転送」）タブで、知らない転送先がないか確かめる。止めるときは「転送を無効にする」→「変更を保存」
- 「フィルタとブロック中のアドレス」タブで、覚えのないフィルタがないか確かめる。不要なものは「削除」
Googleのヘルプによると、転送を有効にしてから1週間は「メールを〇〇に転送しています」という通知が表示されます。転送を設定していないのにこの通知が出たら、すぐにパスワードを変えて転送をオフにするよう案内されています。
▶ 関連記事：Yahoo!メールの乗っ取りでAmazonに不正注文？フィルターと転送の確認方法
7. パスワードマネージャーのオンデバイスの暗号化（注意あり）
Googleパスワードマネージャーの「オンデバイスの暗号化」は、保存したパスワードとパスキーを、自分だけが持つ鍵で暗号化する設定です。Googleを含め、ほかの人はデータを見られない仕組みになります。
- Androidの場合：passwords.google.com を開き、設定アイコン→「オンデバイスの暗号化」の「設定」
- Chromeの場合：右上のその他アイコン→「設定」→「Googleパスワードマネージャー」→設定アイコン→「オンデバイスの暗号化を設定」
ただし、公式ヘルプにはいったん設定したオンデバイスの暗号化は削除できないと書かれています。やめるには専用のリセットページで「オフにする」を選びますが、その場合は保存済みのパスワードがすべて削除されます。
また、Googleパスワードや画面ロックなど追加した再設定の手段をすべて失ったり、パスワードを保存したどの端末にも入れなくなったりすると、すべてのパスワードを失うことになります。再設定の手段をきちんと用意できてから検討しましょう。
>>オンデバイスの暗号化について（Googleアカウント ヘルプ）
8. 使っていない連携アプリを外す
「Googleでログイン」を使ったアプリや、Gmail・ドライブへのアクセスを許可したアプリは、Googleアカウントの「リンク済みアプリ」のページ（myaccount.google.com/linkedapps）で確認できます。
- 「Googleでログイン」：対象のアプリ→「詳細を表示」→「「Googleでログイン」機能の使用を停止」→「確定」。アプリ内のデータは消えない
- 「Googleアカウントへのアクセス権」：対象のアプリ→「詳細を表示」→「アクセス権を削除」→「確認」。一部の機能が使えなくなることがある
使っていないアプリや、覚えのないアプリから外していきましょう。
>>リンク済みアプリの確認と削除について（Googleアカウント ヘルプ）
※2026年10月30日時点・Googleアカウント ヘルプ、Gmailヘルプより
本気で守りたい人は高度な保護機能プログラム
高度な保護機能プログラムとは？
高度な保護機能プログラムは、Googleが、オンラインでの標的型攻撃を受ける「危険性が高い方」（ジャーナリストや活動家など）におすすめしている、守りをいちだんと強める設定です。プログラム自体は無料です（セキュリティキーを使う場合はキーの購入費がかかります）。ログインにはパスキーかセキュリティキーが必要になり、パスワードが盗まれただけではログインできなくなります。
登録すると、主に次のような変化があります（Googleアカウント ヘルプより）。
- 新しい端末でログインするには、パスキーかセキュリティキーが必要
- Gmailやドライブなどの大事なデータにアクセスできるのは、Googleのアプリと確認済みのアプリだけ
- ダウンロードのチェックが厳しくなり、有害かもしれないファイルは通知またはブロックされる。Androidでは確認済みのストアのアプリだけ入れられる
- 一部のアプリやサービスでGoogleアカウントが使えなくなることがある（アプリパスワードやバックアップコードも使えない）
登録の前に知っておきたい注意
Googleは、セキュリティキーを使うならメインのキーに加えて少なくとも1つの予備のキーを用意すること、予備のパスキーやセキュリティキーを安全な場所に保管することをすすめています。キーをなくしてアカウントに入れなくなった場合は復旧リクエストを送りますが、本人確認には数日かかると説明されています。
登録前に、再設定用の電話番号とメールアドレスを追加しておくことも案内されています。やめたいときは、ログイン済みの端末でGoogleアカウントの「セキュリティ」のページにある「高度な保護機能プログラム」から「登録解除」を選びます。
>>高度な保護機能プログラムに関するよくある質問（Googleアカウント ヘルプ）
▶ 関連記事：セキュリティキーのおすすめは？TitanとYubiKeyの違い、何年使えるか
※2026年10月30日時点・Googleアカウント ヘルプ、高度な保護機能プログラムの公式ページより
忘れがちなスマホのロックと盗難対策
パスキーやGoogleからのメッセージは、スマホのロックを解除できる人なら使えてしまいます。Googleアカウントを守るには、スマホそのものの守りも欠かせません。
iPhone：パスコードと「盗難デバイスの保護」
iPhoneのパスコードは、「設定」→「Face IDとパスコード」（ホームボタンのある機種は「Touch IDとパスコード」）で設定します。Appleの案内では標準は6桁で、「パスコードオプション」から4桁の数字コード、カスタムの数字コード、カスタムの英数字コードも選べます。編集部としては、4桁にせず、標準の6桁以上のままにしておくのがおすすめです。
iOS 17.3以降では「盗難デバイスの保護」も使えます。パスコードを知られても、よく知っている場所以外ではFace IDやTouch IDが必要になる機能です。パスワードの変更など一部の大事な変更は、1時間待ってからもう一度顔や指紋で確かめる必要があります。
- 「設定」→「Face IDとパスコード」（または「Touch IDとパスコード」）を開き、パスコードを入力
- 「盗難デバイスの保護」をタップしてオンにする
使うには、Apple Accountの2ファクタ認証、Face IDかTouch ID、位置情報サービスの「利用頻度の高い場所」、「探す」がオンになっている必要があります。
>>iPhoneのパスコードについて（Apple サポート）
>>iPhoneの盗難デバイスの保護について（Apple サポート）
Android：画面ロックと「盗難保護」
Androidの画面ロックは、「設定」→「セキュリティ」→「画面ロック」で選びます（機種により表示が違います）。Googleのヘルプでは、PINは6桁がすすめられていて、安全なパスワードがいちばん強い画面ロックとされています。
盗難対策は、「設定」→「Google」→「すべてのサービス」→「盗難保護」にまとまっています。
- 盗難検出ロック：ひったくりのような動きを検出して画面を自動でロック
- オフラインデバイスロック：ネットから切断されたときに画面を自動でロック
- リモートロック：確認済みの電話番号を使い、android.com/lock から画面をロック
- IDチェック：信頼できる場所以外では、大事な操作に生体認証を求める（一部の端末のみ）
グレー表示の機能や、項目が出ない機能は、その端末では使えません。
>>Androidの画面ロックについて（Androidヘルプ）
>>Androidの盗難保護について（Androidヘルプ）
※2026年10月30日時点・Apple サポート、Androidヘルプより
【まとめ】Googleアカウントのセキュリティ設定は「まず4つ」から
Gmailには、ほかのサービスのパスワード再設定のメールが届くため、Googleアカウントの守りはネット全体の守りにつながります。まずはパスキー、2段階認証プロセス、再設定用の連絡先、セキュリティ診断の4つを済ませ、余裕ができたらバックアップコードや転送・連携アプリの見直しに進みましょう。スマホの画面ロックと盗難対策も、今日のうちに確かめておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月30日時点のものです。
