Googleアカウントは、Gmail、Google Drive、Googleフォト、YouTube、Androidスマートフォン、Chromeの同期など、多くのサービスにつながっています。特にGmailは、他のサービスでパスワードを忘れた時の再設定メールの受け取り先になっていることが多く、Googleアカウントを守ることは、他のアカウントを守ることにも直結します。
2段階認証プロセスを設定すると、パスワードが漏れてしまった場合でも、第三者による不正ログインを防ぎやすくなります。一般に二段階認証や2要素認証と呼ばれることもありますが、Googleアカウントの画面では「2段階認証プロセス」と表示されます。この記事でも、この表記で統一します。
現在のGoogleアカウントには、パスワードと2つ目の手順でログインする方法のほかに、指紋や顔認証などを使うパスキーでログインする方法もあります。パスキーは、パスワードの後に入力する確認コードとは別の仕組みです。設定を始める前にこの違いを押さえ、スマートフォンが使えなくなった時の復旧手段と、バックアップコードの保管場所まで考えておくと、アカウントへ入れなくなる事態を避けやすくなります。
なお、会社や学校のGoogleアカウントでは、管理者が設定を管理している場合があります。また、画面や項目の名前は、アカウントの状態、端末、管理状態によって異なる場合があります。
この記事で分かること
- 2段階認証プロセスとパスキーの違い
- Googleアカウントで2段階認証プロセスを有効にする手順
- Googleからのメッセージ・認証アプリ・SMS・セキュリティキーの使い分け
- バックアップコードの作り方と保管方法
- 信頼できる端末を使う時の注意
- スマートフォン紛失時やログインできない時の備え
- 心当たりのない通知・確認コードへの対処
目的がはっきりしている場合は、次の中から近い章へ進んでください。
- 2段階認証とパスキーの違いを知りたい
- Googleアカウントで2段階認証を有効にしたい
- ログイン方法を選びたい
- バックアップコードと復旧手段を準備したい
- スマートフォンをなくした時の対処を確認したい
- 心当たりのない通知やコードへの対処を知りたい
2段階認証プロセスとパスキーの違い
この章では、設定を始める前に知っておきたい、パスワードと2つ目の手順を使うログインと、パスキーを使うログインの違いを整理します。
パスワードと2つ目の手順でログインする
2段階認証プロセスを設定したアカウントでは、パスワードを入力した後に、もう1つの確認（2つ目の手順）を求められる場合があります。2つ目の手順には、主に次のような種類があります。
- Googleからのメッセージ（スマートフォンに届く通知で許可する）
- Google認証システムなどの認証アプリに表示される確認コード
- SMSや音声通話で届く確認コード
- セキュリティキー（小型の物理デバイス）
- バックアップコード（他の方法が使えない時の予備）
どの確認方法が表示されるかは、Googleがログイン状況に合わせて選ぶ場合があり、毎回同じ手順が表示されるとは限りません。パスワードが第三者に知られても、2つ目の手順まで突破されなければ、すぐに不正ログインされる可能性を下げられます。
もちろん、パスワード自体を強くしておくことも引き続き大切です。パスワードの決め方や管理ツールの使い方は、パスワードを安全に管理する方法で解説しています。
パスキーでは第2段階を省略する場合がある
パスキーは、パスワードの代わりに、指紋認証、顔認証、端末の画面ロック（PINなど）を使ってログインする方法です。パスキーでログインすると、その端末を持っていてロックを解除できる本人であることを確認できるため、通常は2つ目の手順を別途求められません。
注意したいのは、パスキーは「パスワードを入力した後に使う確認コード」とは別の仕組みだという点です。認証アプリの6桁のコードやSMSのコードと混同すると、設定画面で迷いやすくなります。
また、指紋や顔などの生体情報そのものがGoogleへ送信されるわけではありません。生体認証は、端末の中でロック解除の確認に使われます。
パスキーを追加しても、いままでのパスワード、2つ目の手順、復旧手段が自動的に削除されるわけではありません。裏を返せば、パスキーを作った後も、パスワードと復旧手段の管理は引き続き必要です。
自分に合う方法を選ぶ
初心者がまず目指したいのは、次の3点です。
- 2段階認証プロセスを有効にする
- 予備の確認方法を1つ以上追加する
- 利用できる場合は、バックアップコードを作成して保管する
パスキーは便利な方法ですが、最初から必須ではありません。パスキーを作った端末を他人がロック解除できる場合は、その人がログインできてしまうため、かえって安全性が下がります。共有端末には作らず、自分だけが使う画面ロック付きの端末で検討してください。
Googleアカウントの保護は、2段階認証プロセスだけで完結するものではなく、強いパスワード、端末の画面ロック、復旧手段の整備と合わせて考えることが大切です。
設定前に確認すること
この章では、2段階認証プロセスを有効にする前に確認しておきたい、パスワード、画面ロック、再設定用の情報、アカウントの管理状態を整理します。
Googleアカウントのパスワードと端末の画面ロックを確認する
設定の途中で本人確認を求められることがあるため、現在のGoogleアカウントのパスワードを思い出せるか、先に確認しておきましょう。パスワードの管理方法も見直しておくと、この後の作業が楽になります。ただし、パスワードをメモ帳アプリなどへ平文のまま保存する方法は避けてください。
スマートフォンやパソコンの画面ロック（PIN、指紋、顔認証など）も確認しておきます。画面ロックは、Googleからのメッセージやパスキーを安全に使うための土台になります。
あわせて、次の項目もチェックしておくと、設定の途中で止まりにくくなります。
- 普段使っているスマートフォン以外に、利用できる端末があるか
- バックアップコードをどこに保管するか（後の章で詳しく説明します）
再設定用メールアドレスと電話番号を確認する
再設定用メールアドレスと再設定用電話番号は、パスワードを忘れた時やログインできなくなった時に、アカウントの復元に使う情報です。毎回のログインで使う「2つ目の手順」とは役割が違うため、別のものとして覚えておいてください。
設定する時は、次の点に注意しましょう。
- 現在も自分が管理していて、今後も使い続けられる連絡先を設定する
- 会社や学校のメールアドレスなど、退職・卒業で使えなくなる可能性がある連絡先は慎重に選ぶ
- 家族の電話番号を、本人の同意なしに登録しない
- 電話番号やメールアドレスを変更したら、Googleアカウント側の情報も更新する
再設定用メールアドレス自体が乗っ取られると復旧の入り口を失うため、そのメールアカウントにも強いパスワードと多要素認証を設定することを検討してください。なお、再設定用の情報があっても、必ず即座に復旧できるわけではありません。
会社・学校アカウントの管理状態を確認する
Google Workspaceなど、会社や学校が管理するGoogleアカウントでは、管理者が2段階認証プロセスを必須にしていたり、利用できるログイン方法を制限していたりする場合があります。設定項目が表示されない、変更できない、といった場合は、管理者や担当部署に確認してください。
個人アカウントと組織アカウントの両方を使っている場合は、どちらのアカウントで設定しようとしているかにも注意しましょう。
Googleアカウントで2段階認証プロセスを有効にする
この章では、2段階認証プロセスを有効にする基本の流れを説明します。全体の流れは次の図のとおりで、有効化した後に予備の方法と復旧手段を整えていきます。
Googleアカウントのセキュリティ設定を開く
まず、ブラウザでGoogleアカウントの管理画面を開き、セキュリティ設定を表示します。基本の流れは次のとおりです。
Googleアカウントの管理画面を開く
→ 「セキュリティとログイン」を開く
→ ログイン方法の一覧を確認する
→ 2段階認証プロセスを選ぶ
→ 画面上の手順に沿って設定する
スマートフォンの場合は、Googleアプリや端末の設定からGoogleアカウントの管理画面を開ける場合もあります。画面の表記が違う場合は、「セキュリティ」や「2段階認証」に相当する項目を探してください。
2段階認証プロセスをオンにする
ログイン方法の一覧から2段階認証プロセスを選び、画面上の手順に沿って進めます。このとき、次の点を知っておくとスムーズです。
- 途中で、パスワードやパスキーなどによる本人確認を再度求められる場合があります
- 最初に提示される確認方法は、アカウントの状態やログイン中の端末によって異なる場合があります
- 会社や学校のアカウントでは、すでに有効化済みだったり、必須になっていたり、自分では変更できなかったりする場合があります
画面の指示どおりに進めれば有効化は完了します。うまく進まない場合は、途中でやめずに、表示されているメッセージを確認してから対処を考えましょう。
設定後にログイン方法を確認する
有効化が終わったら、2段階認証プロセスの設定画面で、現在登録されているログイン方法（2つ目の手順）の一覧を確認します。どの方法が使える状態か、予備の手段があるかを把握しておくことが、この後の章の準備になります。
なお、設定直後に本番アカウントからログアウトして動作を試す必要はありません。別の安全なブラウザや端末で短いログイン確認をしたい場合は、バックアップコードなどの予備手段を準備してから行いましょう。すべての端末から一度にログアウトするのは、予備手段がないとアカウントへ戻れなくなるおそれがあるため避けてください。
2つ目の確認方法とパスキーを選ぶ
この章では、2つ目の手順として使える方法と、パスキーの特徴を1つずつ説明します。どれか1つに絞るのではなく、種類の違う方法を組み合わせておくと、1つが使えなくなっても困りにくくなります。
Googleからのメッセージを使う
Googleからのメッセージは、ログインしようとした時に、対応するスマートフォンへ通知が届き、その通知で許可するかどうかを選ぶ方法です。AndroidではGoogleアカウントへログインしているスマートフォンが対象になります。iPhoneでは、Gmailなど対応するGoogleアプリへログインしている場合に受信できることがあります。
通知には、ログインしようとしている端末、場所、時刻などが表示される場合があり、画面に表示された番号を選ぶ「番号照合」を求められることもあります。表示される内容は、ログイン状況や端末によって異なる場合があります。
使う時は、自分が開始したログインかどうかを必ず確認してから許可してください。心当たりがない通知は拒否します。
Googleからのメッセージは、SMSで届くコードと比べて、電話番号を狙う攻撃（SIMスワップなど）に強い方法として検討できます。ただし、通知が届けば必ず安全というものではなく、内容を確認せずに許可すれば意味がなくなります。
また、スマートフォンがオフライン、電源切れ、紛失といった状態では使えないため、別の方法もあわせて用意しておきましょう。ログイン済みの端末が複数あると、複数の端末へ通知が届く場合があります。使わなくなった端末からGoogleアカウントをログアウトすると、その端末への通知を止められます。
Google認証システムなどの認証アプリを使う
認証アプリは、一定時間ごとに変わる確認コードを表示するアプリです。インターネット接続や携帯電話サービスがなくても確認コードを生成できるため、電波の弱い場所や海外でも使いやすい方法です。Google認証システムのほか、対応する他社の認証アプリを使える場合もあります。
設定の基本の流れは次のとおりです。
- Googleアカウントの2段階認証プロセスの設定画面で、認証アプリの追加を選ぶ
- 表示されたQRコードをスマートフォンの認証アプリで読み取る（またはセットアップキーを入力する）
- 認証アプリに表示された確認コードを入力して、設定を完了する
QRコードやセットアップキーは、確認コードを生成するための秘密情報です。第三者に見せたり、スクリーンショットを共有したりしないでください。
Google認証システムへGoogleアカウントでログインすると、対応する版では確認コードを複数の端末へ同期できます。同期を使うと機種変更時にコードを引き継ぎやすくなりますが、どの端末でコードを表示できるかが変わるため、端末の管理方針とあわせて判断してください。同期を使わない場合は、機種変更の前に、コードの移行やエクスポートの方法を必ず確認しておきましょう。
コードを入力してもエラーになる時は、コードの有効期限が切れていないか、別のアカウントのコードを見ていないか、端末の日時設定が自動になっているかを確認してください。
認証アプリだけを唯一のログイン手段にせず、バックアップコードや別の方法もあわせて登録しておきましょう。
SMS・音声通話を使う
SMS・音声通話は、登録した電話番号へ確認コードが届く方法です。SMSで受け取るか、音声通話で聞くかを選べる場合があります。
手順が分かりやすい一方で、次のような注意点があります。
- 携帯通信会社の料金が発生する場合がある
- 海外、圏外、電話番号の変更、SIMのトラブルなどで受け取れない場合がある
- 電話番号を狙う攻撃や、コードをだまし取るフィッシングの危険がある
SMSだけに依存せず、Googleからのメッセージ、認証アプリ、パスキー、セキュリティキーなども検討してください。届いた確認コードは、理由を問わず他人へ教えないことが大前提です。
また、ログインにGoogleアカウント自体が必要な電話番号サービス（Google Voiceなど）を2つ目の手順に使うと、ログインできない時にコードも受け取れなくなるおそれがあるため、避けた方がよいでしょう。
パスキーを使う
パスキーは、指紋認証、顔認証、端末のPIN・画面ロックなどを使ってログインする方法です。対応する画面では、パスワードを入力せずにログインできる場合があります。2段階認証プロセスが有効なアカウントでも、パスキーでログインすると2つ目の手順を省略します。
パスキーはGoogleアカウントの設定画面から作成でき、作成したパスキーは端末または端末の認証情報管理機能（パスワードマネージャーなど）へ保存されます。指紋や顔のデータがGoogleアカウントへ保存されるわけではありません。
パスキーを作成すると、パスワードより先にパスキーを求める動作になる場合があります。「可能な場合はパスワードをスキップする」に相当する設定がある場合は、現在の状態を確認してください。パスワードを先に使いたい場合は、この設定を変更できる場合があります。
パスキーを使う時の注意点です。
- 共有端末や、他人がロック解除できる端末にはパスキーを作らない
- 端末を売却・譲渡する前に、その端末のパスキーとGoogleアカウントの状態を確認する
- 端末を紛失したら、Googleアカウント側からその端末のパスキーを削除する
- Androidで自動的に作成されたパスキーは、紛失した端末をGoogleアカウントからログアウトして無効にする
- Googleアカウント側でパスキーを削除しても、端末側の認証情報管理機能に情報が残る場合があるため、端末側も確認する
パスキーがあるからといって、バックアップ手段が不要になるわけではありません。パスワードと復旧手段は引き続き管理してください。
セキュリティキーを使う
セキュリティキーには、USBやNFCで接続する物理キーのほか、対応するスマートフォンの組み込みセキュリティキーがあります。2つ目の手順として使用できるキーがあり、FIDO2に対応したキーにはパスキーを保存できる場合もあります。パスキーとして使う場合と、2つ目の手順として使う場合は動作が異なるため、混同しないようにしてください。
セキュリティキーは、フィッシングへの耐性を高めたい場合に検討する選択肢で、購入が必須というものではありません。使う場合は、次の点に注意しましょう。
- 手持ちの端末と接続方式（USB端子の形状、NFC対応など）が合うか確認する
- 紛失に備えて予備のキーを検討する
- 予備のキーは、主に使うキーと同じ場所に保管しない
バックアップコードと復旧手段を準備する
この章では、バックアップコードなどの予備のログイン方法と、再設定用情報の準備を説明します。
バックアップコードを作成して安全に保管する
バックアップコードは、スマートフォンが使えない時などに、2つ目の手順の代わりに入力する予備のコードです。2段階認証プロセスを有効にした後に、設定画面から作成できます。ただし、アカウントの種類や設定によっては利用できない場合もあります。
仕組みの要点は次のとおりです。
- 10個のバックアップコードが1セットとして作成される
- 各コードは8桁で、1回だけ使用できる
- 使用したコードは無効になる
- 新しいセットを作成すると、以前のセットは自動的に無効になる
コードを発行する前に、どこへ保管するかを決めておきましょう。保管先の候補です。
- パスワード管理ツールの保護されたメモ
- 印刷して、自宅の安全な場所に保管
- 暗号化や端末ロックで保護された保管場所
逆に、次のような保管は避けてください。
- パスワードとバックアップコードを同じ平文ファイルへ保存する
- メール本文や自分宛てのチャットへそのまま送る
- デスクトップに内容が分かる名前で保存する
- スマートフォン1台だけに保存する（そのスマートフォンをなくすと共倒れになります）
クラウドへ保存すれば必ず安全、というわけでもありません。保存先そのものが強いパスワードと多要素認証で守られているかを確認してください。
運用面では、次の点に注意しましょう。
- コード一覧を画面に表示したまま離席しない
- 共有PCでダウンロードしない（ダウンロードファイル名にアカウントのユーザー名が含まれる場合があります）
- 印刷した場合は、プリンターへの置き忘れや印刷履歴に注意する
- 1つ使用したら、使用済みと分かるように印を付けて管理する
- 紛失・漏えいした可能性がある場合は、新しいセットを作成する（古いセットは無効になります）
Googleがバックアップコードの入力を求めるのは、通常はログイン画面で使用する時です。メール、電話、チャット、サポートを名乗る相手から尋ねられても教えないでください。なお、高度な保護機能プログラムを利用している場合は、バックアップコードをダウンロードできない場合があります。
複数のログイン方法を登録する
2つ目の手順が1種類だけだと、その方法が使えなくなった時にログインしづらくなり、アカウント復元が必要になる場合があります。種類の違う方法を組み合わせて登録しておきましょう。
- Googleからのメッセージ＋バックアップコード
- 認証アプリ＋バックアップコード
- スマートフォンの方法＋パソコンで使えるパスキーやセキュリティキー
同じスマートフォン1台にすべての方法をまとめると、その1台をなくした時に全部使えなくなります。できるだけ、別の端末や紙など、置き場所の違う手段を混ぜてください。
再設定用情報と古い端末を見直す
2段階認証プロセスの設定とあわせて、アカウント復元に使う再設定用メールアドレスと再設定用電話番号が最新かどうかも確認しておきましょう。機種変更や番号変更の後に古い情報が残っていると、いざという時に使えません。
また、ログイン中の端末一覧に、使わなくなった古い端末が残っていないかも確認してください。使っていない端末は、Googleアカウントのデバイス画面からログアウトしておくと、通知の誤配や不要なログイン経路を減らせます。
標的型攻撃の危険が高い場合は高度な保護機能を検討する
ジャーナリスト、活動家、政治関係者など、標的型攻撃を受ける危険が高い人向けに、高度な保護機能プログラムという仕組みがあります。参加にはパスキーまたはセキュリティキーが必要で、一部のサードパーティアプリの利用やアカウント復元に制限・追加の手順があります。バックアップコードをダウンロードできない場合があるため、代わりに予備のパスキーまたはセキュリティキーと、再設定用の情報を整えておきましょう。
保護は強力ですが、その分だけ使い方の制約も増えるため、一般の利用者全員に必要なものではありません。危険度の高い使い方をしている場合の追加の選択肢として覚えておけば十分です。
ログイン時と信頼できる端末の注意点
この章では、実際のログイン画面で確認したいポイントと、「信頼できる端末」の扱い、2段階認証プロセスの後にアプリへログインできない場合の考え方を説明します。
自分が開始したログインか確認する
ログイン時に2つ目の手順を求められたら、入力する前に次の点を確認する習慣をつけましょう。
- ログインしようとしているサービスと、ブラウザのアドレス（ドメイン）
- そのログインを自分がいま開始したかどうか
- 表示されている端末や地域に心当たりがあるか
- 番号照合が表示された場合は、ログイン画面と同じ番号か
- 使おうとしている2つ目の手順が、自分が登録したものか
ログイン画面には、別の確認方法へ切り替える「別の方法を試す」に相当する項目や、「このパソコンでは次回から表示しない」といったチェックが表示される場合があります。それぞれの意味を知っておくと、いざという時に落ち着いて操作できます。
共有端末を信頼できる端末にしない
「このパソコンでは次回から表示しない」に相当するチェックをオンにすると、その端末では2つ目の手順を省略できる場合があります。これは、自分だけが使う、画面ロックされた端末でのみ検討してください。
次のような端末では選ばないでください。
- 共有パソコン
- 学校や職場の共用端末
- ネットカフェのパソコン
- 家族と共有している端末
- 一時的に借りた端末
信頼できる端末にしても、状況によっては再度本人確認を求められる場合があります。ブラウザのCookieを削除した場合や、別のブラウザを使う場合も、再度確認を求められることがあります。「一度信頼すれば以後確認されない」という仕組みではありません。不要になった端末は、Googleアカウントのデバイス画面からログアウトしておきましょう。
共有端末では、信頼できる端末の登録以外にも、次の操作を避けてください。
- ログイン状態を維持したまま離れる
- ブラウザにパスワードを保存する
- パスキーを作成する
- バックアップコードをダウンロードする
- 認証アプリのQRコードを表示したまま離席する
共有端末のChromeへGoogleアカウントでログインすると、同期によってブックマークやパスワードなどがその端末に残る場合があります。同期の仕組みと確認方法は、Chromeの同期設定を確認して安全に使う方法で解説しています。
2段階認証プロセスの後にアプリへログインできない場合を確認する
2段階認証プロセスを有効にすると、一部の古いメールアプリや機器で、再ログインが必要になったり、ログインできなくなったりする場合があります。
通常のGoogleログイン（ブラウザと同じログイン画面が開く方式）に対応しているアプリでは、まずそのログインを使ってください。それでも接続できない古いアプリのために、アプリパスワードという専用のパスワードを作成できる場合があります。
アプリパスワードを使う時の注意点です。
- 必要な場合だけ作成する
- 通常のパスワードと同じ秘密情報として扱い、他人へ教えない
- 不要になったアプリパスワードは削除する
- Googleアカウントのパスワードを変更すると、作成済みのアプリパスワードは無効になり、作り直しが必要になる
- すべてのアカウントで表示されるとは限らない（セキュリティキーのみで2段階認証プロセスを設定している場合、会社・学校のアカウント、高度な保護機能を利用している場合など）
アプリパスワードは古い方式との橋渡しであり、多用するものではありません。詳しくは、この後の「よくある不安と対処法」でも触れます。
スマートフォンをなくした時とログインできない時の対処
この章では、2つ目の手順に使っていたスマートフォンをなくした時、ログインできなくなった時の対処を、試す順番に沿って説明します。あわてて全部の端末からログアウトしたり、復旧手段を一度に削除したりしないことが大切です。
「別の方法を試す」から予備の手段を使う
まず、いま使える予備の手段がないかを順番に確認します。
- ログイン画面に「別の方法を試す」に相当する項目がないか確認する
- Googleアカウントへログイン済みの別のスマートフォンや端末がないか確認する
- 別の端末に作成したパスキーや、手元のセキュリティキーが使えないか確認する
- 保管してある未使用のバックアップコードを使う
- よく使う端末・ブラウザ・場所からログインを試す（見慣れた環境の方が本人確認が進みやすい場合があります）
日頃からこの記事の前半の準備をしておくと、この段階のどれかでログインできる可能性が高くなります。
紛失した端末・パスキー・コードを無効にする
別の手段でログインできたら、なくした端末を放置せず、アカウント側から整理します。
- Googleアカウントのデバイス画面で、紛失・盗難にあった端末を確認し、その端末をログアウトする
- 盗難や不正利用が疑われる場合は、Googleアカウントのパスワードを変更する
- 紛失した端末に作成していたパスキーや、なくしたセキュリティキーをアカウントから削除する
- 紛失したバックアップコードがある場合は、新しいセットを作成する（古いセットは無効になります）
このとき、ログイン済みの端末をすべて一度にログアウトするのは避けてください。手元に残っている正常な端末までログアウトすると、復旧の経路そのものを失うおそれがあります。問題のある端末を確認して、個別にログアウトするのが基本です。心当たりのない端末が見つかった場合は、ログアウトだけで済ませず、パスワードの変更とセキュリティの確認まで行いましょう。
利用できる方法がない場合はアカウントを復元する
どのログイン方法も使えない場合は、Googleアカウントの復元手続き（アカウント復元）を行います。画面の質問に答えて本人確認を進める仕組みで、次の点を知っておいてください。
- 本人確認には時間がかかる場合があり、すぐに結果が出るとは限りません
- 再設定用メールアドレスがあれば必ずログインできる、というものではありません
- よく使っていた端末・ブラウザ・場所から手続きすると、本人確認が進みやすい場合があります
また、「アカウント復旧を代行します」とうたう業者や、サポートを名乗る第三者へ、パスワードやコードを渡さないでください。Googleが電話でアカウント復旧を代行することはありません。
仕事・学校のアカウントは管理者へ連絡する
会社や学校のGoogleアカウントで端末をなくした場合や、ログインできなくなった場合は、自分で復元手続きを繰り返す前に、管理者や担当部署へ連絡してください。管理者側でログイン方法の再設定などに対応できる場合があります。組織の復旧手順が定められている場合はそれを優先し、管理ポリシーを回避するような方法は使わないでください。
不審な認証通知と確認コード詐欺に注意する
この章では、心当たりのない通知や確認コードが届いた時の対処と、コードをだまし取る詐欺の見分け方を説明します。
心当たりのないGoogleからのメッセージを拒否する
自分がログイン操作をしていないのに、Googleからのメッセージの通知が届いた場合は、許可せずに拒否してください。誰かがあなたのパスワードを使ってログインを試みている可能性があります。
拒否した後は、それで終わりにせず、Googleアカウントのパスワード変更と、後述するセキュリティの確認まで行うことをおすすめします。通知を拒否しただけでは、パスワードが漏れている状態は解決していません。
確認コード・バックアップコードを他人へ教えない
確認コードやバックアップコードは、ログイン画面へ自分で入力する以外の使い道がありません。次のような連絡は、内容がもっともらしくても信用しないでください。
- 「本人確認のためコードを教えてください」
- 「アカウント停止を防ぐためコードを送ってください」
- 「サポート担当なのでバックアップコードが必要です」
- 「誤ってあなたの番号へコードを送りました。返してもらえますか」
- 「すぐ許可しないとアカウントが削除されます」
Googleが電話で確認コードを尋ねることはありません。心当たりのないSMSコードが届いた場合も、そのコードを使ったり、他人へ伝えたりしないでください。
メールやSMSのリンクからログイン画面を開くのではなく、ブラウザで自分からGoogleアカウントを開いて確認する習慣をつけると、偽のログインページへ誘導される危険を減らせます。ログインページでは、アドレスのドメインを確認してください。
最近のセキュリティアクティビティと端末を確認する
心当たりのない通知やログインがあった場合は、Googleアカウントの設定画面で次の3点を確認します。
- 最近のセキュリティアクティビティ（見覚えのないログインや設定変更がないか）
- ログイン中の端末の一覧（心当たりのない端末がないか）
- Googleアカウントへアクセスできるサードパーティアプリ（許可した覚えのない連携がないか）
不正利用が疑われる場合は、パスワードを変更したうえで、セキュリティ診断を実行して、指摘された項目を順に見直してください。同じパスワードを他のサービスでも使い回していた場合は、そちらのパスワードも変更しましょう。
よくある不安と対処法
この章では、2段階認証プロセスの設定でよくある疑問への考え方をまとめます。
SMSだけでも設定できますか
SMSだけでも、パスワードだけの状態より保護を強化できます。設定しないよりは設定した方がよい、というのが基本の考え方です。
そのうえで、SMSは電話番号を狙う攻撃や受信できない状況に弱いため、利用できる場合はバックアップコードを作成し、可能であればGoogleからのメッセージ、認証アプリ、パスキー、セキュリティキーなどの追加も検討してください。
パスキーを作るとパスワードは不要になりますか
対応するログインでは、パスキーを優先して、パスワード入力を省略できる場合があります。ただし、既存のパスワードや復旧手段が自動的に削除されるわけではありません。
パスキーが使えない場面では、「別の方法を試す」から以前のログイン方法を使える場合があります。パスワードを先に使う設定へ戻せる場合もあります。パスワードを忘れてよくなるわけではないため、パスワードの管理は続けてください。
2段階認証プロセスを無効にできますか
個人アカウントでは、設定画面から無効化できる場合があります。ただし、無効にするとパスワードだけの保護に戻り、不正ログインへの備えは弱くなります。
無効化する前に、次を確認してください。
- 保存してあるバックアップコードの扱い（無効化後は使えなくなるため、控えを処分するかどうか）
- アプリパスワードを使っているアプリへの影響（無効化するとエラーになる場合があります）
会社や学校のアカウントでは、管理者の設定により無効化できない場合があります。また、ログインで困りごとがあった時に、すぐ無効化で解決しようとするのは避けてください。まずは、登録しているログイン方法とバックアップ手段の見直しから始めるのが安全側の対処です。
古いメールアプリへログインできなくなりました
2段階認証プロセスを有効にした後、古いメールアプリなどでログインエラーになる場合は、次の順で確認してください。
- アプリとOSを最新の状態へ更新する
- そのアプリが通常のGoogleログインに対応しているか確認し、対応していればそちらでログインし直す
- どうしても必要な場合のみ、アプリパスワードの利用を検討する
通常のGoogleパスワードを、対応していない第三者アプリへ直接入力する方法は避けてください。古いアプリを使い続けるより、対応した新しいアプリへ移行する方が、長い目で見ると手間も危険も減らせます。
仕事・学校のアカウントでも設定できますか
会社や学校のGoogleアカウントでは、管理者が2段階認証プロセスを必須にしている場合や、利用できるログイン方法を制限している場合があります。自分で有効化・無効化できないこともあります。
設定について分からないことがある場合や、端末をなくした場合は、管理者や担当部署へ連絡してください。組織のルールで決められた手順がある場合はそれに従い、管理ポリシーを回避する方法は使わないでください。
まとめ
Googleアカウントは、GmailやGoogleフォト、YouTube、Androidスマートフォンなど、生活の多くの場面につながる大切なアカウントです。パスワードだけに頼らず、2段階認証プロセスで守りを増やしておきましょう。
この記事のポイントです。
- 2段階認証プロセスは「パスワード＋2つ目の手順」、パスキーは「画面ロックなどで本人確認するログイン方法」で、別の仕組み
- 設定前に、パスワード、画面ロック、再設定用メールアドレス・電話番号を確認する
- 有効化したら、Googleからのメッセージや認証アプリなど、種類の違う方法を1つ以上追加する
- 利用できる場合は、バックアップコード（10個・8桁・各1回限り）を作成して保管する
- 共有端末を信頼できる端末にせず、パスキーの作成やコードの保存もしない
- スマートフォンをなくしたら、予備の手段でログインし、紛失した端末・パスキー・コードを個別に整理する
- 心当たりのない通知やコードは拒否し、コードは誰にも教えない
一度にすべてを完璧にする必要はありません。まずは2段階認証プロセスを有効にして、予備の確認方法を1つ追加し、利用できる場合はバックアップコードの保管まで進めておけば、スマートフォンをなくした時にも落ち着いて対処しやすくなります。