復旧先メールアドレスは、各サービスのアカウントに登録された再設定用の宛先で、復旧用メールアカウントと同じとは限りません。
緊急度を判断する
最初に、使い回しだけが分かっているのか、漏えいや不正利用の兆候があるのかを分けます。
| 状態 | 先にすること |
|---|---|
| 使い回しに気づいただけ | 復旧経路と金銭に関わるアカウントから固有パスワードへ変更します。 1サービスずつ変更する |
| サービスから漏えい通知が届いた | 公式発表で流出対象を確認し、パスワードが対象なら同じものを使うサービスを変更します。使い回しの解消自体は公表を待つ必要はありません。 通知・入力後の判断へ |
| 不審なログイン通知や登録情報の変更がある | 公式のアカウント保護手順からセッション、登録情報、復旧先を確認します。 ログイン状態の確認へ |
| ログインできない、購入や送金に異常がある | サービスの公式復旧窓口や金融機関へ連絡し、「不正ログインされた場合の初期対応」へ進みます。 公式復旧・決済窓口へ |
変更作業は、メールで届いたリンクではなく、公式アプリや保存済みの公式URLから行います。
使い回しに気づいたら、どのアカウントから変える？
変更の順番と、変更後に確認する項目を整理するための例示会話です。
実在の相談記録ではありません。本文で確認した事実を、迷いやすい場面に置き換えています。
使い回しが分かったけれど、全部を同時に変えられない。どこから始めればいい？
他のサービスの復旧経路になるメール、AppleやGoogleのアカウント、金融や決済に関わるものから固有パスワードへ移行しよう。
漏えい確認サービスで問題が出なければ、変更を待ってもいい？
確認できる範囲には限りがあるよ。使い回しが分かった時点で、結果を待たずに変更し、ログイン履歴や復旧先も確認しよう。
今すぐ変更するアカウント
使い回しに気づいただけなら、他サービスの再設定に使うメール、Google・Apple、金融・決済、保管庫など、復旧経路と影響を見て順番を決めます。不正送金やカード利用がある場合は、この順番より先に金融機関の公式窓口へ連絡します。
- 復旧用メールアカウント：そのメール自体のパスワード・ログイン状態・再設定先を確認します。
- Google・Apple：端末・バックアップ・保存情報と関係するアカウントを確認します。
- 銀行・カード・決済：使い回しの変更と、不審な取引への連絡を別々に進めます。
- パスワードマネージャー：使っている製品の入口と復旧条件を確認します。すべてがマスターパスワード方式とは限りません。
- SNS・通販・クラウド：支払い方法・配送先・共有情報も確認します。
組織の管理アカウントは所属先の手順を優先します。本人のアカウントや設定を第三者が無断で変更しません。IPAの使い回し・不正ログイン後の案内に基づき、被害がある場合は保護と復旧を先行させます。
使い回しで被害が広がる仕組み
パスワードリスト攻撃は、別の場所で漏れたIDとパスワードの組み合わせを、複数のサービスで試す攻撃です。
一つのサービスで認証情報が漏れると、攻撃者が同じ組み合わせを別のサービスでも試せるため、使い回しが被害の連鎖につながります。
漏えいの原因は、サービス側のデータ侵害、フィッシング、マルウェア、端末の不正利用など一つに限りません。
利用者が慎重に操作していても、サービス側の事故を利用者だけで防げない場合があります。
そのため、漏えいの有無を待つのではなく、サービスごとに異なるパスワードを使う状態へ移行します。
アカウントを棚卸しする
重要度で分類する
一覧にはサービス名、ログインID、復旧先を使えるか、同じパスワードの組み合わせ、決済の有無、対応日と未完了項目を記録します。一覧にパスワード本文・確認コード・バックアップコードを書き並べません。「使い回しA」などの自分に分かる区分で記録できます。
例：サービスA／使い回しA／変更済み／保存情報更新済み／本人ログイン確認済み／復旧確認は未完了。これは作業記録で、ログイン情報を保管する専用の保管庫とは分けます。記録自体も第三者に見られない場所へ置きます。
固有パスワードへ移行する
1サービスずつ変更する
マルウェア感染や相手の遠隔操作が疑われる端末では、新しい認証情報を入力し続けず、別の安全な端末から変更・復旧します。管理端末は所属先の窓口へ相談します。
- 公式入口を開く：普段の公式アプリ・保存済みURLから、自分の対象アカウントと変更画面を確認します。復旧先が使えるか、本人の手元で確認します。
- サービス側で変更する：そのサービスの条件を満たす、他で使っていないパスワードを設定し、変更を完了します。安全な生成機能を使う場合も、公式の変更画面へ入力・確定する操作が必要です。
- 保管情報を更新する：保存確認が出たら、対象サービスとログインIDを確認して新しい情報へ更新します。保管庫の文字列を編集しただけでは、サービス側の変更が済んだと扱いません。
- 本人の再ログインを確認する：復旧手段を残したまま、公式経路で新しい情報によるサインインを一度確認します。全端末から一括ログアウトして試す必要はありません。パスキーで入れたことだけを、パスワード変更の確認にしません。
- 記録を残す：変更日、保存先の更新、本人のログイン、未完了の復旧確認を記録し、次の使い回し先へ進みます。
保存情報の編集とサービスの変更は役割が異なります。Googleの保存・編集・チェックアップ案内と、以下の各サービスの変更手順を併せて確認します。
Googleのパスワードを変更する例
Google アカウント→セキュリティとログイン→Google にログインする方法→パスワードへ進み、本人確認と変更を完了します。Googleの変更手順は、変更後にもログアウトされない例外があることを説明しています。
Apple Accountを変更する例
本人の信頼できるiPhoneで設定→自分の名前→サインインとセキュリティ→パスワードの変更へ進みます。セキュリティ遅延等が出た場合は画面とAppleの公式手順に従います。これはApple Accountの変更で、同じ文字列を使っていた別の通販やSNSのパスワードをまとめて変更する機能ではありません。
変更できない・復旧先が本人のものではない
Googleは公式のアカウント復元、Appleはiforgot.apple.comから進みます。パスワードを戻すだけで解決しようとせず、Googleの不正利用後の確認、Appleの確認・復旧と不正ログインの初期対応へ。銀行・カードに異常がある場合は、アカウント復旧とは別に契約先へ連絡します。
多要素認証を有効にする
固有パスワードへの変更、MFAの設定、パスキーの登録、復旧準備は別の作業です。異なる種類の認証要素を組み合わせるMFAの考え方はNISTの定義を参照できます。画面の「2段階認証」という名称だけで、すべてのサービスに同じ登録・復旧操作を当てはめません。
利用可能な方式と、スマホを失った場合に使える復旧方法を確認してから追加します。具体操作はGoogleの設定例とAppleの設定例へ。新しい方法で本人が入れることを確認する前に、既存の方法や最後の信頼端末を削除しません。
パスキーを追加したら、使い回しは消える？Googleでは追加しても既存の認証・復旧要素は変更・削除されず、パスワードによるログインも残ります。Googleで同じパスワードが残っているなら、その変更も別に行います。Googleのパスキー仕様を、全サービスの仕様として一般化しません。
漏えい確認と変更のタイミング
パソコンのChromeの例：その他（︙）→パスワードと自動入力→Google パスワード マネージャー→左側のCheckupで、保存したパスワードの指摘を確認できます。対象サービス側で変更し、保存先も更新します。Googleの現在の案内が対象としているのは保存した情報です。使っている全サービスや未公表の侵害が「問題なし」と証明される検査ではありません。
漏えい確認サービスは、確認できるデータの範囲と更新時期を確認してから使います。
Have I Been PwnedやMozilla Monitorなどは、メールアドレスが公表されたデータ侵害情報に含まれるかを確認する入口になります。
Googleアカウントやブラウザに保存したパスワードは、Google パスワード マネージャーの公式案内から確認します。
確認結果に問題がなくても、まだ公表されていない漏えいや、別の漏えい経路まで否定できるわけではありません。
次の状態では、漏えい確認の結果を待たずに変更します。
- 不正ログインや不審な操作の通知がある
- フィッシングサイトに入力した
- 端末でマルウェア感染が疑われる
- サービスから認証情報の変更を求められた
- 同じパスワードを使い回していることが分かった
入力先がフィッシングサイトだった場合は、「フィッシングメールの見分け方と入力後の対処」の入力後対応も確認します。
パスワードマネージャーの役割と限界
パスワードマネージャーは、サービスごとの認証情報を暗号化して保管し、固有パスワードの生成や自動入力を支援する仕組みです。
専用製品のマスターパスワード方式と、アカウント・端末で管理する内蔵機能では、入口と復旧条件が異なります。Google パスワード マネージャーは、Googleアカウントへの保存と端末内への保存を区別しています。製品の保管方法を確認しながら、固有パスワードへ移行します。
使っている製品の認証方法、復旧手段、端末、提供事業者の仕様を別に確認する必要があります。
自動入力が表示されないことは、アクセス先を確認する材料になりますが、すべてのフィッシングを防ぐ保証ではありません。
製品の選び方や復旧条件は、「パスワードマネージャーとは何か」で確認します。
移行後に確認すること
パスワード変更の後に確認すること
「変更済み」だけで終えず、次の4項目を別々に確認します。本人が使っている端末・連携・復旧先は一律に削除しません。
- 保存情報：対象サービスとIDの新しい保存情報で本人が入れるか。
- ログイン状態：Googleは
セキュリティとログイン→お使いのデバイス→すべてのデバイスを管理で、心当たりのない対象のログアウトとログアウト済みを確認します。場所・時刻だけで不正と断定せず、端末や操作内容も確認します。 - 復旧と認証：復旧先のメール・電話番号が本人のものか、MFAの方法と失った場合の手段が使えるか。GoogleのバックアップコードとAppleの信頼先は別の仕組みです。
- 操作履歴：不明な登録情報・メール転送・連携・配送先・注文・送金がないか。異常があれば、サービスと金融機関の公式窓口へ進みます。
Googleのログイン状態は公式のデバイス・セッション説明、Appleはaccount.apple.comのデバイスと不正利用後の案内で確認します。Appleでは知らないデバイスだけを対象にし、自分の紛失端末を「探す」から削除しません。スマホ紛失の手順へ進めます。
ひとまず完了：使い回し対象ごとの変更・保存更新・本人ログインを確認し、復旧手段と未対応のサービスを記録できた状態です。不明な設定や取引が残る場合は、通常の移行完了と分けて対応を続けます。
よくある質問
パスワードは定期的に変更する必要がありますか？
漏えいや不正利用の兆候がないのに一律の周期で変更するより、使い回しの解消、漏えい通知、入力後の変更を優先します。
サービスが変更周期を指定している場合は、その公式案内に従います。
パスワードマネージャーのマスターパスワードを忘れました。
製品によって復旧方法が異なり、復旧できない場合もあります。
登録時に公式案内を確認し、復旧キーや予備の認証手段を安全に保管します。
参考資料
一次資料確認：2026年10月4日。メニュー例は指定したサービス・端末向けです。実アカウントで変更・削除・復旧した検証ではありません。各操作の直後に公式資料をリンクしています。
最終更新日：