2026年の秋は、情報漏洩や不正アクセスのニュースが続きました。9月から10月にかけて、国内の複数の会社やサービスで個人情報が漏れ、10月7日から9日には、個人情報保護委員会や JPCERT/CC、警察庁、IPA などが、そろって注意を呼びかけています。
こうしたニュースを見ると、「Google や iCloud のアカウントは大丈夫なの？ Apple や Google なら、守りは最強なのでは？」と気になります。
この記事では、Google や iCloud のアカウントがどうやって乗っ取られるのかを、公式の説明と報道から整理しました。そのうえで、iPhone と Google のアカウントで、いま確かめておきたい5つの設定をまとめます。
先に結論：破られるのは、たいてい「入り口」のほう
Google や Apple のサーバーそのものが破られて、アカウントが乗っ取られる、という形はあまり考えなくてよいと思います。
気をつけたいのは、正しいパスワードで、正面から入られてしまうことです。そのパスワードがどこから漏れるかには、主に3つの道があります。
乗っ取りが起きる3つの道
1. ほかのサービスで漏れたパスワードの使い回し
Google や Apple とは関係のない会社から、メールアドレスとパスワードが漏れることがあります。同じパスワードを Google や Apple でも使っていると、漏れたものを試されて、そのまま入られてしまいます。
相手が守りの固い会社でも、こちらが同じ鍵を使い回していれば、意味がありません。デジタル大臣も10月の注意の呼びかけで、パスワードを使い回さないよう求めています。
2. 偽のログイン画面（フィッシング）
日本生命は10月7日、Apple や Google のアカウントの情報を盗むフィッシング詐欺に注意を呼びかけました。「iCloud の容量が足りない」「ストレージのプランの更新」「アカウントの利用停止」などを装ったメールや SMS で、偽のログイン画面に誘い、ID とパスワードを入力させる手口です。
本物そっくりの画面に自分で入力してしまうので、どれだけ強いパスワードでも盗まれます。
3. パソコンやスマホに入り込むウイルス
パソコンに入り込んで、ブラウザーに保存されたパスワードやログインの情報を盗み出すウイルスもあります。正体の分からないソフトや、怪しい添付ファイルを開かないことが基本です。
乗っ取られると、何が起きるか
Google や Apple のアカウントは、メール、写真、連絡先、メモ、保存したパスワードの入り口です。乗っ取られると、それらを見られるだけでなく、メールを使ってほかのサービスのパスワードを再設定され、次々に入られるおそれがあります。
日本生命の呼びかけでも、Apple のアカウントを盗まれると、メールやメモ、保存した ID とパスワードから情報が引き出され、自社のマイページに不正にログインされるおそれがある、と書かれています。
iPhone で確かめる3つ
1. 2ファクタ認証がオンか
「設定」→ いちばん上の自分の名前 →「サインインとセキュリティ」を開き、「2ファクタ認証」がオンになっているかを見ます。
2ファクタ認証がオンなら、パスワードが漏れても、自分の iPhone などに届く確認コードがなければ、新しい機器からはサインインできません。
この画面の下には「復旧方法」もあります。私のアカウントでは、「復旧用連絡先」が1件登録されていて、「復旧キー」はまだ設定していませんでした（「設定」と出ているのが、未設定のしるしです）。
知らないうちに確認コードが届いたら、誰かがパスワードを知っているしるしです。コードは誰にも教えず、すぐにパスワードを変えてください。
2. 知らない機器がサインインしていないか
「設定」→ 自分の名前 の画面を下までスクロールすると、同じ Apple アカウントでサインインしている機器の一覧が出ます。見覚えのない機器があれば、選んで「アカウントから削除」します。
私のアカウントでは、9台が並んでいました。どれも自分の機器で、見覚えのないものはありませんでした。使わなくなった機器が残っていたら、ここで外しておくと一覧が見やすくなります。
3. iCloud の守りを強くする
「設定」→ 自分の名前 →「iCloud」を開くと、守りを強くする設定が2つあります。
- 高度なデータ保護：オンにすると、iCloud のバックアップ、メモ、写真なども、自分の機器でしか読めない形で暗号化されます。Apple の発表では、暗号化されるデータの種類が14から23に増えます。ただし、iCloud メール、連絡先、カレンダーは対象外です。
- iCloud.com（ウェブでのデータへのアクセス）：オフにすると、ブラウザーで iCloud.com からデータを見られなくなります。iPhone との写真やメモの同期はそのまま続きます。なくした iPhone をブラウザーから探すときに困ることがあるので、使い方と比べて決めます。
「高度なデータ保護」は、強い分だけ注意も要ります。有効にするには、パスワードを忘れたときのための「復旧連絡先」か「復旧キー」を先に用意する必要があります。これをなくすと、データを取り戻せなくなるおそれがあります。オンにする前に、復旧の手段を確かめてください。
私の iPhone では、「高度なデータ保護」はオン、「iCloud.com」はオフにしていました。高度なデータ保護は、上で見た復旧用連絡先を登録したうえで使っています。
Google で確かめる2つ
4. Google の2段階認証とパスキー
Google アカウント（myaccount.google.com）を開き、「セキュリティとログイン」を選びます。「Google にログインする方法」の中に、2段階認証プロセスとパスキーの項目があります。
Google のヘルプでは、2つ目の手順として、スマホに届く「Google からのメッセージ」、確認コードのアプリ、パスキー、セキュリティキー、SMS や音声通話、バックアップコードなどが選べます。
SMS のコードは、電話番号を狙った攻撃の影響を受けることがある、と Google 自身が書いています。スマホに届くメッセージや、パスキーを使うほうが安心です。パスキーを作ると、パスワードを使わないログインが基本になります。
私のアカウントでは、パスキーが4件、「Google からのメッセージ」が届く機器が5台、認証システムのアプリ、電話番号、バックアップコード（10個）が登録されていました。2つ目の手順は、1つだけでなく、いくつか用意しておくと安心です。
また、Google が電話で確認コードを聞いてくることはありません。電話やメールでコードを聞かれたら、詐欺だと思ってください。
5. Google にログインしている機器とセキュリティ診断
同じ「セキュリティとログイン」の画面で、ログインしている機器の一覧を見られます。見覚えのない機器があれば、そこからログアウトさせて、パスワードを変えます。
「セキュリティ診断」を使うと、2段階認証や、ログイン中の機器、最近のセキュリティの出来事などを、順に確かめられます。
私のアカウントで試すと、「推奨される対応があります」と出て、3つの提案が並びました。
- リンク済みアプリ：危険性の高いデータアクセスの削除
- お使いのデバイス：Mac OS からアカウントを削除
- セーフ ブラウジング：保護強化機能をオンにする
「最近のセキュリティ関連のアクティビティ」は緑の印で、過去28日間に気になる出来事はありませんでした。
「お使いのデバイス」を開くと、「Mac OS 119日間、非アクティブの状態です」と出ていました。4か月近く使っていない Mac に、Google のアカウントが残っていたことになります。
乗っ取りでなくても、使わなくなった機器のログインは、残しておく理由がありません。こうした機器を見つけたら、外しておくのが安全です。
固くするほど、自分が締め出されないように
2段階認証やパスキーで守りを固くすると、今度は「スマホをなくしたら、自分も入れない」ことが心配になります。
その備えが、Google のバックアップコードや、Apple の復旧キー・復旧連絡先です。これは次の記事でまとめます。
まとめ
- Google や iCloud のアカウントは、サーバーより「入り口」から入られることが多い
- 入り口は、パスワードの使い回し、偽のログイン画面、ウイルスの3つ
- iPhone：2ファクタ認証、サインイン中の機器、高度なデータ保護と iCloud.com のデータアクセス
- Google：2段階認証とパスキー、ログイン中の機器とセキュリティ診断
- パスワードは使い回さない。確認コードは誰にも教えない
2026年11月1日時点の情報です。国内の注意喚起はpiyolog のまとめ、フィッシングの手口は日本生命の注意喚起、iCloud.com のデータアクセスはマイナビニュース、高度なデータ保護はApple のニュースリリース、Google の2段階認証はGoogle のヘルプで確かめました。
