漏えいが出たあとの72時間にやること【優先順位つき】

先に答え: 順番は「メール → お金 → 本人確認に使われているアカウント → 残り」

漏えいの通知が来た、あるいは「不正ログインの可能性があります」というメッセージを見た。そこから何十個ものアカウントを前にして固まっている——この記事が想定しているのはその状態です。結論を先に置きます。

手をつける順番は、メールアカウントが先です。 理由は1つで、他のサービスのパスワード再設定が、たいていメール経由で行われるからです。ショッピングサイトのパスワードを先に変えても、メールを押さえられたままなら「パスワードをお忘れですか」の導線からもう一度取り返されます。逆に、メールを固めてしまえば、残りのアカウントは落ち着いて順番に処理できます。Google自身も、不正使用が疑われるアカウントの回復手順を、パスワード変更 → 見覚えのないデバイスの削除 → 再設定用の電話番号とメールアドレスの確認 → メールの転送・フィルタ・委任設定の確認、という順で案内しています（出典: Google アカウント ヘルプ「ハッキングまたは不正使用された Google アカウントを保護する」https://support.google.com/accounts/answer/6294825?hl=ja 、2026-08-07確認）。

ただし、すでにお金が動いている場合は、この順番より先にやることがあります。 身に覚えのない出金・決済・注文が見えているなら、アカウントの整理よりも先に、金融機関とカード会社への連絡です。窓口は次の節にまとめました。

そして、72時間で全部を終わらせる必要はありません。 この記事のタイトルは「72時間にやること」ですが、それは「72時間以内に全アカウントを片づける」という意味ではありません。最初の1時間でメール、その日のうちにお金まわり、残りは数週間かけて——これで十分に間に合う設計にしてあります。一晩で30個のパスワードを変えようとして、途中でどこにも入れなくなるほうが、実際には困った事態になります。

なお、「チェッカーに自分のアドレスを入れたら何か出た」という段階の方は、出たことが何を意味して何を意味しないかを先に読んでおくと、この記事の作業量が減ります。個人情報の漏えい確認、その結果をどう読むか — 「出た」が意味すること・意味しないこと

お金が動いているときは、順番を飛ばしてここへ

身に覚えのない引き落とし・送金・購入履歴が見えている場合は、アカウントの棚卸しより先にこちらです。

消費者ホットライン 188 は全国共通の番号で、身近な消費生活相談窓口を案内するものです。消費者庁は、土日祝日に地方の窓口が開いていない場合は国民生活センターが相談を補完するなどして、施設点検日や年末年始を除き原則毎日利用できると説明しています。受付時間は最寄りの窓口によって異なります（出典: 消費者庁「消費者ホットライン」https://www.caa.go.jp/policies/policy/local_cooperation/local_consumer_administration/hotline/ 、2026-08-07確認）。

警察相談専用電話 #9110 は、発信地を管轄する各都道府県警察本部等の総合窓口に直接つながる全国共通の短縮ダイヤルです。携帯電話からも使えますが、ダイヤル回線と一部のIP電話からは利用できません。土日祝日および夜間は当直または音声案内等で対応するとされています（出典: 警察庁「警察相談専用電話『＃９１１０』」https://www.npa.go.jp/bureau/soumu/soudan/soudanmadoguti.pdf 、2026-08-07確認）。警察庁は、生活の安全に関わる緊急でない相談は最寄りの警察署または＃９１１０へ、と案内しています（出典: 警察庁「ご意見、各種相談・情報提供等」https://www.npa.go.jp/goiken_index.html 、2026-08-07確認）。受付時間について、警察庁は「平日8：30～17：15（各都道府県警察で異なる）※土日・祝日及び時間外は、24時間受付体制の一部の都道府県警察を除き、当直又は音声案内による対応」と記載しています（出典: 警察庁「令和6年版犯罪被害者白書 資料9 政府・地方公共団体が関与する犯罪被害者等に関する相談先一覧」https://www.npa.go.jp/hanzaihigai/whitepaper/2024/zenbun/part3_siryo/siryo-9.html 、2026-08-07確認）。括弧書きのとおり都道府県警察ごとに差があるため、正確な時間帯はお住まいの都道府県警のページでご確認ください。

IPA 情報セキュリティ安心相談窓口 は、ウイルスや不正アクセスについての技術的な相談を受け付けている公的な窓口です。電話は 03-5978-7509、受付は10時00分から17時00分（土日祝日・年末年始を除く）、メールでの相談も受け付けています（出典: IPA「情報セキュリティに関する技術的なご相談」https://www.ipa.go.jp/security/anshin/about.html 、2026-08-07確認）。

補償について、制度の説明としてだけ書いておきます。全国銀行協会は、預金者保護法および同法附則・附帯決議を踏まえ、盗難通帳やインターネット・バンキングによる不正な払戻しについて、銀行に過失がない場合でも預金者に過失がないときは原則として補償する、という申し合わせを行ったと公表しています（出典: 一般社団法人全国銀行協会「『預金等の不正な払戻しへの対応』について」https://www.zenginkyo.or.jp/news/2008/n2933/ 、2008年2月19日公表、2026-08-07確認）。補償の対象・要件・基準の詳細は同ページの別紙に置かれており、当編集部はその別紙の本文までは確認していません。実際に補償されるかどうかは、金融機関ごとの規定と個別の判断によります。クレジットカードについても同様で、補償の有無と条件はカード会社と契約内容によって異なるため、この記事では一律に書けません。どちらも、まず連絡して事実を伝え、そこから先は各社の手続きに乗るのが実際の道筋です。

本記事は制度と手順の一般的な説明であり、個別の事案に対する法的助言ではありません。

この記事で、何を確かめて、何を確かめていないか

TATEは記事ごとに、確かめた範囲を先に開示します。この記事は次の状態です。

検証した項目: 本文に挙げた各社ヘルプページ・公的機関のページについて、2026年8月7日時点でアクセスし、記載されている手順の順序・設定項目名・窓口の番号と受付条件を確認しました。出典URLは各項目に併記しています。

検証していない項目: 実機での画面遷移（記載どおりの画面が出るか）、各手順の実際の所要時間、パスワードを変更したときに各サービスが他端末のログイン状態を実際にどう扱うか。この3つは当編集部で測っていません。

検証不能な項目: 各サービスが、サーバ側でセッションをいつ・どこまで無効化しているか。これは外部から確認する方法がありません。この記事が根拠にできるのは、各社が公開しているヘルプの記載までです。

以下に書いた画面の道順は、各社の公式ヘルプに記載されている内容にもとづくもので、当編集部が実機で開いて確認したものではありません。OSやアプリの更新で項目名や階層は変わります。画面と一致しないときは、各項目に併記した出典ページ側を正としてください。

なぜメールが最初なのか——「再設定の入口」を先に閉じる

パスワード再設定の仕組みを一度だけ整理しておくと、この記事の順番はそのまま腑に落ちると思います。

メールは「1つのアカウント」ではなく「他のアカウントの鍵束」です。だからここが先になります。

そして、この節でいちばん見落とされやすいのが転送設定とフィルタです。パスワードを変えても、受信メールを別のアドレスへ自動転送する設定が残っていれば、再設定リンクは引き続き相手の手元へ届きます。Googleのヘルプが、パスワード変更とデバイスの整理のあとに「自動メール転送」「メールの委任」「フィルタ」「ラベル」の確認を置いているのは、この経路のためです（前掲 Google アカウント ヘルプ、2026-08-07確認）。パスワードだけ変えて安心して終わり、という記事が多いのですが、ここまで見ないと片づきません。

手順1: メール（最初の30分）

順番が大事なところなので、この節だけは並びを守ってください。

(1) 先に、復旧経路を自分の手元に確保する パスワードや認証方式を触る前に、「詰まったときに戻れる道」を確認します。再設定用のメールアドレス・電話番号が今の自分のものになっているか。二要素認証を新しく有効にするなら、バックアップコードを先に取得して控える。Googleは、通常の2段階認証プロセスでログインできない場合の2つ目の手段としてバックアップコードを使えること、印刷して安全な場所に保管できること、各コードは1回しか使えないことを案内しています（出典: Google アカウント ヘルプ「バックアップ コードを使用してログインする」https://support.google.com/accounts/answer/1187538?hl=ja 、2026-08-07確認）。この一手を飛ばして二要素認証を有効にし、そのあと端末を機種変更したり紛失したりして入れなくなる——というのが、この作業でいちばん多い自滅です。

(2) パスワードを変える ここで初めて変更します。使い回していたものを、そのサービス専用のものへ。覚えられないことを前提にした畳み方は後半で扱います。

(3) ログインしている端末を確認して、心当たりのないものを外す Googleの場合は、Googleアカウント →「セキュリティとログイン」→「お使いのデバイス」→「すべてのデバイスを管理」で、現在ログインしているか、過去数週間にログインしたデバイスの一覧が出ます（出典: Google アカウント ヘルプ「アカウントにアクセスしたデバイスを確認する」https://support.google.com/accounts/answer/3067630?hl=ja 、2026-08-07確認）。Appleアカウントの場合は「設定」→「自分の名前」→「デバイス」で、サインインしているデバイスを確認し、覚えのないものを削除できます（出典: Apple「チェックリスト1: デバイスとアカウントのアクセスを制限する」https://support.apple.com/ja-jp/guide/personal-safety/ipsb8deced49/web 、2026-08-07確認）。

ここで気をつけること: 「すべての端末からログアウト」を実行すると、あなたが今使っている別の端末（スマホ・タブレット・職場のPC）も一緒に締め出されます。そのとき再ログインに必要なのが、(1)で確保した復旧経路です。順番を逆にしないでください。

(4) 転送・フィルタ・委任を見る 前節のとおりです。自動転送先、メールの委任（他人が自分のメールを開ける設定）、受信メールを自動で既読・アーカイブ・削除するフィルタ。覚えのないものがあれば外します。攻撃者が「通知メールを本人に見せない」ために使うのがここなので、目立つ変更がないからといって飛ばさないほうがよい箇所です。

(5) 元に戻したいとき パスワードは何度でも変えられます。二要素認証も、多くのサービスで同じ画面から無効化できます。一方、削除したデバイスの再登録は、そのデバイスから再ログインする形になるため、パスワードとバックアップコードが手元にないと戻せません。ここだけは片道です。

手順2: お金に直結するアカウント（その日のうちに）

ネットバンキング、クレジットカードの会員サイト、決済アプリ、そしてカード情報を保存しているECサイト。この順で見ます。

見るのはパスワードだけではありません。

• 利用明細・取引履歴: 直近だけでなく、通知が来た時期の前後をさかのぼる
• 登録されている連絡先: メールアドレス・電話番号が書き換えられていないか
• 登録されている配送先・振込先: ECサイトでは、見慣れない住所が追加されていないか
• ログイン履歴: 提供しているサービスなら、日時と地域を確認する

書き換えられた登録情報を戻すのは、パスワード変更より優先度が高いことがあります。連絡先が相手のものになっていると、それ自体が再設定の経路になるからです。IPAも、不正ログインされた場合の対処として、パスワードの変更に続けて「アカウント登録情報を確認し、不正な情報を削除する」「多要素認証を設定する」を挙げています（出典: IPA「インターネットサービスへの不正ログインによる被害が増加中」https://www.ipa.go.jp/security/anshin/attention/2025/mgdayori20250828.html 、2025年8月28日公開、2026-08-07確認）。

自分でログインできなくなっている場合は、パスワードリセット機能でのアカウント回復を試み、それでも入れなければサービス提供者に相談する、というのが同ページの案内です（同前）。ここで無理に何度も試行すると、アカウントがロックされて回復がさらに遠のくことがあります。2〜3回でうまくいかなければ、その日は問い合わせ窓口に切り替えたほうが早いです。

手順3: 「他のサービスへのログインに使われている」アカウント（2日目）

ここは見落とされがちですが、実際には手順2と同じくらい効きます。

• 「Googleでログイン」「Appleでサインイン」で他サービスに入っているアカウント: 1つのアカウントが、そのままいくつものサービスの鍵になっています
• 携帯電話番号（キャリアのアカウント）: SMSで認証コードを受け取っているなら、番号まわりが認証経路そのものです
• LINEなど、本人確認や連絡に使っているアプリ: 乗っ取られると、あなたを名乗った連絡が周囲に飛びます

やることは手順1と同じ形です。復旧経路の確認 → パスワード変更 → ログイン中の端末の整理 → 登録情報の確認。IPAは主要サービス（Apple、Google、Microsoft、Yahoo!、Instagram、X、Amazon、Facebook、dアカウント、auID など）の多要素認証の設定ページへのリンクを1ページにまとめており、探し回らずに済みます（出典: IPA「不正ログイン対策特集ページ」https://www.ipa.go.jp/security/anshin/measures/account_security.html 、2023年9月29日更新、2026-08-07確認）。

手順4: 残り（3日目以降、数週間かけて）

ここまで来たら、急ぐ作業は終わりです。残っているのは「同じパスワードを使い回していた、その他のサービス」で、これは重要度の高い順に、時間のあるときに畳んでいけば足ります。

1つだけ、方針として押さえておくとよいことがあります。総務省は、パスワードの定期的な変更は不要であること、むしろ定期変更によって作り方がパターン化したり使い回しにつながったりするほうが問題であることを説明したうえで、流出や乗っ取りが発生した場合は速やかに変更する必要があるとしています（出典: 総務省 国民のためのサイバーセキュリティサイト「推測できる簡単なパスワードを利用しないようにしよう」https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/ 、2026-08-07確認）。つまり今回のような場面は、まさに変えるべき場面です。そして今回変え終わったあとは、カレンダーに「3か月ごとに全部変更」と書き込む必要はありません。

「使い回しをやめたいが、覚えられない」というのが、ここで多くの人が止まる場所です。これは意志の問題ではなく、単に人間が覚えられる量を超えているだけなので、覚えるのをやめる方向で畳むほうが現実的です。段階的な畳み方は別記事で扱っています。「パスワードの使い回しを「覚えられない人」のまま畳む方法」

なお、そのために何かを買う必要は、多くの人にはありません。ブラウザ内蔵の保存機能やOS標準の仕組みでも、使い回しをやめるという目的には足ります。「専用アプリを買わないと始められない」ということはないので、まずは今持っているもので始めて構いません。どこに何が保存されるのかが分からないまま乗り換えると、あとで「自分のパスワードがどこにあるのか分からない」という別の迷子になります。3種類の置き場所の違いは、この記事の最後にあるリンク先で整理しています。

通知のあとに増えるもの——「その通知に便乗した偽メール」

これは、この時期に固有の話なので節を分けます。

漏えいの通知を受け取った直後は、同じ話題を装ったメールやSMSが届いても違和感を持ちにくくなります。フィッシング対策協議会の月次報告によると、2026年6月のフィッシング報告件数は72,370件、フィッシングサイトのURL件数は42,241件（重複なし）、悪用されたブランドは98件で、報告数の上位はAmazon（約24.0%）、VISA（約11.8%）、Apple（約11.6%）などでした（出典: フィッシング対策協議会「2026/06 フィッシング報告状況」https://www.antiphishing.jp/report/monthly/202606.html 、2026年7月16日公開、2026-08-07確認）。日常的に大量に流れているものであって、あなただけに向けて特別に用意されたものではありません。

対処は単純です。通知メールの中のリンクから作業を始めない。 同協議会の利用者向けガイドラインも、正規メール以外のメール中のリンクからはアクセスせず、ブックマークや正規のアプリケーションを活用すること、多要素認証が不正ログインの阻止に有効であること、表示されているURLのドメイン名が一致しているかを確認することを挙げています（出典: フィッシング対策協議会「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」https://www.antiphishing.jp/report/guideline/consumer_guideline2026.html 、2026年6月1日発行、2026-08-07確認）。

この記事の全手順は、メールのリンクではなく、自分でブックマークした公式サイト、または公式アプリから始めてください。 これだけで、72時間のあいだに起きる二次被害の入口がひとつ減ります。

何が起きていないか

不安を必要以上に大きくしないために、この段階で起きていないことも書いておきます。

• 通知が来た＝今この瞬間あなたの口座が操作されている、ではありません。 事業者が本人へ通知するのは、個人情報保護法上の義務にもとづく手続きでもあります。個人情報保護委員会は、令和4年4月1日から、個人データの漏えい等が発生し個人の権利利益を害するおそれがあるときに、委員会への報告と本人への通知が義務づけられたこと、対象となるのは要配慮個人情報を含む事態・財産的被害のおそれがある事態・不正の目的による漏えい等・1,000人を超える漏えい等の4類型であることを説明しています（出典: 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/ 、2026-08-07確認）。通知が届いたということは、少なくともその事業者が手続きに沿って動いているということでもあります。 ——ただしこれは、その通知が本物だと確認できた場合の話です。前節のとおり、通知そのものを装ったメールが同じ時期に大量に流れています。メール内のリンクではなく、自分でブックマークした公式サイトか公式アプリから、事業者のお知らせを確認してください。
• あなたが名指しで狙われた、とは限りません。 漏えいの多くは、特定の個人ではなくデータのまとまりに対して起きています。
• 端末そのものが操作されている、という話でもありません。 アカウント情報の漏えいと、端末が第三者に操作されていることは別の事象です。端末側の心配がある場合は、この記事とは別の切り分けが必要になります。
• すべてのパスワードを今夜中に変えなければ手遅れになる、ということもありません。 メールを固めた時点で、再設定という最短経路は塞がっています。

やらないほうがいいこと

• 通知メールのリンクから作業を始める（前節のとおり）
• 復旧経路を確保しないまま、二要素認証を一気に全アカウントへ入れる。入れること自体は有効ですが、順番を逆にすると自分が締め出されます
• 一晩で全アカウントを変えようとする。途中で力尽きた状態がいちばん中途半端で、どこまでやったか分からなくなります
• 「3か月ごとに全部変更」を自分に課す（前掲 総務省）
• 心当たりのない連絡先や設定を、記録せずに消す。不正利用の申告や相談で、いつ・何が変わっていたかを聞かれることがあります。消す前にスクリーンショットを1枚撮っておくと、あとで説明が楽になります

3日間の割り振り（そのまま使える形）

この表は「この順でやらないと危ない」という意味ではありません。手をつける場所が分からなくて止まっている状態を、動ける状態に変えるための並びです。事情に合わせて入れ替えても構いません。入れ替えるときに1つだけ守るとよいのは、メールを後回しにしないことです。理由はこの記事の前半で書いたとおりです。

そして、ここまで終わったあとに残るのが「結局、パスワードはどこに置いておけばいいのか」という問題です。ブラウザ内蔵・OS標準・専用アプリで、データの置き場所も、使える端末も、乗り換えたときに起きることも違います。買う前に置き場所の違いだけ把握しておくと、この先の選択がずっと楽になります。「パスワードマネージャーは結局「どこ」に入っているのか」

免責

本記事の内容は、記載の確認日（2026年8月7日）時点で当編集部が確認できた情報にもとづいています。各サービスの設定画面の名称・位置・提供条件、および各窓口の受付条件は、提供者の判断により予告なく変更されることがあります。操作や連絡の前に、各項目に併記した公式ページで現在の記載をご確認ください。

本記事で扱った手順は、すべてご自身の端末・ご自身のアカウントを対象にしたものです。他人の端末やアカウントを対象にした手順は扱っていません。

本記事は情報提供であり、個別の状況に対する助言ではありません。補償・法的手続き・被害の申告については、金融機関、カード会社、および下記の窓口へご相談ください。

• 消費者ホットライン 188（消費生活相談窓口の案内）
• 警察相談専用電話 #9110（緊急でない相談）
• 緊急の危険があるとき 110
• IPA 情報セキュリティ安心相談窓口 03-5978-7509（平日10時〜17時、土日祝日・年末年始を除く）