Google パスワード マネージャーで「データ侵害で漏洩した可能性があります」と表示されると、「Googleに保存したパスワードが全部盗まれたのでは？」と不安になりますよね。
結論からいうと、この警告は、Google パスワード マネージャー自体の漏洩を意味するものではありません。主に、保存している「ユーザー名とパスワードの組み合わせ」が、利用先のサイトやアプリで起きたデータ侵害などにより、公開済みの漏洩情報と一致した可能性を知らせるものです。警告が出たパスワードは、早めに変更しましょう。
「データ侵害で漏洩」とはどういう意味？
データ侵害とは、Webサービスやアプリが不正アクセスなどを受け、利用者情報が外部に流出することです。
Google パスワード マネージャーの警告は、保存済みのログイン情報を確認し、過去にインターネット上へ公開されたことが確認されている漏洩情報と一致する可能性がある場合に表示されます。
つまり、警告の意味はおおむね次のとおりです。
- そのサービス、または別のサービスで使ったログイン情報が漏洩情報に含まれている可能性がある
- 第三者がそのパスワードを知っている可能性がある
- 同じパスワードを使い回している場合、ほかのサービスも不正ログインされるおそれがある
Googleは、保存したログイン情報を暗号化したうえで、既知の漏洩情報と照合する仕組みを説明しています。この照合により、Googleが通常の形でユーザー名やパスワードを読み取るわけではありません。
Google パスワード マネージャーが漏洩したという意味ではない
表示文だけを見ると、「Google パスワード マネージャーからデータが流出した」と受け取ってしまいがちです。しかし、この種の警告は一般に、第三者のサイトやアプリで発生した漏洩、またはオンラインに出回っている認証情報に関する注意喚起です。
ただし、警告が出た時点で「実際に不正ログインされた」と確定するわけでもありません。あくまで、今後の不正利用リスクを下げるために、パスワードを変更すべき状態だと考えるのがよいでしょう。
警告が出たら今すぐ行うこと
1. 警告が出たサービスのパスワードを変更する
最優先は、警告の対象になっているサイトやアプリのパスワード変更です。メール、ネット通販、銀行・証券、決済サービス、SNSなど、被害が大きくなりやすいアカウントから対応してください。
変更先のパスワードは、以前のものと似た文字列にせず、十分に長く、ほかのサービスでは使っていないものにします。Google パスワード マネージャーの生成機能を使うと、強力で一意のパスワードを作りやすくなります。
2. 同じパスワードを使っているサービスもすべて変更する
最も注意したいのがパスワードの使い回しです。あるサービスから漏れたパスワードが、メールやSNSなど別サービスへのログインに試されることがあります。
そのため、警告が出たパスワードをほかでも使っていた場合は、同じパスワードを設定しているすべてのサービスで変更してください。
3. パスワード チェックアップでほかの問題も確認する
Chromeでは、［パスワードと自動入力］→［Google パスワード マネージャー］→［チェックアップ］から、保存済みパスワードを確認できます。Chromeを使わない場合でも、passwords.google.com からパスワード チェックアップを実行できます。
チェックアップでは、漏洩の可能性があるものだけでなく、弱いパスワードや複数のアカウントで使い回しているパスワードも確認できます。
4. 大切なアカウントでは2段階認証またはパスキーを設定する
パスワードを変更したら、特にメールアカウントや金融関連のサービスでは、2段階認証を有効にしましょう。2段階認証とは、パスワードに加えてスマートフォンの確認や認証コードなど、もう1つの確認手段を求める仕組みです。
サービスが対応していれば、指紋・顔認証・端末の画面ロックなどでログインできるパスキーも有力な選択肢です。
5. 覚えのない操作があればGoogleアカウントも確認する
Gmailの送信履歴、見覚えのないログイン通知、知らない端末の登録などがある場合は、Googleアカウントのセキュリティ画面で最近のセキュリティ イベントやログイン中の端末を確認してください。心当たりのない操作があれば、Googleアカウントのパスワード変更とセキュリティ診断を優先します。
偽の警告・フィッシングにも注意
「パスワードが漏洩しました。今すぐ変更してください」と書かれたメールやSMSが届くこともあります。しかし、リンク先が偽サイトで、パスワードを盗むフィッシング詐欺の可能性があります。
- メールやSMS内のリンクはすぐに開かない
- Chromeの設定画面、または passwords.google.com を自分で開いて確認する
- ログイン画面のURLやドメインを確認する
- 不自然に急がせる表示、見慣れない日本語、知らない送信元に注意する
本物の警告か迷ったときほど、通知内のリンクではなく、公式の画面から直接確認することが大切です。
よくある質問
警告を消すだけではだめ？
おすすめできません。警告を非表示にしても、漏洩した可能性のあるパスワードが安全になるわけではありません。まず変更し、使い回しがないか確認してから対応を終えましょう。
パスワードを変えれば安全？
一意で強力な新しいパスワードに変更し、使い回し先も変更すればリスクは大きく下げられます。さらに2段階認証やパスキーを設定し、不審なログイン履歴がないか確認すると安心です。
Googleアカウントのパスワードも変えるべき？
警告の対象がGoogleアカウントのパスワードである場合、またはそのパスワードをGoogleアカウントでも使い回していた場合は、すぐに変更してください。覚えのないログインや設定変更がある場合も、Googleアカウントの保護手順に従って対処しましょう。
まとめ
Google パスワード マネージャーの「データ侵害で漏洩」という警告は、Google パスワード マネージャーそのものが漏洩したという意味ではなく、保存したログイン情報が既知の漏洩情報に含まれる可能性を知らせるものです。
- 警告が出たサービスのパスワードをすぐ変更する
- 同じパスワードを使っているサービスも変更する
- パスワード チェックアップで弱い・使い回しのパスワードを確認する
- 重要なアカウントでは2段階認証やパスキーを設定する
- 不審な操作があればGoogleアカウントのセキュリティも確認する
焦って通知のリンクを開くより、まずChromeのGoogle パスワード マネージャーや公式サイトから状況を確認し、対象のパスワードを順番に変更していきましょう。
