セキュリティの手引き

フィッシングサイトに会社のパスワードを入力してしまったら｜最初の1時間でやること

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

入力した本人がやること（最初の15分）

何を入れたかで、急ぎ方が変わります。迷ったら重いほうとして扱います。

1. 正規の画面から変える：ブックマークか公式アプリから入ります。メールのリンクは使いません。
2. 使い回しも変える：同じパスワードの所は、すべて変えます。
3. 電話かチャットで知らせる：メールが乗っ取られているかもしれないためです。

管理者がやること（〜1時間）

Microsoft 365とGoogle Workspaceは、乗っ取りへの手順を公開しています。要点は下の表のとおりです。画面の名前は変わることがあります。

新しいパスワードを、そのアカウントのメールで本人に送らないでください。Microsoftの手順でも、攻撃者がまだ読めるおそれがあるとして注意されています。

戻すときは、多要素認証を必ず入れます。Googleは2段階認証とセキュリティキーの登録を、Microsoftは多要素認証の適用を勧めています。

入られたかの見分け方

Microsoftは、乗っ取られたメールアカウントによくある症状として、次のようなものを挙げています。

1つでも当てはまれば、取引先への連絡を考えます。連絡の順番と例文はメールアカウントが乗っ取られたらにまとめています。

報告が要るかを決める

個人情報保護委員会は、不正アクセスなど「不正の目的」によるおそれがある漏えい等を、報告の対象にしています。メールに顧客の個人データがあれば、この形に当たることがあります。

報告の期限は、発覚から3〜5日以内の速報と、不正の目的によるおそれがある場合は60日以内の確報です。判断に迷うところは弁護士に相談してください。詳しくは漏えいの報告の手引きにあります。

社内への報告は、下のひな形を使えます。分からない欄は「確認中」と書きます。実態と違う内容をそのまま写さないでください。

【報告】フィッシングサイトにパスワードを入れました
・気づいた時刻：
・メールの件名／差出人：
・開いたURL：
・入れたもの：ID／パスワード／確認コード／承認を押した
・対象のアカウント：（例：会社のMicrosoft 365）
・使い回していた所：
・今の状態：パスワードを変えた／管理者に連絡した／確認中

よくある質問

参考にした資料

1. Microsoft Learn「侵害されたメール アカウントへの対応」
2. Google Workspace 管理者ヘルプ「不正使用されたアカウントを特定して保護する」
3. Google Workspace 管理者ヘルプ「管理対象の Google アカウントからユーザーをログアウトさせる」
4. フィッシング対策協議会「今すぐできるフィッシング対策」
5. フィッシング対策協議会「フィッシングの報告」
6. 個人情報保護委員会「漏えい等の対応とお役立ち資料」