ハッキングされた時にすべきこと
ハッキングされると、とてもストレスがかかります。個人的なことのように感じられ、一刻を争う緊急事態や混乱が同時に押し寄せてきます。見知らぬログイン通知が届いたり、自分が送っていないメッセージを見つけたり、アカウントにアクセスできなくなったり、お金がなくなっていたり、知人から怪しいリンクが届いたと連絡を受けたりするかもしれません。
最も大切なのは、パニックにかられて拙速な判断をしないことです。攻撃者たちは、スピード、混乱、そして焦りを利用することがよくあります。あなたの目標は、事態の進行を遅らせ、被害を封じ込め、コントロールを取り戻し、今回の侵害を可能にした弱点を取り除くことです。
本ガイドでは、個人アカウントや業務用アカウント、デバイス、オンラインサービスがハッキングされた際に取るべき具体的な手順を説明します。
1. 業務に影響がある場合は、すぐに雇用主へ通知する
雇用主、顧客、またはその他の組織に影響が及ぶ可能性が少しでもある場合は、直ちに適切な IT 部門やセキュリティチームに連絡してください。完全な証拠が揃ってから報告する必要はありません。これは、社用デバイスでなくとも自分のデバイス（BYOD）が業務利用されている場合、会社のメールへのアクセス、シングルサインオン、パスワード管理、VPN、管理パネル、ソースコードリポジトリ、クラウドコンソール、ファイル共有サービスにログインしている場合も該当します。
まずは自分で全てを調査しようとせず、速やかに報告しましょう。組織側は、セッションの失効、認証情報の変更、ログの確認、被害端末の隔離、障害発生中のアクセス停止などを早急に行う必要があります。
この通知が遅れると被害規模が拡大したり、早期の報告で損失を最小限に抑えられる場合に、報告の遅れが懲戒や法的責任の原因になることもあります。業務用サービス、デバイス、アカウント、データに影響がなければ、以下の個人用の復旧手順に進みましょう。
2. クリーンな端末から開始する
自分のパソコンやスマートフォンが感染している可能性があるなら、その端末でパスワードのリセットや重要アカウントへのログインをしないでください。マルウェアは新しいパスワードを盗み、セッションクッキーを抜き取り、スクリーンショットを撮影、復旧用コードを傍受することができます。
信頼できる端末を使いましょう。例えば：
- 完全に最新状態で、感染の兆候のないスマートフォンやパソコン
- 信頼できる家族の端末
- IT 部門が安全と確認した業務用端末
クリーンな端末が用意できない場合は、感染の疑いがある端末をインターネットから切断し、新しい認証情報を入力する前にサポートの手を借りましょう。
3. まずメールアカウントの安全確保
メールアカウントは多くの場合、他の全ての鍵になります。攻撃者がメールを制御していると、銀行やショッピング、クラウドストレージ、SNS、開発者向けプラットフォーム、業務用ツールなどのパスワードをリセットされてしまいます。
メインのメールアカウントから、以下を確認しましょう：
- 新しく・独自で・強力なパスワードへ変更
- 多要素認証（MFA）の有効化
- 復旧用メールアドレスや電話番号の確認
- 不明な復旧用情報は削除
- 転送ルールやフィルタの不審な変更確認
- 最近のログイン場所やアクティブなセッションの確認
- 他の全セッションからサインアウト（機能があれば利用）
特にメールボックスルールには注意。攻撃者はセキュリティ警告を隠したり、請求書を転送したり、パスワードリセットの通知だけを他のアドレスへ転送するフィルタを作成することがあります。
4. 適切な順序でパスワードを変更
メールの安全が確保できたら、被害が大きくなり得るアカウントから優先的にパスワード変更を進めましょう。低重要度のアカウント変更に時間を費やし、攻撃者がまだ銀行口座やクラウドストレージ、管理ツールへアクセスできる状態を長引かせないようにします。
優先順位は次の通りです：
- メールアカウント
- 銀行・決済・暗号資産のアカウント
- パスワード管理ツール、ID プロバイダー、シングルサインオン
- クラウドストレージ、バックアップ、ファイル共有サービス
- 業務アカウント、管理パネル、ホスティング、開発者用プラットフォーム
- SNS やメッセージングアカウント
- ショッピング、ゲーム、フォーラム等、リスク小のアカウント
どの新パスワードも、必ず独自のものを設定してください。同じ新パスワードを複数で再利用すると、一つでも弱点が残れば再侵害につながります。
5. セッション・デバイス・アプリ・トークンの失効
パスワードを変えても、既にログイン中の攻撃者はそのままセッションに居座る場合があります。多くのサービスでは、パスワード変更後も明示的にセッション失効をしなければログイン状態が維持されます。
設定で以下を確認・操作しましょう：
- 全デバイスからサインアウト
- アクティブセッション
- 信頼済みデバイス
- 連携アプリ
- アプリ用パスワード
- API キー
- ブラウザ拡張機能
- OAuth アクセス
- SSH キー
- リカバリーコード
知らない項目は削除してください。業務・開発系アカウントでは、API トークン、デプロイキー、SSH キー、Webhook、サービスアカウント認証情報もローテーションしましょう。
6. より強力な多要素認証を有効化
多要素認証（MFA, 2FA）は、パスワードが盗まれても多くの乗っ取りを阻止できます。まだ有効でなければ、主要アカウントで直ちに設定しましょう。
可能であれば、以下のようなより強力な方式を選択してください：
- ハードウェアセキュリティキー
- 認証アプリ
- オフラインで安全に保管したバックアップコード
SMS コードも第二要素がないよりは良いですが、アプリやハードウェアに比べて弱いです。電話番号は SIM スワップ、傍受、回復処理の不備などで突破されることがあります。
MFA 設定時には必ずバックアップコードを生成し、安全な場所に保管しましょう。端末やセキュリティキーを紛失すると、復旧自体が新たな緊急事態になりかねません。
7. 金銭的・本人情報の被害状況確認
侵害されたアカウントが金銭、本人確認書類、請求書、顧客データ、税情報などに関わっているなら、迅速に復旧しても攻撃者が情報を持ち出したと考え対応しましょう。
以下をチェックしてください：
- 銀行やカードの取引履歴
- 決済アプリや保存済みのカード
- 暗号資産の出金・API キーの状況
- 買い物アカウントの新規配送先
- 新規定期購入や購入履歴
- クレジットレポートや本人情報監視サービス（利用可能なら）
- 税金・保険・政府系ポータル
不審な動きがあれば、すぐに銀行・決済会社へ連絡を。早期報告ほど、不正送金撤回や責任限定が可能になる場合があります。
8. 削除前に証拠を保存する
早く片付けたいのは当然ですが、不審なメッセージやログ、ファイルを早まって削除すると調査が困難になります。不審物の削除前に、最低限の証拠を残しておきましょう。とくに、お金や社内・顧客データ、ランサムウェア、法的義務が関わる場合は必須です。
証拠として有用なのは：
- ログイン警告メール
- 不審なアカウント操作のスクリーンショット
- フィッシングメールの送信者アドレス・ヘッダー
- 取引 ID・請求明細
- ログイン場所・タイムスタンプ
- 不明なデバイスやアプリの名称
- サポート問い合わせ番号
- デバイス自体が調査対象となる場合は元のハードディスクや SSD
これらはサポート担当、銀行、警察、保険、社内 IT、インシデント対応担当者の分析に役立ちます。
ノート PC やデスクトップの場合は、可能であれば元のディスクを取り外し、新しいディスクや SSD で OS をクリーンインストールしましょう。こうすれば、安全な端末で作業しつつ、元ディスクが証拠保存に使えます。業務関連の事件の場合は、勝手にディスク交換や再起動をせず、まず IT 部門やインシデント対応者へ相談を。
9. 踏み台にされた端末は必ず初期化・再構築
侵害がマルウェア、悪質な添付ファイル、偽ブラウザ拡張、海賊版ソフト、未知のリモートアクセスツールなどから始まった可能性がある場合、アカウントの復旧だけでは十分ではありません。端末自体が既に信用できない状態です。攻撃者がシステム設定の変更や持続化手法、セッションクッキー抜き取り、新認証情報の窃取用マルウェア等を仕込んでいる可能性があります。
このような場合は、「なんとなく掃除」して使い続けるのではなく、必要に応じて証拠も保存しつつ、必要データのみバックアップし、端末を完全に初期化・OS をクリーンインストールしましょう。
主な注意点：
- インストール用 USB は感染していない端末で作成
- インストールメディアは公式 OS ベンダーからのみ入手
- 侵害開始時期が不明なら過去のバックアップイメージは使わない
- ドキュメントや写真など必要ファイルのみバックアップ（不明な実行ファイル・スクリプト・インストーラーは避ける）
- アプリケーションは信頼できる一次配布元からのみ再インストール
- 重要アカウントへログインする前に OS やブラウザを最新へ
- 影響が疑われる端末でパスワードを入力した場合は再度各アカウントのパスワードを更新
リスクが高いケース（ランサムウェア、ビジネスメール侵害、管理者アカウントの乗っ取り、データ流出の疑い等）は、端末の初期化前にプロのインシデントレスポンス相談も検討してください。業務の場合、証拠保存や調査、保険、法対応、顧客通知の観点から必要となることがあります。
10. 影響を受けそうな人へ通知
攻撃者があなたのアカウントからメッセージ・請求書・リンク・ファイル等を送っていた場合、それを受け取った可能性のある相手に注意喚起しましょう。通知は短く具体的に。
例：
私のアカウントが侵害されていました。[時刻]〜[時刻]の間に私から送られたリンク、添付ファイル、請求依頼、共有ファイルは開かないでください。現在は復旧済みで調査中です。
業務用の場合、顧客データ・社員データ・決済情報・医療情報・機密情報の漏洩が疑われる場合は、法務・コンプライアンス・セキュリティ部門の早期連携が必要です。通知が法的・契約上求められることもあります。
11. 必要に応じて事故報告を行う
SNS アカウントが乗っ取られた程度なら警察報告は不要ですが、金融犯罪、個人情報盗難、ランサムウェア、ビジネスメール侵害、顧客データ流出、個人の安全に関わる脅迫など、報告すべきケースもあります。
考えられる報告先：
- 被害を受けたサービスプロバイダー
- 所属銀行や決済事業者
- 雇用主の IT 部門/セキュリティ担当
- 地元警察や国のサイバー犯罪通報窓口
- サイバー保険の保険会社（契約している場合）
- データ漏洩が確定または疑わしい顧客・取引先・規制当局
報告を残すことで公的記録ができます。後日、不正利用や証拠提出が必要になった場合にもこの記録が大きな意味を持ちます。
事業者なら「インシデント」として対応
組織でのハッキングは、単なるアカウントトラブルでは済みません。さらに広い被害の最初のサインであることも。例えば、メールボックス侵害で顧客のやりとりが流出、管理者パスワード流出でデータ持ち出し、デプロイキー漏洩で本番環境に悪影響など。
業務リカバリー手順例：
- 影響端末・アカウントの隔離
- ログが消える前に保全
- 攻撃者のアクセス・変更・コピー・新規作成の範囲特定
- パスワード・API キー・証明書・トークン・リカバリーコードのローテーション
- メール転送ルール・OAuth アプリ・管理者権限・新規アカウントの確認
- 退職者や取引先、外部業者など古い権限の削除
- 関係者との明確なコミュニケーション
- 経緯と今後の対策を文書化
規制データや顧客情報、ランサムウェア、本番インフラ、特権アクセスが関係する場合は、早期に専門家の協力を得ましょう。対応が遅れるほど封じ込めや証拠保全が困難になります。
避けるべきよくある失敗
善意からの行動や焦りが、逆にリカバリーを難しくしたりリスクを拡大することがあります。
以下のような失敗を避けましょう：
- すぐに雇用主/IT 部門に通知しない
- 感染の疑いがある端末からパスワードリセット
- 新パスワードを複数アカウントで使い回す
- メール転送ルールや復旧設定を無視する
- アクティブセッションや連携アプリを失効せず放置
- 証拠保存前に不審なメールを削除
- MFA 有効化で自動的に安全だと決めつける
- 金融被害のあと数日も銀行・サービスプロバイダーへの相談を遅らせる
復旧後：再発リスク低減のために
一度落ち着いたら、自身の環境を一段と強化しましょう。ほとんどのアカウント被害は、高度なハッキングではなく、パスワード再利用、フィッシング、弱い復旧設定、マルウェア、未対策デバイス、放置された古い権限が原因です。
実用的な強化チェックリスト：
- 全てのアカウントで固有のパスワードを設定
- パスワードは文書・メモ・チャットではなく、パスワードマネージャーで安全に管理
- メール・銀行・クラウドストレージ・業務アカウント・SNS で MFA を有効化
- できる限り SMS ではなく強固な MFA 方式へ移行
- 端末・ブラウザ・アプリを常に最新に
- 使っていないアプリ・拡張・連携サービスは削除
- 数ヶ月ごとにアカウントの復旧設定を見直す
- ランサムウェア対策として重要ファイルは上書きされにくい方法でバックアップ
- 家族や従業員にもフィッシングや偽サポートの見分け方を教育
「完璧」なセキュリティでなくても、数個の習慣を徹底するだけで、最も簡単な攻撃経路を遮断し、再被害時の被害規模を大きく減らすことができます。
最後に
ハッキングされたからといって、必ずしも自分の落ち度とは限りません。攻撃者は常に個人や企業を狙い、慎重な利用者でも、巧妙なフィッシングページや古い流出パスワード、気付かれにくいデバイス侵害に騙されることがあります。
最も大切なのは行動です――まずメールアカウントを確保し、信頼できる端末からパスワード変更、セッションの失効、強固な MFA の有効化、金銭的被害の確認、証拠保存、影響者への通知。その後で再被害を防ぐための仕組み・習慣の強化を進めてください。
