AIアカウントを乗っ取られない設定：パスキー・2段階認証・ログイン履歴の見方

まず知っておく前提：追加認証だけでは足りない場面がある

IPA（情報処理推進機構）は、不正ログインの相談が増えていると注意しています。手口として、パスワードの推測、過去に流出したID・パスワードの使い回し狙い、フィッシング（偽メールやSMS）を挙げています。対策には、長く使い回さないパスワード、多要素認証、パスキーの利用を勧めています（IPA「インターネットサービスへの不正ログインによる被害が増加中」）。

IPAの注意喚起では、SNSの事例として、知人になりすましたDMで電話番号を聞き出し、届いた認証コードを教えさせる手口も紹介されています。AIサービスでも、届いたコードや承認ボタンを他人に渡さない、メールのリンクから入らず公式のアプリやブックマークから入る、という習慣が設定と同じくらい大切です。

10分の設定手順

• 2分、やること：ログインに使っているメール・Googleアカウントを確認し、追加認証が有効か見る、目的：入口を固める
• 4分、やること：AIサービス側でMFA（多要素認証）を有効にする、目的：パスワード漏えい時の防御
• 2分、やること：ログイン中の端末やセッションを見て、知らないものを終了する、目的：既に入られていないかの確認
• 2分、やること：対応メモ（後述）に連絡先とメモを書く、目的：事故のときに迷わない

メニュー名は英語表示のヘルプに基づくため、日本語表示では言い回しが違う場合があります。

ChatGPT：MFAを有効にする

OpenAIのヘルプによると、設定の「Security and login」でMFAの方法を選びます。選べるのは認証アプリ、プッシュ通知、SMS／WhatsAppのコード、パスキーです（OpenAI「Managing multi-factor authentication (MFA)」）。注意点も書かれています。

• メールは標準のMFA方法として使えません。
• 選べる方法は、端末、国、アカウントの種類、アカウントの作り方で変わります。
• すべての方法を失った場合は、サポートへの連絡による復旧になり、数日かかるとされています。

選び方の目安は次のとおりです。

• パスキー、向いている人：端末の生体認証やPINに慣れている人、気をつける点：端末を買い替えるときの引き継ぎ方法を先に確認する
• 認証アプリ、向いている人：複数端末で使いたい人、気をつける点：機種変更前にアプリの移行をする
• SMS／WhatsApp、向いている人：とにかく簡単に始めたい人、気をつける点：コードを聞かれても他人に教えない

迷ったら、表示されたものの中で上から順にパスキー、認証アプリ、SMSの順で選んでください。この順序は、Googleがパスキーをフィッシング対策として紹介していることを踏まえた編集上の目安です（Google「パスワードの代わりにパスキーでログインする」）。

Claude：入口のアカウントを守り、セッションを管理する

Claudeの公式ヘルプでは、Googleアカウントでのログインと、メールで届くリンクによるログインが案内されています（Claude「Log in to your Claude account」）。利用しているログイン方法に合わせて、メールやGoogleアカウント側で追加認証を有効にしてください。

Gemini：Googleアカウントの設定で守る

GeminiはGoogleアカウントでログインします。Googleアカウントの「セキュリティとログイン」→「Google にログインする方法」→「2 段階認証プロセスを有効にする」を開き、画面の案内に従います。職場や学校のアカウントで設定できない場合は、管理者に確認してください（Google「2 段階認証プロセスを有効にする」）。

パスキーは、Googleアカウントの「パスキーとセキュリティ キー」から作成します。自分が所有し使用する端末だけで作成してください。パスキーでログインする場合は2つ目の手順が省略されます（Google「パスワードの代わりにパスキーでログインする」）。セキュリティ診断では、アカウントに応じた推奨対策を確認できます（Google「アカウントのセキュリティを強化する」）。

ログイン中の端末は、「セキュリティとログイン」→「お使いのデバイス」→「すべてのデバイスを管理」で確認し、不明なセッションは選択してログアウトします。表示時刻には自動同期も含まれるため、自分が操作した時刻とは限りません（Google「アカウントにアクセスしたデバイスを確認する」）。

ログイン履歴とセッションの見方

ChatGPT

OpenAIのヘルプでは、「Settings」→「Security and login」→「Security history」で履歴を確認できると案内されています。表示されるのは、イベントの種類と時刻、場所、端末の情報です。場所や端末は概算だったり、表示されなかったりする場合があります（OpenAI「Keeping your OpenAI account secure」）。

Claude

Claudeでは、プロフィールのアイコンから「Settings」→「Account」を開き、「Active sessions」（新しい設定画面では「Where you're logged in」）を見ます。各セッションにはブラウザとOS、IPアドレスに基づく大まかな場所、最終利用またはポリシー変更による更新時刻、現在のセッションを示す表示があります。心当たりのないものは、メニューから「Terminate」を選んで終了できます（Claude「Managing your active sessions」）。全セッションを終了する場合は、Web版の「Settings」→「Account」にある「Log Out」を選び、確認します。この操作はiOS・Androidアプリでは利用できません（Claude「How do I log out of all active sessions?」）。

「怪しい」の判断表

• 自分の端末とおおよその地域、判断：通常、次の一手：何もしない
• 使っていない古い端末やブラウザ、判断：要整理、次の一手：セッションを終了
• 自分が操作していない時刻のログイン、判断：要警戒、次の一手：下の対応メモへ
• 場所だけが違う、判断：判断保留、次の一手：場所は概算のことがある。端末と時刻も合わせて見る
• 覚えのない認証コードやログイン承認の通知、判断：要警戒、次の一手：承認しない。下の対応メモへ

不審なログインに気づいたときの対応メモ

OpenAIのヘルプには、乗っ取りが疑われるときの流れとして、次の項目が挙がっています。

1. パスワードが漏れた可能性があれば、すぐ変更する。
2. ログイン中のセッションをすべて終了する。
3. APIキーを使っているなら削除し、利用状況に不審な点がないか確認する。
4. セキュリティ履歴に心当たりのないイベントがないか確認する。
5. 不正アクセスの記録を添えてサポートに連絡する。

ChatGPTの全セッション終了は、設定の「Security」にある「Log out all」からできます。OpenAIのヘルプによると、他の端末が完全にログアウトされるまで最大30分かかることがあります（OpenAI「How do I log out of all of my devices?」）。

IPAの案内では、自分でログインできる場合は、パスワード変更、登録メールアドレスや電話番号の確認、多要素認証の設定を行います。ログインできない場合は、パスワードリセットかサービス提供者への相談です。

次のメモを、パスワード管理アプリや手元のノートにコピーして使ってください。書くのは手順と連絡先だけにして、パスワードやリカバリーコードは書かないでください。

【AIアカウント 緊急メモ】作成日：____
□ ChatGPT：パスワード変更 → Log out all → 履歴確認（30分ほど待つ）
□ Claude：Web版の Settings > Account > Log Out で全セッションを終了
□ Gemini：Googleアカウントのセキュリティ画面でログイン中の端末を確認
□ ログインに使っているメール／Googleのパスワードを変更
□ 同じパスワードを使い回したサービスも変更
□ APIキーがあれば削除・再発行、利用状況を確認
□ 見つけた不審な履歴（日時・端末・場所）を画面メモで保存
□ サポートへの連絡窓口：____

AIに手伝わせるなら：渡してよい情報、渡さない情報

自分の状況に合わせたチェックリストをAIに作らせることはできますが、アカウントの情報を渡す必要はありません。以下は説明用の例で、実行結果ではありません。

次の条件で、AIアカウントのセキュリティ設定チェックリストを作ってください。
- 使っているサービス：ChatGPT、Claude、Gemini
- ログイン方法：メールアドレス（ChatGPT）、Googleアカウント（Gemini）
- 使用端末：Windowsパソコン1台、iPhone1台
- 優先順位：ログインの入口、追加認証、履歴とセッションの確認の順
- 公式ヘルプで確認すべき項目は、確認が必要と明記してください

渡さないものは、パスワード、認証コード、リカバリーコード、APIキー、会話履歴の中身です。AIが示すメニュー名や手順は、必ず各社の公式ヘルプか実際の画面と見比べてください。

月1回の見直し

• 知らないセッションや履歴が増えていないか
• 機種変更や電話番号変更があれば、追加認証の登録情報を更新したか
• 使っていないAIサービスのアカウントを残していないか

利用していないサービスは、必要な履歴の保存や削除を確認したうえで、退会も検討してください。