身に覚えのない認証コードを受け取ったのはなぜ?

リクエストしていない認証コードが届く理由

予期しない認証コードは、入力ミス、サインインやパスワードリセットの試み、あるいはあなたに反応を促すために作られた詐欺メッセージが原因で届くことがあります。リクエストしていないコードが届いたからといって、それだけでアカウントにアクセスされたことや、誰かがあなたのパスワードを知っていることが証明されるわけではありません。コードを共有したり、身に覚えのないプロンプトを承認したり、メッセージ内のリンクを使ったりしないでください。該当するサービスを直接開いて、アカウントの利用状況を確認してください。

コードが何を保護するかはサービスによって異なります。新規登録、サインイン、パスワードリセット、アカウント回復の試み、電話番号、あるいは支払いなどの重要な操作の確認に使われることがあります。だからこそ、正しい対応はコード自体ではなく、届き方のパターンによって決まります。

• コードが1通だけで、他に警告がない場合： 入力ミス、新規登録、サインインやリセットの試み、あるいは偽のメッセージの可能性があります。コードは使わず、該当するアカウントがあれば直接確認してください。
• コードが繰り返し届く場合： 誰かが繰り返しサインインやアクセスのリセットを試みている可能性があります。今すぐそのアカウントを確認してください。
• コードに加えてアカウントの通知も届く場合： 新しいデバイスからのサインイン、パスワード変更、アカウント回復情報の変更の通知であれば、今日中に対応が必要です。
• コードを尋ねてくる相手： 相手が誰だと名乗っていても、詐欺として扱ってください。

誰かが誤ってあなたのメールアドレスや電話番号を入力した

人は自分の連絡先情報をよく入力し間違え、その結果コードが本人ではなくあなたに届くことがあります。Login.govのヘルプページ「リクエストしていないワンタイムコードが届く」でも、これが有力な原因として挙げられており、配偶者や親、子どもなど、あなたの電話番号を共有している人が自分のアカウントにサインインしている場合も同様だとされています。その後何も続かない1通だけのコードは、この種の取り違えの典型的な兆候です。

誰かがサインインやパスワードリセットを試みた

多くのサービスは、新しいデバイスや場所からのサインインがあったとき、または誰かがパスワードリセットを開始したときにコードを送ります。その誰かは、別のデバイスを使っているあなた自身かもしれませんし、あなたのアカウントを自分のものと勘違いした人かもしれませんし、別のサイトから漏れたパスワードを使った自動ログインの試みかもしれません。サービスによっては、コードがパスワード入力後の2段階目であったり、パスワードなしサインインの主要な認証情報であったりしますが、コードだけではどちらか判断できません。共有したり入力したりせず、公式アプリまたはウェブサイトでアカウントを確認してください。

誰かがあなたの連絡先情報を使って登録した

使ったことのないサービスの登録コードが届くのは、誰かがアカウントを作成する際にあなたのメールアドレスや電話番号を入力したためかもしれません。ほとんどのサービスは、コードや確認リンクが使われるまで登録を完了しないため、通常はメッセージを無視するだけで十分です。調べるためだけにアカウントを作成しないでください。

そのメッセージは本物のコードではなくフィッシング

実際にはアカウントの操作が起きていなくても、メッセージが認証通知を装って、リンクや電話番号、「返信してキャンセル」といった指示を含んでいることがあります。目的は、あなたに電話をかけさせたり、クリックさせたり、偽のページに何かを入力させたりすることです。リンクを試しに開かないでください。公式アプリを開くか、サービスの既知のウェブアドレスを自分で入力してください。

サービス側の問題が大量のメッセージを引き起こした

原因が企業側にあることもあります。2026年1月、消費者団体Which?によると、Instagramは予期しないパスワードリセットメールの大量発生を「外部の第三者が一部のInstagramユーザーに対してパスワードリセットメールを要求できるようにした問題」によるものと説明し、システムが侵害されたことは否定しました。このような場合でも、安全な対応は同じです。リンクは無視し、アプリ内でアカウントを確認してください。

今すぐすべきこと

リクエストしていないコードへの最も安全な対応は数分で済み、メッセージ自体を操作する必要は一切ありません。次の手順を順番に進め、アカウントに問題がないことを確認できたらそこで止めてください。

1. コードを共有したり、転送したり、声に出して読んだりしないでください。 どこにも入力せず、自分で開始していないサインインプロンプトを承認しないでください。Googleのヘルプページ「Googleからテキストメッセージが送信される場合」には、リクエストしていないテキストのコードは無視して削除してよく、受け取ったコードは共有すべきでないと書かれています。
2. メッセージ内のものは一切使わないでください。 送信者が見覚えのある相手に見えても、リンクや電話番号、返信の指示はすべて無視してください。
3. サービスを自分で開いてください。 公式アプリを使うか、すでに知っているアドレスを入力し、最近のサインイン履歴、サインイン中のデバイス、セキュリティ通知を確認してください。Microsoftの「最近のアクティビティページとは」では、過去30日間のMicrosoftアカウントのアクティビティが表示され、不審としてフラグが付いた項目には「心当たりがありません」を選択できると説明されています。
4. 状況から必要と判断した場合は、パスワードを変更してください。 アクティビティに見覚えがない場合、サービスがサインインの試行を確認した場合、コードを共有してしまった場合、またはパスワードを他のサイトで使い回している場合は、公式サービスを通じて対応してください。そのアカウントには固有のパスワードを使いましょう。
5. より強力な多要素認証を有効にしてください。 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、セキュリティキーを最も強力な選択肢、次に認証アプリ、そしてテキストやメールのコードを最も弱い選択肢として位置付けています。CISAは、アカウントにそれ以上に強力な手段がない場合に限り、テキストやメールのコードを使うよう勧めています。
6. コードが届き続ける場合は、サービスに連絡してください。 アプリ内または公式サイトのヘルプセンターを利用してください。メッセージに記載された電話番号は使わないでください。

記載されたサービスにアカウントがない場合、誰かがあなたのメールアドレスや電話番号で登録しているか、そのメッセージ自体が偽物かもしれません。無視してください。同じサービスから連絡が続く場合は、公式ウェブサイトを通じてサポートチームに連絡してください。

1つのコード、繰り返し届くコード、アカウントの警告:それぞれのパターンが意味するもの

コードの数よりも、周囲の状況証拠の方が重要です。1つのコードは、入力ミス、新規登録、サインインやリセットの試み、あるいは偽のメッセージに由来することがあります。繰り返し届くコードは迅速なアカウントの確認を正当化し、見覚えのないサインインやアカウント変更の警告を伴うコードは、公式サービスを通じた即時の対応を求めます。

コードだけでは全体像が分かることはほとんどありません。アカウントが実際にアクセスされた兆候は、より具体的です:

• サインインできなくなった、またはサービスがパスワードや復旧情報の変更を確認した。
• アカウントに見覚えのないデバイス、セッション、場所が表示される。
• 自分が送信していないメッセージ、投稿、購入が現れる。
• メールアカウントに、自分が設定していない新しい転送ルールやフィルターがある。

これらのいずれかに気付いたら、すぐにプロバイダーの公式なアカウント復旧手続きを利用してください。

メールのコード、テキストのコード、サインインの承認プロンプト

確認すべき内容はチャネルによって変わります。メールのコードはメールアカウントと記載されたサービスに、テキストは電話番号に目を向けさせ、承認プロンプトはサインインがあなたの対応を待っていることを意味します。

身に覚えのない認証コードのメールを受け取ったら

心当たりのない認証コードのメールは、新規登録、サインインやパスワードリセットの試行、入力ミス、あるいは偽のメッセージが原因で届くことがあります。記載されているアカウントを公式サイトやアプリで確認してください。他にも誰かがあなたのメールボックスにアクセスした形跡があれば、最近のセッション、復旧用メールアドレスと電話番号、送信済みメール、転送ルールやフィルターも確認してください。自分で作成していない転送ルールは、コードを含む今後のメッセージをコピーしてしまう可能性があるため、削除してメールボックスを安全な状態にしてください。

SMSで認証コードを受け取った場合

返信したり、メッセージ内の番号に電話したり、見覚えのあるやり取りだからといってそのSMSが本物だと決めつけたりしないでください。スパムに見えるSMSについては、FTCのガイド「How To Recognize and Report Spam Text Messages」で7726（SPAM）への転送が勧められています。本物のサービスの番号をブロックするのは慎重に。後でそのコードが必要になるかもしれません。コードやアカウントの通知が届く最中に携帯電話の電波が突然失われた場合は、すでに信頼している手段で通信事業者に連絡してください。サービス障害にはありふれた原因もありますが、この組み合わせは一度確認しておく価値があります。

サインインの承認リクエストが届いた場合

自分が開始していないサインインはすべて拒否してください。AppleのPersonal Safety User Guideによると、見覚えのない新しいデバイスでのサインイン通知が届いた場合は「許可しない」を選ぶべきとされています。繰り返し届くリクエストは、あなたを根負けさせるための試みかもしれません。通知を止めたいだけで承認することは決してしないでください。

認証コード詐欺：誰かがコードを求めてきたとき

コードを求めること自体が、最もはっきりした危険信号です。FTCの2024年3月の消費者向け注意喚起「認証コードとは何か、なぜ誰かが私にそれを求めるのか？」には、はっきりこう書かれています。「アカウント認証コードを求めてくる相手は詐欺師です。」本物の企業は、自分で開いた画面に入力するためのコードを送ってくるものです。

手口は変わっても、求められるものは常にコードです：

• 「不正利用部門」を名乗る電話。 発信者は銀行、サポートチーム、あるいは政府機関を名乗り、アカウントの保護や確認のためにコードが必要だと言います。
• 「間違って」コードを送ってしまったという友人。 知っている連絡先からのメッセージで、誤ってあなたにコードが届いたと言い、送り返すよう求められます。その人には、信頼できる別の手段で連絡してください。アカウントが乗っ取られているか、なりすましの可能性があります。そのコードによって、誰かがあなたの電話番号を登録したり、アカウントを乗っ取ったりできるかもしれません。
• フリマアプリの買い手。 FTCの2021年10月のGoogle Voice認証コード詐欺に関する警告では、オンラインで商品を売る人々が「本人確認のため」にコードを読み上げるよう求められていると記されています。FTCの助言はこうです。自分から連絡していない相手には、認証コードを決して教えないでください。

心当たりのない相手からの連絡に対しては、決してコードを教えないでください。自分からサポートとのやり取りを始めた場合は、その組織の公式アプリやウェブサイトに表示される指示にだけ従い、コードのメッセージに書かれた警告を読みましょう。アカウントの状態を確認するには、カードに記載された番号やアプリ内の番号など、すでに信頼している番号で会社に連絡し、詐欺の試みはReportFraud.ftc.govで報告してください。

すでにコードを教えてしまった、または承認リクエストを許可してしまった場合

落ち着いて、すぐに行動してください。コードを教えたからといって必ずしも誰かが侵入したとは限りませんが、侵入された可能性を想定して、すぐにアカウントを保護してください。

1. サービスを直接開 いてパスワードを変更してください。その後、サービスに他のセッションやデバイスからサインアウトする機能があれば、それも実行してください。
2. 復旧用メールアドレス、復旧用電話番号、多要素認証の方法、バックアップコードなどの セキュリティ設定を確認してください。例えばLogin.govは、心当たりのないコードを受け取った人に対し、パスワードの変更、認証方法の確認、バックアップコードを使っている場合はその再生成を案内しています。
3. 銀行口座に関するコードであれば、カードや明細書に記載されている番号を使って 銀行やカード発行会社に電話してください。
4. 共有したコードがメールボックスに関するものであれば、転送ルールやフィルター、送信済みメールの履歴 を確認し ましょう。
5. メッセージアプリや電話番号サービスが関与してアクセスを失った場合は、サービスの公式な復旧手順を利用してください。
6. ReportFraud.ftc.gov に 報告 し、復旧を「手助け」しようとするフォローアップメッセージが届くことを想定してください。それらにも同じ注意を払ってください。

低リスクの登録をメインの受信箱から遠ざける

メインのメールアドレスは多くの重要なアカウントの復旧手段になるため、慎重に共有する価値があります。低リスクの登録には別のアドレスを使えば、登録コードやマーケティングメッセージをメインの受信箱に入れずに済みます。ただし、誰かがあなたの本当のメールアドレスを打ち間違えたり悪用したりすることを防げるわけではなく、強力なパスワードや多要素認証の代わりにもなりません。

ニュースレター、一度だけのダウンロード、続けるつもりのない無料トライアルなどの場合、一時的なメールアドレス を使えば、そうしたメッセージ専用の受信箱が用意できます。これによりメインの受信箱の雑然さは減りますが、そこに予期しないコードが届いても、誰が何のために要求したのかは分かりません。

使い捨てメールには実際に限界があり、それはセキュリティ面で特に重要です。Tmailorは受信専用で、メッセージは到着から約24時間で消え、アドレスはアクセストークンがある場合にのみ再び開けます。失ったアクセストークンは復元できないため、保存しておいたアドレスに戻る唯一の方法は アクセストークン再利用ページ です。

一部のサービスからのコードは、使い捨てメールアドレスにはまったく届かないこともあります。これについては 一時郵便OTPで何が有効で何が失敗するか のガイドで説明しています。銀行、メインのメール、携帯電話会社、職場、デバイスのアカウントは、自分で管理する恒久的なアドレスのままにしておいてください。一時郵便の限度額とリスク の概要では、使い捨てメールの受信箱を使うべきでない場面を扱っています。

受け取ったメッセージが「ChatGPTの一時的なログインコード」だった場合、ChatGPTログインコードガイド でOpenAIの具体的な手順を確認できます。次の低リスクの登録を切り分ける準備ができたら、無料の一時郵便住所を数 アドレスを数秒で作成できます。

すべてのケースに当てはまるルール

メッセージの原因が何であれ、リクエストしていないコードを共有したり使用したりしないでください。該当するアカウントを公式アプリまたは公式サイトで確認してください。コードが届き続ける、見覚えのないアクティビティがある、コードを共有してしまった、自分で開始していない承認プロンプトを承認してしまった、といった場合は速やかにアカウントを保護してください。逆に、リクエストしたコードがまったく届かないという問題の場合は、次を参照してください: なぜOTPコードが届かないのか を確認してください。