フィッシングサイトに入力してしまったら？パスワード・認証コード・カード情報別の対処

フィッシングサイトへ情報を入力したら、その画面での操作を止め、入力した情報に合う公式窓口へ連絡してください。パスワードならアカウント保護・復旧、認証コードなら承認された操作の確認、カード・銀行情報なら金融機関への連絡を優先します。送金や不正利用がある場合は、詳しい記録を整える前に利用停止等を相談します。受信メッセージの連絡先を使わず、普段の公式アプリやカード裏面など別の経路を使ってください。

情報確認日：2026年10月14日。下の早見表から該当箇所へ進めます。複数の情報を入力した場合は、一つの対応で完了とせず、それぞれ確認してください。

入力した情報別｜今すぐ確認する窓口と対応

入力・承認したもの	優先する対応・窓口／後で確認すること
ID・パスワード	公式画面でパスワード変更、またはアカウント復旧へ。利用サービスの公式サポートへ。後で端末・復旧先・使い回し先も確認する。
SMS等の認証コード・承認通知	コードを発行したサービスへ連絡。ログイン、再設定、決済の何を承認したか確認。後で履歴と設定変更を照合する。
カード・銀行情報、送金操作	カード発行会社・銀行へ速やかに連絡。不正利用が見えなくても入力を伝える。後で明細・調査結果・再発行を確認する。
氏名・住所・本人確認書類	渡した情報の種類を整理。不審な契約・請求はその事業者へ。後で関連する通知・請求を確認する。
アプリ・プロファイル・アクセス許可	端末とアカウントの権限を確認。仕事用なら管理者へ。OS・サービスの公式サポートへ。後で許可した範囲と不審な操作を確認する。

正規の連絡先が分からないときに、不審な画面の「キャンセル」「救済窓口」へ進まないでください。画面を閉じ、以前から使っている公式アプリや確認済みブックマークを開き直します。検索結果の広告や先頭表示だけで、公式窓口と判断することも避けます。

銀行やカードの対応と、警察への相談は役割が違います。警察庁のフィッシング対策・被害時の案内を参照しつつ、取引の停止などは利用金融機関へ直接連絡してください。警察に相談したことだけで、カードや口座の利用が止まるわけではありません。

「開いた」「入力した」「承認した」を分けて振り返る

ページを開いたことだけで、必ず端末が感染したとはいえません。一方、「何も買っていない」「送信ボタンは押していない」だけでは、情報を渡していないと断定できません。入力した項目、許可した操作、入れたアプリの有無を確認します。

• メールやSMSを受信しただけか。
• リンク・添付を開いたか。
• 文字を入力した、画像を選択した、送信したか。
• SMSや認証アプリのコードを入力・口頭で伝えたか。
• ログインや決済の承認通知で「許可」を押したか。
• アプリ、構成プロファイル、拡張機能を入れたか。
• データへのアクセスや遠隔操作を許可したか。
• 支払い・送金を実行したか。

分からない箇所は「不明」で構いません。もう一度同じ操作をして確かめたり、認証コードを再発行して相手に渡したりしないでください。画面にエラーが出ていても、その表示を理由に入力し直す必要はありません。

端末が相手から遠隔操作されている可能性がある場合、同じ端末で新しいパスワードや金融情報を入力し続けるのは避けます。別の信頼できる端末や電話で公式窓口へ状況を伝えてください。会社の端末なら、自己判断で初期化する前に管理者の指示を受けます。

パスワードを入力した場合｜変更と復旧を分ける

まだ自分でログインできる場合

普段の正規アプリや公式サイトからセキュリティ設定を開き、そのサービスで使うパスワードを変更します。入力してしまったものと同じパスワードを別のサービスでも使っている場合は、その使い回し先も対象です。末尾だけ変えるのではなく、サービスごとに異なるものへ変更してください。

メールアカウントも同じパスワードなら、他サービスの再設定メールを受け取る入口として保護を急ぎます。ただし、銀行の不正送金や決済承認が発生している場合は、そちらの窓口への連絡を後回しにしないでください。家族に手伝ってもらう場合も、新しいパスワードを共有する必要はありません。

IPAの不正ログイン被害への対処では、ログインできるかどうかに応じた対応を示しています。自分で設定を変えられるうちに保護を進め、次の確認も続けます。

ログインできない場合

公式サイトの「アカウント復旧」「パスワードを忘れた場合」などを利用します。以前は使えたパスワードが通らない、再設定メールが届かない、登録先が知らないものに変わっている場合は、その状況も正規サポートへ伝えます。

検索で見つけた「復旧代行」へ認証コードや本人確認書類を送らないでください。復旧に必要な本人確認がある場合も、提供事業者が指定する正規の受付経路を使います。問い合わせに使えるメールが乗っ取られた可能性があれば、別の連絡方法を公式案内で確認します。

この段階で「アカウントを削除すれば終わる」とは限りません。請求、連携サービス、保存データなどが残っている場合もあるため、まず利用者本人が管理できる状態へ戻す手続きと、不正な利用を止める対応を相談してください。

パスワードを変えた後に、端末・連絡先・連携を確認

パスワード変更で、すべてのログインや外部アプリの権限が必ず消えるとは限りません。例えばGoogleのパスワード変更案内には、変更後もログアウトされない端末等の例外があります。各サービスの画面で、ログイン中の端末、最近の操作、復旧用メール・電話番号、連携アプリを確認します。

見覚えのないものがあれば、公式ヘルプに沿ってログアウト、アクセス権の取り消し、登録情報の修正を行います。パスワードを変える操作と、外部サービスへのデータアクセスを解除する操作を分けてください。業務用の連携は必要な仕組みかもしれないので、管理者と照合します。

メールサービスでは、受信後の転送や振り分け設定も確認対象です。Googleの不正使用されたアカウントの保護手順は、Gmailの不審な転送・フィルタなども挙げています。他社メールで同じ名称の設定があるとは限らないため、その事業者の案内を参照します。

保護・復旧の手続きが進んだら、対応している多要素認証やパスキーも検討します。ただし、設定を追加すれば過去の不正操作が消えるわけではありません。知らない端末や復旧先を確認せず、新しい認証方法を足すだけで終えないようにしてください。

認証コードを入力・承認した場合｜何の操作だったか確認

認証コードは、ログイン、パスワード再設定、決済、登録情報変更などで使われます。相手が「返金の確認」と説明していても、実際のメッセージには別の操作名が書かれていることがあります。残っている正規の通知を確認し、サービス名と操作の種類を控えてください。コードの数字そのものを記録表へ転記する必要はありません。

連絡するのは、コードを入力させた相手ではなく、認証を提供したサービスです。カード決済の認証ならカード発行会社、銀行の送金承認なら銀行、アカウントのログインならそのサービスへ、「自分が意図していない操作でコードを渡した／承認した」と伝えます。

通知に書かれた操作	公式窓口で確認する内容
ログイン・本人認証	知らない端末のアクセスがないか。ログアウトや利用制限が必要か。
パスワード・登録先の変更	変更が成立していないか。自分の連絡先で復旧できるか。
カード決済・送金	該当する取引、金額、処理状況。停止や調査の手続き。
操作名が分からない	通知日時とサービス名から、何が承認されたか照会する。

数字を入力せず、スマートフォンの通知で「承認」を押した場合も伝えてください。コードの有効期限が切れたことと、すでに成立した操作が取り消されることは別です。追加の通知が届いても、取り消しのつもりで承認を繰り返さないでください。

「コードをもう一度送れば元に戻る」という連絡には応じず、公式窓口の案内を待ちます。パスワードも入力していた場合は、認証コード側の照会とアカウント保護の両方が必要です。

カード・銀行情報を入力した場合｜被害の表示を待たず連絡

カード番号・有効期限・セキュリティコード

カード情報を不審なサイトへ入力した場合、明細に請求が出ていなくても、発行会社へ事情を伝えます。停止、番号変更、再発行、不正利用調査のどれが必要かは、発行会社の案内に従ってください。クレジット、デビット、プリペイド等で手続きは異なります。

三井住友カードの公式FAQは、不審サイトへカード情報を入力した場合に、カード番号を無効にする停止手続きを案内しています。これは同社の案内です。他社カードにも同じ画面や手続き名があると考えず、自分の発行会社へ確認してください。

カード会員サイトのID・パスワードも入力していれば、それも申し出ます。カードの利用停止と会員アカウントの保護は同じ操作とは限りません。停止後の継続課金、公共料金、再発行カードの受取方法などは、緊急の対応が済んでから整理できます。

銀行のログイン情報・送金用認証

銀行名、入力した情報の種類、認証操作、送金の有無を銀行へ伝えます。ログインパスワードを入力しただけか、ワンタイムパスワードや承認操作までしたかは分けてください。取引履歴を確認できない場合でも、確認できるまで連絡を待つ必要はありません。

例えば三菱UFJ銀行の「被害が心配な場合」の案内では、不審サイトへの入力や身に覚えのない出金に関する相談先を示しています。利用銀行の同種の公式案内を探し、口座やインターネットバンキングの利用制限、取引調査等を相談します。

実際に送金した場合は、日時、金額、振込先、取引番号など、手元に残る正規の取引記録を伝えます。返金や組戻しが必ずできるとは限りません。銀行へ連絡した時刻と案内内容を控え、必要に応じて警察にも相談してください。

補償の可否と、今する保護を分ける

補償は契約、申告内容、取引の状況、連絡時期などを確認して判断されます。「自分で入力したから相談できない」「必ず全額戻る」のどちらも、この記事だけでは決められません。返金を見込んで待つのではなく、まず公式窓口に事実を伝えます。

相談先を一つにまとめようとして時間を使うより、カード会社はカード、銀行は口座、サービス事業者はアカウントという担当の違いを意識します。どこまで手続きが済んだか、受付番号と次の確認を分けて控えると、同じ説明を繰り返す負担を減らせます。

氏名・住所・免許証画像を渡した場合

氏名や住所、本人確認書類の画像は、パスワードのようにすぐ差し替えられる情報ではありません。まず、どの書類のどの面を渡したか、氏名・住所・生年月日など何を入力したかを整理します。確認のため、同じ画像を別の「調査サイト」へ送らないでください。

電話番号を渡した場合は、後から届く電話やSMSに注意します。正しい氏名や事情を知る相手でも、追加情報を渡す根拠にはなりません。身に覚えのない契約、請求、本人確認の通知が来たら、その会社の独立した公式窓口へ確認します。

免許証画像については、免許証画像の漏えい後に確認することと相談先で、書類情報ならではの注意点を整理しています。番号変更や再交付をすれば画像の悪用がすべて防げる、と決めつけず、該当窓口に必要な対応を確認してください。

メールアドレスだけ、住所だけ、といった場合も、カード停止など全員に同じ対応をするわけではありません。渡した情報に応じて、以後の連絡の確認と不審な利用の照会を行います。パスワードも一緒に入力していた場合は、情報の少なさを理由にアカウント保護を省略しないでください。

アプリ・プロファイル・遠隔操作・連携を許可した場合

端末の設定変更と、サービスのアクセス許可は別

アプリのインストール、端末を管理するプロファイル、画面共有や遠隔操作、外部サービスへのアクセス権は、同じものではありません。何を許可したかによって確認先が変わります。相手の指示を止め、入れたものの名称や許可した内容を、分かる範囲で公式サポートへ伝えます。

Androidでは、Googleのマルウェア対処案内が、Playプロテクトや更新、不審なアプリの確認等を案内しています。画面に出た警告の広告から別の対策アプリを追加するのではなく、端末メーカーやOSの公式手順を使ってください。

iPhone等の構成プロファイルは、Appleのプロファイル確認・削除の説明を参照します。削除に伴って関連する設定やデータが消える場合があります。会社・学校の管理端末では、見慣れない名前という理由だけで消さず、管理者へ確認します。

外部アプリへのアクセスを許可した場合

パスワードを相手へ直接入力していなくても、「メールを読む」「ファイルへアクセスする」などを許可した可能性があります。サービスの接続済みアプリ一覧から、許可した相手と範囲を確認します。Googleアカウントとサードパーティの接続管理のような、利用サービス自身の案内を参照してください。

連携を解除することと、すでに相手が取得した情報を回収することは別です。必要な解除を行ったうえで、取得対象のデータや不審な操作を事業者へ相談します。今後の権限整理については、AIアプリの権限・連携を確認するためのガイドも参考になります。

遠隔操作中に口座やカード画面を見せた場合は、端末の相談に加えて該当金融機関へ伝えます。アプリを消しただけで、見られた情報や成立した取引まで元に戻るとは限りません。初期化や履歴の一括削除を最初の共通手順にせず、保護と必要な記録を両立できる進め方を相談してください。

相談に使う記録表｜秘密の値ではなく、情報の種類を残す

停止や復旧を急ぐ場面で、全項目を埋めるまで連絡を待たないでください。手元の通知や取引記録で分かることから伝え、不足は後で補います。不審サイトへ戻ってスクリーンショットを撮り直す必要はありません。

記録する項目	書き方・注意
日時・入口	受信日時、操作したおおよその時刻、メール・SMS・広告等の別。
サービス・情報の種類	サービス名、パスワード・カード情報・書類画像など。秘密の実値は書かない。
実行した操作	入力、送信、認証、承認、インストール、権限許可、遠隔操作等。曖昧なら不明とする。
取引・不審な履歴	正規の明細で確認した日時・金額・取引番号。推測と確認済みを分ける。
相談と対応	公式窓口、連絡時刻、受付番号、停止・変更等の実施内容。
次に確認すること	調査結果の連絡方法、再発行、再設定、明細の確認など。

説明用の記入テンプレートです。相談の冒頭は「［日時］に［サービス名］を名乗るページで［情報の種類］を入力しました。［認証・送金・アプリ等］の操作は［有／無／不明］です。現在は［ログイン可否・不審取引の有無］です。必要な停止・保護手続きを案内してください」と整理できます。

パスワードや認証コードを、この文例へ埋める必要はありません。カード番号等が本人確認に必要な場合も、独立して確認した正規窓口の正式な手順に従います。相談メモや通知全体をSNSへ公開したり、生成AIへ無加工で貼り付けたりしないでください。

「取り戻せる」という追加連絡にも注意

被害後に、返金、アカウント復旧、流出情報の削除を持ちかける連絡が来ても、元の会社の対応とは限りません。米国FTCの返金・被害回復詐欺の注意喚起は、先払い金や金融情報を求める手口を説明しています。米国の注意喚起であり、日本の補償制度を説明するものではありませんが、突然届く救済の申し出を別途確かめる参考になります。

依頼していない相手が被害の詳細を知っていても、信用の根拠にしないでください。相談した正規窓口へ自分から連絡し、担当者・受付番号・手続きの必要性を確認します。新しい送金や認証コードの提供を、その連絡だけで決めないようにします。

フィッシングの報告は、フィッシング対策協議会の受付案内などに沿って行えます。ただし報告は、カード停止、口座対応、アカウント復旧の代わりにはなりません。保護の手続きと、情報共有の報告を分けて進めてください。

よくある質問

送信ボタンを押していなければ大丈夫ですか？

それだけでは、情報が渡っていないと断定できません。入力した情報の種類を基準に相談し、確認のため再訪・再入力しないでください。

パスワードを変更したら、ほかの対応は不要ですか？

端末のログイン、復旧先、外部アプリの権限、不正な取引等も確認対象です。カード情報や認証コードも渡している場合は、別途その窓口へ連絡します。

認証コードはもう期限切れです。放置できますか？

コードで承認された操作が、期限切れによって取り消されるわけではありません。発行元へ操作の確認を依頼し、追加コードは相手へ渡さないでください。

被害額がまだ分からなくても相談できますか？

入力した情報、操作の日時、不正利用の確認状況を伝えて相談します。金額の確定を待って保護を遅らせず、不明な部分は不明と説明してください。