Microsoftの「不審なサインイン」はどうなる？本物か詐欺メールかの見分け方と乗っ取りを疑うときの対処手順

見覚えのない国からのサインイン通知が届いた。社員から「送っていないメールが送信済みに入っている」と報告があった。こうした場面では、やることの順番を知っておくと、落ち着いて対処できます。

まず確認：その通知は本物か詐欺メールか

「不審なサインインを検知しました」という文面は、そのまま詐欺メールの定番でもあります。本物かどうかは、メールの見た目ではなく、自分で開いたMicrosoftのページで確かめます。

• メール内のリンク・ボタンは押さない。ブラウザに自分でアドレスを入力するか、ブックマークから開きます。
• 会社のアカウント（Microsoft 365）は mysignins.microsoft.com の「サインイン」、個人のMicrosoftアカウントは account.microsoft.com の「セキュリティ」→「サインイン アクティビティ」を開きます。
• そこに同じ日時・場所のサインインがあれば本物の通知です。見当たらなければ、メールのほうが偽物の可能性が高いと考えます。
• 件名に「［社内IT］」など社内の部署を名乗るメールは、電話や社内チャットなど別の経路で、その部署に本当に送ったかを確かめます。

件名が「【重要】［社内IT］アカウントにおける不審なサインインの検知について」のメールは？

このように「社内IT」「情報システム部」を名乗る件名は、Microsoftからの通知ではなく、社内の部署からの連絡という体裁です。本当に自社の担当部署が送ったものか、部署を名乗った詐欺メールかのどちらかです。

• メール内のリンクを押さない・パスワードを入力しない。返信もせず、電話や社内チャットなど、ふだん使っている別の経路で担当部署に確認します。
• 同じメールが他の社員にも届いていないか、担当部署に伝えます。一人が気づいても、別の人が入力してしまえば同じことが起きます。
• すでにリンク先でパスワードを入力してしまった場合は、偽物であっても乗っ取られたものとして、下の手順1から進めます。

会社のMicrosoft 365のパスワードが、そのままWindowsのPCにログインするパスワードと同じになっている会社も少なくありません（Entra IDやActive Directoryで同じアカウントを使っている場合）。その場合、盗まれたパスワードで入られる先はメールだけではなく、社内のPC・サーバーにも及びます。PC・サーバーのログインを、パスワードを知っているだけでは入れない形にする方法はOSログイン・PCログインの二要素認証で解説しています。

通知が届く前に、費用をかけずに自社の状況を調べる方法は不正ログインを無料で確認する方法にまとめています。

手順1：セッションを切る（最優先）

パスワードを変えても、すでに確立された接続はしばらく生き続けます。攻撃者の画面は開いたままなので、まずここを切ります。

• entra.microsoft.com → ID → ユーザー → 対象ユーザーを開く
• 「パスワードのリセット」を実行
• 続けて「セッションを取り消す」を実行

2つは必ず両方、パスワード変更が先です。逆にすると、取り消したあとに古いパスワードで入り直される可能性が残ります。

クラウドの管理画面には、社内のPC・サーバーのログインは出てきません。アプリップリキーなら、全PC・サーバーのログイン記録（日時・利用者・接続元のPC名とIPアドレス）を1か所で見られます。「社内のPCにも入られていないか」と聞かれたとき、1台ずつ見て回らずに画面で確かめ、CSVでそのまま説明に使えます。ログインの連続失敗はLINEに届くので、何もない日は見に行かなくて済みます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、2要素認証になります（PC版・サーバー版。リモートデスクトップでのログインも対象）。ADは不要で、PC1台から始められます。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

手順2：認証方法に見覚えのない登録がないか確認する

ここが最も見落とされます。対処したつもりで再侵入されるのは、たいていこれが原因です。

攻撃者は侵入後、自分の電話番号や認証アプリを「本人の認証方法」として追加することがあります。残っていると、パスワードを変えても、リセット手続きを使って入り直せます。

ユーザーの詳細画面で「認証方法」を開き、電話番号・アプリ・メールアドレスを1件ずつ本人に確認します。覚えのないものは削除します。多要素認証が突破される経路は多要素認証が突破される場合で扱っています。

手順3：メールの転送ルールを確認する

追い出されたあとも情報を取り続けるための仕掛けが、メールのルールに残っていないかを見ます。

乗っ取った攻撃者が最初に行う操作の一つが、受信メールを外部へ自動転送する設定です。「特定の単語を含むメールを既読にして削除する」という、取引先とのやり取りを本人に見せないルールが仕込まれる例もあります。

• Exchange 管理センターで、対象メールボックスの受信トレイのルールと転送設定を確認
• 本人に確認し、覚えのないものを削除
• 他のユーザーにも同様のルールがないかを確認（横展開されている場合がある）

手順4：何をされたかを調べる

止めたあとは範囲の特定です。ここを調べておくと、報告や取引先への説明が迷わずにできます。

表の最後の項目は必ず行ってください。1つのアカウントだけが狙われることは稀で、同じ攻撃者が複数のアカウントを試している場合があります。

手順5：報告義務があるかを判断する

個人情報が含まれるメールやファイルにアクセスされた可能性があれば、法律上の報告義務が生じることがあります。

• 不正アクセスによる漏えいのおそれは、件数に関係なく対象です。「1件だから報告不要」は誤りです
• 速報の期限は短く、社内で検討している間に過ぎてしまいます。判断は調査の完了前に始めます
• 「範囲が特定できない」は、報告しない理由になりません。絞れない場合は対象が広く扱われます

判断の基準と期限は個人情報漏えいの報告義務と期限で整理しています。ログを残しておく実務的な意味はここにあります。

手順6：同じことが起きない状態にする

復旧したら、入られた経路をふさいでおきます。侵入経路に応じて手を打ちます。

• レガシ認証が有効なら無効化する — 多要素認証を回避できる経路です。サインインログのクライアントアプリで残存を確認できます
• 多要素認証が全員に適用されているか確認する — 除外されたアカウントが残っていることがあります（Microsoft 365で多要素認証を必須にする手順）
• 同じパスワードが他で使われていないか確認する — 起点が他社サービスの漏えいなら、社内の他のシステムも同じ状態です（使い回しを確認する方法）
• フィッシングによる入手かを確認する — 同じメールが他の社員にも届いている可能性があります（フィッシングによる認証情報の窃取）

やってはいけないこと

慌てた対応が、調査と再発の芽を残すことがあります。次の2つは避けてください。

• アカウントをいきなり削除しない — 調査に必要な記録が失われます。無効化とセッションの取り消しで実害は止まります
• 本人を責めない — 報告が遅れる最大の原因は、報告した人が責められる文化です。すぐ報告される状態を保つ方が、被害の総量は小さくなります

普段の管理が楽になると何が変わるか

不審なサインインの通知が来たとき、いちばん手間がかかるのは「社内のPCやサーバーは大丈夫か」を確かめる作業です。全PC・サーバーのログイン記録が1か所にあれば、社員の席を回らずに、いつ・誰が・どのPCから入ったかを画面で確かめられます。上司や取引先には、その画面やCSVをそのまま見せて説明できます。

何もない日は見に行かなくてよく、ログインの連続失敗があるときだけLINEに届きます。兼任の担当者でも、PCのことで調べる時間が減ります。

全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。

あわせて見直したい設定として、Microsoft 365のレガシー認証のブロックとゲストアカウントの棚卸しも解説しています。

よくある質問

「不審なサインインの検知について」というメールは本物ですか

本物の場合も詐欺メールの場合もあります。メール内のリンクは押さず、自分でmysignins.microsoft.com（会社のアカウント）またはaccount.microsoft.com（個人のアカウント）を開き、同じ日時のサインインがあるかで確かめてください。

「【重要】［社内IT］」と書かれた不審なサインインのメールが届いたらどうしますか

メール内のリンクは押さず、パスワードも入力せず、電話や社内チャットなど別の経路で担当部署に本当に送ったかを確かめます。すでにリンク先でパスワードを入力していれば、偽物であっても乗っ取られたものとして、セッションの取り消しから対処してください。

Microsoft 365で不正アクセスの疑いがあるとき最初に何をすべきですか

パスワードのリセットと、続けてセッションの取り消しです。パスワード変更だけでは既存の接続が生き続けるため、両方を実施してください。

パスワードを変えたのにまた侵入されるのはなぜですか

攻撃者が自分の電話番号や認証アプリを認証方法として追加している可能性があります。この登録が残っていると、パスワードのリセット手続きを使って入り直せます。認証方法の一覧を本人と照合して削除してください。

1件だけの漏えいでも報告が必要ですか

不正アクセスによる漏えいのおそれは、件数に関係なく報告の対象となり得ます。件数だけで判断せず、速やかに要否の検討を始めてください。

いまの運用を棚卸ししてみる

侵入後の対処手順を持っていることは重要ですが、使わずに済む状態を作る方が優先です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。

参考・出典

• Microsoft Learn「侵害された可能性のあるメール アカウントへの対応」
• Microsoft Learn「サインイン ログとは」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」

※ 本記事は2026年9月時点の一般的な解説です。画面構成やメニュー名称は変更される場合があります。報告義務の要否は事案の内容によって異なるため、実際の判断にあたっては個人情報保護委員会の公表資料および専門家の助言をご確認ください。