「新しい端末からログインがありました」というメールが届いたとき、確かめたいことは実は2つあります。その通知メールは本物かと、そのログインは自分のものかです。

2つは別の問題です。本物の通知が本物の不正ログインを知らせていることもあれば、通知そのものが偽物で、リンク先でパスワードを入力させようとしていることもあります。ただ、どちらの場合でも最初の一手は同じで、通知のリンクは開かず、公式アプリを自分で開くか、アドレスを自分で入力してアカウントの状態を確かめます。

この記事では、その判断の順番と、通知メールが本物かを確かめる材料として、主要サービスの送信元ドメインを2026年10月19日に実測した結果を載せています。

通知が来たときの判断の順番

1. 通知のリンク・ボタンは押さない。返信もしない
2. 公式アプリか、自分で入力した公式サイトを開く。ログインできるかを確かめる
3. ログイン中の端末と、最近のセキュリティの記録を見る。通知と同じ日時・端末の記録があるか探す
4. 自分の操作と一致すれば、そこで終わり。一致しない・判断できない場合は、下の「乗っ取られていた場合にすること」へ
5. 通知メール自体が本物だったかは、最後に確かめる（偽物なら削除・報告するだけで、アカウント側の対応は不要）

順番の5番目を最後に置いているのは、メールが本物かどうかを判断している間にリンクを押してしまう事故を防ぐためです。アカウント側で記録を見れば、ログインがあったかどうかはメールの真偽に関係なく分かります。

アカウント側で確かめる場所

Googleアカウント

google.com/devices を自分で開くと、ログイン中か過去数週間にログインした端末の一覧が出ます。読むときに知っておきたい点が2つあります（アカウントにアクセスしたデバイスを確認する）。

• 表示される時刻は「最後にGoogleと通信した時刻」で、バックグラウンドの自動同期も含む。最後に触った時刻より新しく見えることがある
• 新しい端末を使い始めた、図書館などの共用パソコンを使った、端末を初期化した、空港などに短時間いた――といった場合は、自分の操作なのに心当たりが無いように見えることがある

心当たりの無い端末は［ログアウト］します。同じ端末名に複数のセッションが並んでいて判断がつかない場合は、その名前のセッションをすべてログアウトしてかまいません。

X

アプリか x.com を自分で開き、ログインできれば設定の［パスワード］から変更します。ブラウザでログインして設定の［アプリとセッション］を開くと、連携中のアプリのアクセス許可を取り消せます（パスワードを変えただけでは連携は自動で解除されません）。ログアウトさせられて入れない場合は、ログイン画面の［パスワードを忘れた場合はこちら］から進みます。手順はXにログインできないときにまとめています。

Instagram

自分で変えていないのにメールアドレスの変更を知らせるメールが届いた場合、そのメールは security@mail.instagram.com から送られ、変更を取り消すリンクが入っています（Instagramアカウント用のメールが変更された場合にすべきこと）。このケースだけは「メールのリンクを使う」のが正規の手順なので、下の方法で差出人とヘッダーを確かめてから使ってください。

LINE

LINEは、いまの端末でメッセージの送受信ができていれば乗っ取られていない、という判断基準を示しています。不安なら、パスワードの変更、［ログイン許可］のオフ、ログイン中の端末の確認とログアウトの3つを行います（LINE乗っ取りの被害にあった場合の対処法）。

Apple Account

自分がサインインしていないのに確認の画面やコードが届いた場合は、許可しないでください。パスワードの変更は、すでにサインインしている信頼できるiPhoneやMacの設定から行えます。詳しくはApple Accountにサインインできないときを見てください。

通知メールが本物かを送信元で見分ける

各社のヘルプに書かれている送信元と、そのドメインのなりすまし対策（DMARC）の設定を、2026年10月19日に dig で実測して並べました。

サービス	公式ヘルプにある送信元	DMARC（実測）	通知の見分け方
X	日本語版：@x.com または @e.x.com／英語版：@x.com のみ	x.com：reject。e.x.com は専用の記録が無く x.com の方針が適用	From欄のドメインが x.com か e.x.com で、DMARCがpassなら本物の可能性が高い
Instagram	security@mail.instagram.com（メールアドレス変更の取り消し）	mail.instagram.com：reject	差出人が完全に一致するか。似た綴りのドメインは別物
OpenAI	@openai.com・@email.openai.com・@mail.openai.com・@tm.openai.com など7ドメイン	openai.com：reject	一覧にないドメインからの「OpenAI」は疑う
LINE	差出人アドレスの記載なし（受信設定では line.me を許可するよう案内）	line.me：none	none なので偽メールが受信側で拒否されずに届く余地がある。メールでは判断せずアプリで確認
Google	アカウント ヘルプに差出人の記載が見当たらない	google.com・accounts.google.com：reject	公式の差出人が書かれていない。アカウント側の記録で判断する
Apple	差出人の記載が見当たらない	apple.com：quarantine（サブドメインは reject）、id.apple.com：reject	同上

Xは、日本語版と英語版のヘルプで書いてあることが違います（2026年10月19日時点）。日本語版は「@X.comまたは@e.X.comドメインから送信」、英語版は「@x.com からのみ」で、英語版にだけ2026年6月上旬にすべてのメールへMark Certificateを付け、対応するメールアプリでは差出人の横に青いチェックが出るという説明があります（本物のXメールを見分ける方法）。日本語版を基準にすると、@e.x.com からのメールを偽物と決めつけないことになります。e.x.com もDNS上は x.com の reject 方針の下にあるので、DMARCの判定で確かめられます。

DMARCの「reject」で分かること・分からないこと

DMARCの方針は、ドメインの持ち主が「SPFかDKIMが、From欄のドメインと一致する形で通らなかったメールをどう扱ってほしいか」を公開した値です（RFC 7489）。reject は拒否、quarantine は迷惑メール扱い、none は指定なしを意味します。ここから言えるのは次のところまでです。

• 分かる：From欄が本当に x.com などのドメインそのものなのに認証に失敗するメールは、受信側で拒否されやすい。つまり x.com を名乗るメールが受信箱に届き、ヘッダーで dmarc=pass なら、そのドメインから送られた可能性が高い
• 分からない：x-security.example のような似せた別ドメインは、そのドメイン自身の設定で認証を通せてしまう。表示名（「X サポート」など）は自由に付けられる
• 例外：方針は送信側の希望で、最終的にどう扱うかは受信側が決める。reject のドメインを名乗る偽メールが絶対に届かないわけではない

実際に多いのは2つ目の「似せたドメイン」のほうです。ドメインは「@」の後ろを1文字ずつ、最後の「.com」の直前まで読んでください。

Authentication-Results ヘッダーの読み方

Gmailでは、メールを開いて返信アイコンの横のその他アイコンから［メッセージのソースを表示］を選ぶと、詳細ヘッダーが新しいウィンドウに出ます（詳細ヘッダーからメールの経路を確認する）。その中の Authentication-Results という行が、受信側が判定した結果です。

次は失敗した場合の説明用の例です。これも実在のメールではなく、説明のために作ったものです。

Authentication-Results: mx.google.com;
 dkim=none
 spf=fail smtp.mailfrom=example.com
 dmarc=fail (p=REJECT dis=REJECT) header.from=example.com

読むのは最後の行です。header.from が公式のドメインと完全に一致し、dmarc=pass ならそのドメインから来たメール、dmarc=fail ならなりすましの疑いが強いメールです。header.from が似せた別ドメインなら、pass でも本物ではありません。どの結果でも、アカウントの操作は通知のリンクからではなく、自分で開いたアプリやサイトで行ってください。

乗っ取られていた場合にすること

上から順に行います。

1. パスワードを変える：ログインできる端末から変更する
2. 同じパスワードを使っている他のサービスも変える
3. 心当たりのない端末をログアウトさせる
4. 第三者が変えた設定を戻す：登録メールアドレス・電話番号、メールの転送、連携アプリ。Gmailなら自動転送・IMAP/POP・フィルタも確認する（ハッキングまたは不正使用された Google アカウントを保護する）
5. 2段階認証をオンにする：すでにオンなら、登録されている電話番号や認証アプリが自分のものか確かめる

ログイン自体ができなくなっている場合は、各サービスの復旧手続きになります。ログインできないときの総合ガイドから、表示されている画面に合わせて進んでください。

してはいけないこと

• 通知のメールやSMSのリンクから、パスワードや確認コードを入力する
• 「サポート」を名乗る相手に確認コードを伝える（Googleはヘルプ「アカウント復元手順を完了するためのヒント」で、パスワードや確認コードをメール・電話・メッセージで尋ねることはなく、入力は accounts.google.com でのみ行うよう書いている）
• 状況がはっきりしないまま、アカウントを削除する
• 「乗っ取り解除」をうたう業者にログイン情報を渡す

この記事の確かめ方

この記事の調査・計算・撮影・執筆は、運営者の指示のもとでAIエージェント（AnthropicのClaude）が行い、公開するかどうかは運営者が決めています。下に書いた確認は、すべてそのAIエージェントによるものです。

• X・Instagram・OpenAI・LINE・Google・Appleの通知に使われうる送信元ドメインのDMARCとSPFを、2026年10月19日0時台（日本時間）にmacOSの dig で引き、表の方針欄に転記した
• Xの「本物のXメールを見分ける方法」を日本語版と英語版の両方で同日に表示し、送信元ドメインの書き方の違いを確認した
• Authentication-Results の図とコード例は、予約ドメイン example.com を使って自分で作った説明用の例で、実際に受信したメールではない
• Googleの端末一覧の読み方とLINEの判断基準は、各ヘルプを同日に読んで確認した

判断の材料にした公式ページ

• 本物のXメールを見分ける方法（X ヘルプセンター）
• Instagramアカウント用のメールが変更された場合にすべきこと（Instagramヘルプセンター）
• アカウントにアクセスしたデバイスを確認する（Google アカウント ヘルプ）
• ハッキングまたは不正使用された Google アカウントを保護する（Google アカウント ヘルプ）
• 詳細ヘッダーからメールの経路を確認する（Gmail ヘルプ）
• LINE乗っ取りの被害にあった場合の対処法（LINEヘルプセンター）