フィッシングサイトに入力してしまったら？最初にすること｜パスワード・カード・認証コード別

「メールのリンクから開いたページにパスワードを入れてしまった。あれ、偽物だったかも」

気づいた今がいちばん早いタイミングです。落ち着いて、ひとつずつ進めましょう。

先に結論です。

• まず「何を入力したか」で順番を決めます。お金に直結するもの（カード番号・ネットバンキング）が先です。カード会社や銀行に連絡して止めてもらいます
• パスワードを入力したら、そのサービスのパスワードをすぐに変えます。同じパスワードを使い回しているほかのサービスも変えます（IPA）
• 認証コード（SMSの6桁など）を伝えた・入力したなら、乗っ取られていないかを確かめます
• ページを開いただけで、何も入力せず、アプリも入れていないなら、閉じれば被害は出ないことが多いです
• 連絡や手続きにお金はかかりません。不正利用を補償する仕組みのあるカード会社もあるので、恥ずかしがらずに早めに連絡します

2026年11月7日に、フィッシング対策協議会・IPA・警察庁・Google・Appleなどの公式情報で確かめました。

まず、何を入力したかで順番を決める

フィッシング対策協議会のガイドライン（2026年度版）は、情報を入力してしまったら、まず銀行・カード会社・通販サイトなどにすぐ連絡して利用停止を頼み、入力したパスワードを変えるよう案内しています。

入力したものに当てはまる見出しから読んでください。

1. クレジットカード番号 → カード会社に連絡（いちばん先）
2. ネットバンキングのID・パスワード → 銀行に連絡
3. メール・通販・SNSなどのID・パスワード → パスワードを変える
4. 認証コード → 乗っ取りを確かめる
5. 住所・電話番号・生年月日・身分証の画像 → 不審な連絡に応じない・相談する

届いたメールやSMSは、相談するときに役立つので、すぐには消さずに残しておきます（中のリンクはもう押しません）。

カード番号を入力した

1. カード会社の紛失・盗難・不正利用の窓口に連絡して、カードを止めてもらう。番号はカードの裏面か、カード会社の公式アプリ・公式サイトで確かめる（メールに書いてある番号は使わない）
2. 明細を見て、身に覚えのない利用があれば、そのことも伝える
3. 新しいカードが届いたら、引き落としに登録しているサービスのカード情報を差し替える

JCBや三井住友カードのように、紛失・盗難の窓口を24時間受け付けている会社もあり、不正利用を補償する仕組みもあります。たとえばJCBは利用覚えのない請求の案内で「万一不正利用に遭われた場合は全額補償します」としています。補償の条件や期間はカード会社ごとに違うので、連絡したときに確かめます。

ネットバンキングのID・パスワードを入力した

1. 銀行の公式サイトに載っている窓口に、すぐ連絡する
2. 公式アプリかブックマークからログインできるなら、パスワードを変えて、身に覚えのない振り込みがないか見る
3. 振り込まれていたら、銀行と警察に連絡する

警察庁は、フィッシングでネットバンキングの不正送金の被害が出ていることを繰り返し注意しています。金融機関がメールやSMSでID・パスワードを聞くことはない、とも明記しています。

メール・通販・SNSのID・パスワードを入力した

IPAの案内をもとにした順番です。

1. そのサービスの公式アプリか、自分で登録したブックマークからログインして、パスワードを変える（届いたメールのリンクは使わない）
2. 同じパスワードを使っているほかのサービスも、すべて変える
3. 登録しているメールアドレスと電話番号を確かめる。知らないものが追加されていたら消す
4. 2段階認証（多要素認証）をまだ使っていなければ、オンにする

入力したのがメールのアカウント（GmailやiCloudのメールなど）なら、最優先で守ります。ほかのサービスのパスワードの再設定は、たいていメールに届くからです。

パスワードを変えるときの順番や、使い回しの見直しは、パスワードの使い回しをやめる方法にくわしくあります。LINEのIDやパスワードを入力したかもしれないときは、LINEの乗っ取りの確認と対処も見てください。「個人情報が漏れた」という通知のリンクから入力した場合は、通知の確かめ方と対処も役に立ちます。

ログインできないとき

パスワードを変えられていて、ログインできないこともあります。

1. ログイン画面の「パスワードを忘れた」から、登録のメールか電話番号で再設定を試す
2. それでもだめなら、そのサービスのヘルプにある乗っ取りの復旧の手順か、問い合わせの窓口に進む

主なアカウントの公式の手順は次のとおりです。

• Googleアカウント: ログインできるなら、Googleアカウントの「セキュリティとログイン」の「最近のセキュリティ イベント」と「お使いのデバイス」で、覚えのない操作や端末がないか確かめる。ログインできないならGoogleの「アカウント復元ページ」へ（Googleアカウント ヘルプ）
• Apple Account: Apple Accountのページ（account.apple.com）で、個人情報と「デバイス」に知らないものがないか確かめる。サインインできないなら Apple Accountの復旧のページ（iforgot.apple.com）から復旧する（Appleの公式サポート）

認証コードを伝えた・入力した

SMSで届く6桁などの認証コードは、ログインや支払いの最後の鍵です。パスワードと一緒に知られると、相手がそのままログインできてしまいます。

IPAは知り合いになりすましたDMで電話番号を聞き出し、届いた認証コードを伝えさせて、Instagramのアカウントを乗っ取る手口を紹介しています。乗っ取った相手はパスワード・電話番号・メールアドレスを変え、本人がログインできないようにします。

伝えてしまったら、すぐに次を確かめます。

1. そのサービスにログインできるか
2. 登録のメールアドレス・電話番号が変わっていないか
3. ログイン中の端末に、知らないものがないか

ログインできれば、パスワードを変えて、知らない端末をログアウトさせます。ログインできなければ、上の「ログインできないとき」に進みます。支払いの認証コードだった場合は、カード会社や決済サービスにも連絡します。

自分で頼んでいないのに認証コードが届いたときも、注意のサインです（フィッシング対策協議会）。誰かがあなたのパスワードでログインしようとしているかもしれないので、そのサービスのパスワードを変えておきます。コードの仕組みと使い方は、2段階認証の記事にまとめています。

住所・電話番号・生年月日・身分証の画像を入力した

住所や電話番号は、パスワードと違って変えられません。入力してしまったら、そのあとに届く不審な電話やメール・SMSには応じません（フィッシング対策協議会）。

運転免許証やマイナンバーカードの画像まで送ってしまったときは、悪用のおそれがあるので、警察に相談しておきます。警察庁もフィッシングで狙われる情報に身分証の画像を挙げています。

アプリを入れてしまった

SMSのリンクなどから、言われるままにアプリを入れてしまった場合は、気づいた時点ですぐに削除します（フィッシング対策協議会）。そのうえで、スマホで使っているサービスのパスワードを変え、携帯電話の料金と一緒に払うキャリア決済の請求に覚えのないものがないか確かめます。

SMSから入れてしまった場合の流れは、怪しいSMSが届いたら？でも説明しています。

相談・報告する先

• お金の被害があった: カード会社・銀行と、警察（#9110 か最寄りの警察署）
• 契約や支払いのトラブル: 消費者ホットライン 188
• スマホやパソコンの技術的な相談: IPA 情報セキュリティ安心相談窓口 03-5978-7509（平日10時〜17時）
• 偽サイトを知らせたい: フィッシング対策協議会

フィッシング対策協議会への情報提供は、協議会の案内ページにあるメールアドレス（info@antiphishing.jp）に送ります。

警察にはサイバー事案の通報・相談を受け付けるオンラインの窓口もあります（警察庁）。被害が出ていなくても、心配なことは#9110で相談できます。

そのあと数週間は、ここを見る

パスワードを変えて一段落しても、数週間は次を見ておくと安心です。

• カードと口座の明細、キャリア決済の請求
• よく使うサービスのログイン履歴とログイン中の端末
• 登録のメールアドレス・電話番号が変わっていないか

フィッシング対策協議会は利用明細とログイン履歴を定期的に見ることを、ふだんの対策にも挙げています。

次から入力しないために

フィッシング対策協議会の2026年度版のガイドラインで、役に立つ習慣をまとめます。

• メールやSMSのリンクからログインしない。公式アプリか、自分で登録したブックマークから開く
• パスワード管理の機能（ブラウザやスマホに保存したパスワード）が、いつものように自動で入力されないサイトは、偽物を疑う
• 2段階認証やパスキーなど、「守ってくれる仕組み」をオンにしておく

パスキーと2段階認証の違いや、ほかに見直す設定はスマホ・パソコンのセキュリティ対策｜最初に確認する10項目にまとめています。パスキーの仕組みはパスキーの記事、2段階認証の設定は2段階認証の記事にくわしくあります。

よくある質問

Q. ページを開いただけで、何も入力していません。大丈夫？

A. 何も入力せず、アプリも入れていなければ、ページを閉じれば被害は出ないことが多いです（NTTドコモの案内）。スマホやパソコンのOSとブラウザを最新にしておけば十分です。

Q. パスワードを変えたら、もう安心ですか？

A. 変える前に、もうログインされていた可能性があります。ログイン中の端末と、登録のメールアドレス・電話番号も確かめて、知らないものがあれば消します。

Q. 入力したかどうか、はっきり覚えていません。

A. 迷ったら、入力したものとして進めるのが安全です。パスワードを変えるだけなら、損はありません。

入力してしまっても、早く気づいて、順番どおりに止めれば、被害は小さくできます。次に同じメールが届いたときに迷わないよう、届いた入口の見分け方も知っておくと安心です。

次に読む記事

参考

• フィッシング対策協議会「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」（2026年6月1日公開。2026年11月7日に確認）
• IPA「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日公開。2026年11月7日に確認）
• 警察庁「フィッシング対策」（2026年11月7日に確認）
• 警察庁「サイバー事案に関する相談窓口」（2026年11月7日に確認）
• Google アカウント ヘルプ「ハッキングまたは不正使用された Google アカウントを保護する」（2026年11月7日に確認）
• Apple サポート「Apple Accountの不正利用が疑われる場合」（2026年11月7日に確認）
• JCB「利用覚えのない請求があった」（補償の例として。2026年11月7日に確認）
• NTTドコモ「万が一被害に遭ったら」（2026年11月7日に確認）
• IPA「情報セキュリティ安心相談窓口」（2026年11月7日に確認）