ChatGPTの認証コードが勝手に届くのはなぜ？｜乗っ取り・SMS詐欺の手口と5分でできる完全対策

スマホを見て、こんな気持ちになった方はいませんか。

身に覚えのない認証コードが届くと、まず頭をよぎるのが「誰かが自分のアカウントに入ろうとしているのでは」という不安です。 すぐに何か対応しないといけないのか、それとも放置していいのか、判断に迷うのではないでしょうか。

結論から言うと、このコードは、絶対に誰かに教えてはいけません。そして、届いたSMSやメール内のURLには触れないことが最優先です。

認証コードが勝手に届く理由は、いくつか考えられます。単純な誤送信のケースもあれば、攻撃者があなたのアカウントへのログインを繰り返し試みているケースもあります。さらに、コードが届いた直後に「間違えて送ってしまった、教えてほしい」と言葉巧みに聞き出そうとする手口も確認されています。

この記事では、認証コードが届く背景にある手口の種類、偽メールや詐欺SMSの見分け方、そしてパスワード変更や二段階認証の具体的な設定手順まで順番にお伝えしていきます。

読み終わるころには、「何をすべきか」が迷わず判断できる状態になっているはずです。

ChatGPTの認証コードが勝手に届く原因と罠

不正ログイン？電話番号が狙われる手口

では、攻撃者はどうやってあなたの電話番号を入手し、何をしようとしているのでしょうか。

LINEなどのメッセージアプリでは、認証コードが届いた直後に知人や友人を装って「間違えて送ってしまったので教えてほしい」と連絡してくる手口が横行しています。一方、ChatGPTを狙うケースでは、認証コードが届いた直後に「アカウントが停止されます」といった不安を煽る別のSMSを送り、偽サイトへ誘導してコードを直接入力させる手口（スミッシング）が多く見られます。

また、他アプリと同様に「間違えてコードを送ってしまったので教えてほしい」と言葉巧みに近づいてくるケースも想定されるため、どのような理由があってもコードを他人に教えてはいけません。

電話番号が漏れる経路も、意外なほど多岐にわたります。 悪質な事業者やアプリへの登録により流出した電話番号は、業者間で売買されます。 また、攻撃者は「090」「080」「070」から始まる番号の規則性を利用して、ランダムに生成した番号に大量のSMSを送信するケースもあります。自分の番号が漏れていなくても、巻き込まれるリスクがある点は覚えておいてほしいところです。

さらに怖いのが、「SIMスワップ詐欺」と呼ばれる手口です。 攻撃者は、ターゲットの氏名や生年月日、住所といった個人情報を何らかの方法で入手し、携帯会社のサポート窓口に「SIMを紛失したため再発行したい」と申し出ます。

これが成功すると、攻撃者はその電話番号を自身の端末で使えるようになり、SMS認証で送られるワンタイムコードもすべて受け取ることが可能になってしまいます。

対策として、SNSに生年月日・住所・電話番号のヒントを公開しないことが有効です。 キャリアに「SIM再発行の際は追加の本人確認を必須にしてほしい」と相談するのも、一つの手です。

IPA（独立行政法人情報処理推進機構）の情報セキュリティ安心相談窓口には、2025年7月の月間で過去最多となる144件の不正ログイン相談が寄せられました。さらに2025年第3四半期（7〜9月）には、不正ログインの相談が前四半期比44.9%増の387件に達しています。出典：IPA 情報セキュリティ安心相談窓口 2025年第3四半期相談状況

被害は確実に増加しています。ひとごとだとは、思わないでください。

手口	概要	危険度
フィッシングサイト誘導	偽サイトでID・パスワード・コードを詐取	★★★
電話番号の無差別送信	ランダム生成番号に大量の迷惑SMSを送信	★★
認証コードの聞き出し	「間違えて送った」などと偽りコードを要求	★★★
SIMスワップ詐欺	個人情報を悪用しSIMカードを不正再発行	★★★

URLは絶対NG！短文SMSに潜む詐欺の罠

認証コードに便乗する形で、もうひとつ危険な罠が仕掛けられています。 それが、SMSに届く不審なURLです。

「口座が不正利用されている」「至急確認が必要」などの文面で不安を煽り、URLをクリックさせて偽サイトへ誘導する「スミッシング」と呼ばれる手口が横行しています。 ChatGPTの認証コードが届いた直後にこういったSMSが来ると、「本当に何かあったのかも」と焦ってしまいますよね。 その心理を、攻撃者はしっかり利用しています。

SMSに記載されたURLをタップし、誘導先の偽サイトでセキュリティ警告などを装った指示に従ってしまうと、不正アプリがインストールされてしまうケースもあります。スマートフォン内の情報が丸ごと抜き取られる可能性があるため、はじめからURLに触れないことが最善です。

IPA「情報セキュリティ10大脅威2025」においても、SMSを使ったフィッシング（スミッシング）は個人向け脅威として継続的に上位にランクされています。出典：IPA 情報セキュリティ10大脅威2025

では、どうやって見分ければよいのでしょうか。

日本の国内企業が正規のSMSを送る場合、「03」などの固定電話や専用の番号を使うケースが増えています。しかし、ChatGPTのような海外サービスの場合、国際通信の仕組みを経由するため、「080」や「090」といった一般の携帯電話番号から本物の認証コードが届くことも珍しくありません。そのため、送信元の電話番号だけで「本物か詐欺か」を見分けるのは非常に困難です。

また、URLそのものにも見分けるヒントが隠れています。 正規のURLに似せた偽ドメインや、短縮URLを使って本来のリンク先を隠す手口も多いため、少しでも違和感を感じたらタップしないことが鉄則です。

「届いたURLには触れない、必ず自分で公式アプリやブックマークからアクセスする」——この原則を守るだけで、被害の大半は防げます。

SMS詐欺を見分ける3つのポイント

①「アカウント停止」などの警告SMSの送信元が一般番号 → 疑う（※本物の認証コード通知メッセージを除く）
②URLが含まれていて、急かす文面 → 触れない
③「口座停止」「至急確認」など不安を煽る → 公式アプリで直接確認

URLの見分け方には、まだ知られていない落とし穴があります。スマホで詐欺URLを5秒で見抜く方法を、具体例を交えてまとめた記事もあわせてご覧ください。

本物？OpenAIメールの確実な見分け方

SMS以外にも、メールを使ったフィッシングが急増しています。

フィッシング対策協議会によると、2025年12月の時点でOpenAI（ChatGPT）をかたるフィッシングサイトが稼働中であることが確認されており、メールアドレス・クレジットカード情報・認証コード等を入力しないよう注意が呼びかけられています。出典：フィッシング対策協議会 OpenAI(ChatGPT)をかたるフィッシング 2025/12/02

確認されている手口は、「You’ll lose access to your account（アカウントへのアクセスを失います）」などと支払い情報の更新を迫り、メール内のURLからクレジットカード情報の入力を誘導するものです。 「慌てさせて、考える前にクリックさせる」——これが詐欺の基本的なシナリオです。 こうした「損失回避の法則」を悪用した文面には特に注意が必要です。

本物と偽物を見分けるポイントを、下の表に整理しました。

確認ポイント	本物のOpenAIメール	詐欺メールの特徴
送信元ドメイン	@openai.com や @chatgpt.com （サブドメイン含む）	@openai-support.com など公式を装った類似ドメイン
認証コード・パスワードの要求	絶対にしない	要求してくる
リンクのURL	chatgpt.com / openai.com	chatgpt.loginop〇〇.com など
文面のトーン	冷静・事務的	緊急・脅迫的
デザイン	本物と見分けにくいことも	ロゴや色が微妙にズレていることも

まず「送信元のドメイン（@以降）」を確認する癖をつけましょう。表示名は簡単に偽装できるため、必ずメールアドレスそのものを確認することが第一歩です。

しかし、メールの送信元アドレス自体を巧妙に偽装する「なりすましメール」も多数存在するため、ドメインが公式のものであっても100%安全とは言い切れません。送信元の確認に加え、「メール内のリンクからはログインせず、必ず公式アプリやブックマークからアクセスする」という二段構えの対策が必要です。

OpenAIはメールやチャットでパスワード・APIキー・認証コードを要求することは絶対にありません。この要求があった場合は、間違いなく詐欺です。

テレグラム等他アプリでも多発する理由

こうした認証コードを狙った攻撃は、ChatGPTだけの話ではありません。 LINE、Instagram、Telegram（テレグラム）など、SMS認証を採用しているアプリ全般で、同じ構造の被害が多発しています。

なぜ次々と他のアプリにも広がるのでしょうか。 理由はシンプルで、「SMS認証という仕組み自体」が標的になっているからです。 SMSは携帯電話番号だけで認証コードを届けられる手軽さがある一方、その便利さがサイバー犯罪者にも悪用されやすい構造になっています。

特にTelegramでの手口は、非常に巧妙です。

ハッカーは乗っ取り済みの友人アカウントから「チャットリスト画面のスクリーンショットを送って」と要求します。友人だと思って画像を共有してしまうと、画像に写り込んだ「新規ログインの認証コード」がハッカーに渡り、別デバイスからアカウントに侵入されてしまいます。

「友人から来たメッセージだから安心」という心理的な盲点を突いた手口です。 じつは、その友人のアカウント自体がすでに乗っ取られていた——というのが、この罠の怖いところです。

LINEについても、公式ヘルプセンターが明確に注意を呼びかけています。LINEの登録情報（電話番号・メールアドレス・パスワード）や認証番号を聞き出したり、画面に入力させたりする行為は、すべて詐欺です。出典：LINEヘルプセンター アカウントの乗っ取りやフィッシング詐欺にご注意ください

アプリ名	主な手口	特徴
ChatGPT	認証コードSMS→偽サイト誘導	AIユーザーを狙ったフィッシング急増中
Telegram	乗っ取りアカウントからスクショ要求	友人を装うため気づきにくい
LINE	認証番号・パスワードの聞き出し	なりすましDMが多発
Instagram	フィッシングサイトへ誘導後、乗っ取り	投稿・DMを悪用した二次被害も

「認証コードは、たとえ親しい相手にも教えない」——このルールが、すべてのアプリに共通する最強の防衛策です。

どのアプリのコードであっても、第三者に伝えた瞬間、アカウントの鍵を丸ごと渡してしまうのと同じことです。 家族や友人にも、今日のうちに伝えてあげてください。

認証コード詐欺から身を守る3原則

① 認証コードは誰にも・何があっても教えない
② SMS・メール内のURLは絶対にタップしない
③ 不審に思ったら、必ず公式アプリか手打ちURLから確認する

ChatGPTの認証コードが勝手に届く時の対策

乗っ取り防止！届いたコードは即無視

まず最初にお伝えしたいのが、「届いた認証コードは、何があっても無視する」という鉄則です。

身に覚えのない認証コードが届いたとき、つい「これは何だろう？」と気になってしまうのが人の心理です。 カリギュラ効果——「見てはいけない」と言われると逆に気になる——を逆手に取り、「気になって触れてしまう」ことを狙った手口もあります。

コードが届いた直後に「間違えて送ってしまいました、教えてください」というSMSが来ても、絶対に返信も教示もしないでください。

「でも、本当に誰かがログインしようとしているなら怖い」と感じますよね。 その場合の正しい対応は、コードを教えることではなく、「自分のアカウントを守る行動を今すぐとる」ことです。

具体的には、以下の順番で行動してください。

ステップ	やること	理由
①	SMSを無視・削除する	コードを教えることはアカウントの鍵を丸ごと渡すのと同じ
②	公式アプリかブックマークからChatGPTにログインする	URLはタップしない
③	設定→セキュリティからログイン履歴を確認する	不審なアクセスがあれば即対処
④	念のためパスワードを変更する	攻撃者がパスワードを入手している可能性を排除

ChatGPTの場合、ログイン後に「設定」→「セキュリティ」から最近のアクティビティを確認できます。 見慣れない国や端末からのアクセスがあれば、不正ログイン試行のサインです。 見覚えのないIPアドレスや国のアクセスがあれば、すぐにパスワードを変更してサポートに報告することが推奨されています。

また、「コードが何度も連続して届く」場合は、攻撃者がログイン試行を繰り返しているサインです。 そのまま放置せず、後述の二段階認証をすぐに設定することをおすすめします。

認証コードが届いたときの行動原則：

「無視する」「削除する」「公式アプリで自分のアカウントを確認する」 ——この3つだけ。コードを誰かに教えることは、絶対にしてはいけません。

入力してしまった場合のプロの緊急対処

「うっかりコードを入力してしまった」「偽サイトにIDとパスワードを入れてしまったかもしれない」——もし心当たりがある方は、焦らず、でも素早く行動してください。

被害を最小限に抑えるための黄金ルールは、「気づいた瞬間が、対処の最速タイミング」 です。

まず最優先でやることは、パスワードの変更です。 ChatGPTの場合、ログイン後すぐに「設定」→「セキュリティ」→「パスワードを変更する」から対応できます。

パスワードが変更できないほど乗っ取りが進んでいる場合は、OpenAIのサポートページ（help.openai.com）からアカウント復旧を申請してください。 申請時には、登録時のメールアドレスや利用開始時期など、本人確認に役立つ情報を手元に用意しておくとスムーズです。

次に、ChatGPTと同じパスワードを他のサービスでも使っていた場合、そちらも速やかに変更します。パスワードの使い回しは、一つの漏洩が全サービスの乗っ取りに連鎖する「芋づる式被害」の最大の原因です。メールやSNS、ネットバンクなど、重要なサービスは特に優先して変更してください。

さらに、クレジットカード情報を入力してしまった場合は、カード会社に連絡して利用停止の手続きを取ってください。 フィッシングによってクレジットカードの不正利用被害に遭った場合は、クレジットカード会社が補償制度やトラブル相談窓口を設けています。被害に遭ったサービスを提供している会社へ速やかに連絡することが重要です。

また、フィッシングサイトへの誘導に気づいた場合は、「フィッシング対策協議会」への情報提供や、各都道府県警察のサイバー犯罪相談窓口（フィッシング110番など）への通報・相談も検討してください。出典：警察庁 フィッシング対策

被害後の対処をまとめると、次のチェックリストが目安になります。

入力してしまった場合の緊急対処チェックリスト

□ ChatGPTのパスワードを今すぐ変更する
□ 同じパスワードを使っているすべてのサービスも変更する
□ ログイン履歴を確認し、不審なアクセスのセッションをすべて無効化する
□ クレジットカード情報を入力した場合はカード会社へ即連絡する
□ 被害に遭ったURLをフィッシング対策協議会や警察の専用窓口へ通報する
□ パスワードが変更できない場合はOpenAIサポートへアカウント復旧を申請する

クレジットカード情報まで入力してしまった場合は、対処の手順がさらに細かくなります。被害を最小限に食い止めるための具体的な行動手順は、こちらの記事で詳しくまとめています。

すぐ実践！パスワード変更と二段階認証

緊急対処を終えたら、次は「再び狙われても守れる状態」を作ることが大切です。 そのために今日すぐ設定してほしいのが、二段階認証（多要素認証）です。

OpenAIは2024年3月、ChatGPTおよびAPIのアカウントセキュリティをさらに強化するために多要素認証（MFA）機能を実装したと発表しました。設定することで、メールアドレスとパスワードが外部に漏えいした場合でも、アカウントへの不正アクセスを防ぐことが期待されています。

つまり、万が一パスワードが盗まれても、認証アプリのコードがなければログインできない状態を作れるのです。 設定はとてもシンプルで、5ステップで完了します。

ステップ	操作内容
①	スマホに「Google Authenticator」または「Microsoft Authenticator」をインストールする
②	ChatGPTにログインし、「設定」→「セキュリティ」→「多要素認証」の「有効にする」をタップ
③	画面に表示されたQRコードを認証アプリでスキャンする
④	アプリに表示される6桁のコードを入力して設定完了
⑤	リカバリーコードが表示されたら、必ず安全な場所に保存する

リカバリーコードは、スマホを紛失したときにアカウントへ戻る唯一の手段です。スクリーンショットではなく、紙やパスワードマネージャーに保存することを強くおすすめします。スクリーンショットはスマホを失うと一緒に消えてしまいます。

パスワードについても、この機会に見直してください。 理想は「12文字以上・大文字小文字・数字・記号を混ぜた、サービスごとに異なるパスワード」です。 すべてを頭で管理するのは現実的ではないので、パスワードマネージャー（1PasswordやBitwarden等）の活用をおすすめします。

パスワードを見直す前に、すでに自分の情報が流出していないか確認しておくのもおすすめです。無料で調べられるツールの使い方と、偽サイトに騙されないための注意点をこちらでまとめています。

パスワードマネージャーは、自分が登録した正規サイトにのみ自動入力するため、フィッシングサイトのような偽サイトには反応しません。これ自体がフィッシング対策にもなる、一石二鳥のツールです。

なお、ChatGPTをGoogleやMicrosoftアカウントと連携してログインしている方は注意が必要です。 連携しているサービスが不正アクセスされた場合、ChatGPTを含む連携している他のサービスのデータまで漏えいするリスクがあります。可能であれば、ChatGPT専用の独立したアカウントを作成し、他のサービスで使っていないパスワードを設定することが推奨されます。

迷惑メールに騙されない日々の最強習慣

最後に、毎日の生活の中で無理なく続けられる、フィッシング対策の習慣をお伝えします。

いくら知識を持っていても、忙しい日常の中では判断が鈍ることがあります。 「知っているのに騙されてしまった」という被害が後を絶たないのは、そのためです。 習慣化できれば、考えなくても自然と身を守れるようになります。

2025年上半期のフィッシング報告件数は119万件を超え、総務省は2025年9月、通信事業者4団体に対してフィッシングメール対策の強化を求める要請文を発出しました。出典：日本経済新聞 総務省 迷惑メール対策強化要請 2025年9月

攻撃側が国を挙げて対策されるほど深刻化している今、個人の習慣が最後の砦になります。

今日から実践してほしい5つの習慣をご紹介します。

① 公式サイトはブックマークに登録する

電子メールやSMSに記載されたリンクは偽装可能であり、正規サイトに類似したドメイン名のフィッシングサイトも多く存在するため、見た目でリンクの真偽を判断することは非常に困難です。あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておくか、公式アプリを活用して正しいサイトに接続する習慣が有効です。

「急いでいるから、届いたリンクを使っただけ」という状況を作らないための、シンプルかつ強力な習慣です。 ChatGPT、Gmail、ネットバンキングなど、よく使うサービスは今すぐブックマークに登録してみてください。

② 「AIで作られた自然な日本語」を過信しない

2025年以降、生成AIの進化により、以前は見分けやすかった「不自然な日本語」というフィッシング判別ポイントが通用しなくなっています。文法が完璧で状況に応じたカスタマイズがなされた詐欺メールが大量生成されるようになり、従来の判別方法は無効になりつつあります。

「日本語がきれいだから本物だろう」という判断は、もう通用しません。 文面の質ではなく、「ドメイン」と「アクセス経路」で判断する習慣を身につけてください。

③ 少しでも違和感を感じたら「一呼吸置く」

焦らせる文面には、必ず意図があります。 「今すぐ確認しないとアカウントが停止されます」「24時間以内に手続きを」——こういった言葉が出てきたら、逆に立ち止まるサインだと考えてください。 深呼吸して、公式アプリか手打ちURLでアクセスする。この一手間が、被害を防ぎます。

④ 月に一度、ログイン履歴を確認する

月に一度、ChatGPTの設定画面からログイン履歴を確認する習慣をつけましょう。 見覚えのない国や端末があれば、すぐにパスワードを変更してすべてのセッションをログアウトしてください。 通知設定をオンにして、ログインや設定変更が行われた際にすぐ把握できるようにしておくことも、不審な活動の早期発見に有効です。

⑤ 家族や友人にも伝える

自分だけが知識を持っていても、家族のスマホが乗っ取られれば、芋づる式に自分のアカウントにも影響が及ぶことがあります。 「認証コードは誰にも教えない」「SMSのURLはタップしない」——この2点だけでも、大切な人に今日伝えてみてください。

この記事を読んでいただいた方は、もう「知らなかった」では済まない知識を持っています。 前半でお伝えした手口の理解と、後半で紹介した対策をセットで実践することが、アカウントを守る最短ルートです。

今日できることは、たった2つです。二段階認証の設定と、よく使うサービスのブックマーク登録。 まず5分だけ時間を作って、この2つから始めてみてください。

フィッシングに騙されないための5つの習慣：

① よく使うサービスは今すぐブックマークに登録する
② 自然な日本語でも油断しない（AIで精巧な詐欺文が作られる時代）
③ 焦らせる文面には一呼吸置いて、公式アプリから確認
④ 月1回、ログイン履歴と通知設定を見直す
⑤ 家族・友人に「コードは教えない」「URLはタップしない」を今日伝える

まとめ：ChatGPTの認証コードが勝手に届いたときに知っておきたいこと

認証コードが勝手に届くのは、不安になる経験ですよね。でも、手口を知って正しく対処できれば、焦る必要はまったくありません。今日この記事で学んだことを、ぜひ今すぐ一つだけでも実践してみてください。二段階認証の設定とブックマーク登録、その5分があなたのアカウントをしっかり守ってくれます。