ChatGPTの偽サイトの見分け方｜公式URLと入力してしまったときの対処法

安全に使う

公式情報の確認日：2026年10月12日

いつものChatGPTを開いたつもりでも、検索結果やメールのリンクから、別のサイトに入ってしまうことがあります。

本物そっくりの画面に「Googleでログイン」と表示されていたら、安心して入力してよいのでしょうか。

見た目やロゴだけでは、本物と判断できません。まず確認したいのは、ブラウザの本当のアドレスバーです。

この記事でわかること
  • AIサービスの名前を悪用した、実際のフィッシングの手口
  • ChatGPT・Claude・Geminiの公式URLと、偽物を見抜く確認方法
  • パスワード・認証コードを入力したときの、状況別の対処

すでに入力してしまった方は「状況別の対処」へ →

ChatGPTなどを装う偽サイトが報告された

フィッシングとは、実在するサービスになりすまして、パスワードなどの大切な情報を盗む手口です。AIサービスの知名度も、その誘導に悪用されています。［警察庁］

2026年10月の報告は、広告運用者を狙ったもの

セキュリティ企業Islandは、2026年10月6日に、AIの広告支援サービスを装ったフィッシングの調査を公開しました。

報告の要点
  • 悪用された名前：ChatGPT、Claude、Gemini、Perplexity、Manus、Museなど。
  • 主な誘い：広告の分析や運用を手伝うとして、広告アカウントの「接続」を促す。
  • 狙われた利用者：広告主や広告運用・マーケティングに関わる人。
  • 収集する情報：Googleなどのログイン情報や、多要素認証に関わるコード・承認情報。

ページ内に偽のブラウザ画面を表示し、攻撃者が入力を見ながら次の認証画面を選ぶ仕組みでした。Islandは数百件の被害者からの入力送信を観測したと述べています。［Islandの一次報告］

「入力送信の観測」と「被害の確定」は別です

この報告だけでは、乗っ取りに成功したアカウント数、金銭被害額、日本での被害人数までは確定できません。ChatGPT利用者全員の情報が漏れた、という報告ではありません。

10月6日は報告の公開日です。報告には、それ以前の観測や、9月16日までに出現したMuse Adsを装うページが含まれます。報告執筆時には活動が続いていたとされていますが、10月12日時点の稼働状況を本記事が独自に確認したものではありません。

偽サイトはどうやって利用者をだます？

今回の特徴は、いきなりパスワードを求めるのではなく、「便利なAI機能を使うための接続」と思わせることです。

  1. 便利そうなAIサービスへ誘う広告分析などをうたうページに誘導する。
  2. 「接続」ボタンを押させる仕事のアカウント連携のように見せる。
  3. 偽のログイン画面を表示するページの中に、アドレスバーまで描かれた偽のウィンドウを出す。
  4. パスワードや認証情報を集める攻撃者が画面を切り替え、追加の認証も求める。

Islandの報告を初心者向けに整理した模式図です。実際の偽サイトや操作画面は掲載していません。［出典］

画面内の「accounts.google.com」に注意

ページの中に描かれたURLは、単なる表示かもしれません。確認するのは、ChromeやSafariなどを操作するための本当のアドレスバーです。

区別できない場合は入力をやめ、ページを閉じて、公式サイトから入り直してください。

本物のChatGPTと偽サイトの見分け方

見分けるときの基本ロゴより、ブラウザの接続先。

迷ったら入力を止める → ページを閉じる → 公式入口から入り直す。この順番で確認しましょう。

公式URLから入り直す

判断に迷ったら、届いたリンクを調べ続けるより、確認済みの公式入口を直接開く方法が実践しやすくなります。

公式Web版の入口｜2026年10月12日確認
サービス公式の入口確認した資料
ChatGPT公式Web版chatgpt.com公式案内：OpenAI
Claude公式Web版claude.ai公式案内：Anthropic
Gemini公式Web版gemini.google.com公式案内：Google

これはWeb版の入口の比較です。認証先、ヘルプ、API、企業のSSO（会社の共通ログイン）などを網羅する一覧ではありません。正規のログインでも別の公式認証ページへ移動することがあります。

URLの「サービス名」ではなく、接続先を見る

スマホはアドレスバーをタップして、URL全体を表示。パソコンは、ブラウザ上部のアドレス欄を確認してください。

以下の例では、https://の後から、最初の/までの部分に接続先の名前が入ります。「chatgpt」という文字があるだけでは、公式の証拠になりません。

正規の入口ChatGPTの公式URL
https://chatgpt.com/
この例の接続先 →chatgpt.com

公式の接続先が、そのまま表示されています。

公式ではない例先頭に「chatgpt.com」がある
https://chatgpt.com.example.com/login
実際の接続先のドメイン →example.com

接続先はexample.com側です。先頭のchatgpt.comだけを見ると、公式と勘違いしてしまいます。

公式ではない例後半に「chatgpt.com」がある
https://example.com/chatgpt.com/login
実際の接続先のドメイン →example.com

後半のchatgpt.comはページの場所を示す文字列です。接続先はexample.comのままです。

緑は公式の接続先、オレンジは公式ではない接続先を示しています。example.comは説明用の予約ドメインです。実在する攻撃先を示す例ではなく、リンクにもしていません。

1文字違い、余分な単語、似た文字への置き換えにも注意が必要です。ただし、複雑なURLを初心者がすべて判定する必要はありません。判断できなければ、入力せずに公式入口からやり直す。これを基本にしましょう。

HTTPSや鍵マークだけで安心しない

HTTPSは通信を暗号化する仕組みです。接続先がOpenAIなどの本物かどうかを、それだけで保証するものではありません。偽サイトにもHTTPSは使えます。ブラウザによっては鍵以外のアイコンが表示されます。［Chromiumの説明］

「鍵マークがある」＝「公式」ではありません

通信が暗号化されていることと、接続先が本物であることは別です。ロゴ、きれいなデザイン、自然な日本語も、確認の決め手にはなりません。

検索結果や広告の順位を信用の基準にしない

検索結果の上位にあることや、「スポンサー」と表示されていることは、公式の証明ではありません。警察庁も、検索広告から偽サイトに誘導する手口を紹介しています。［出典］

今回のIsland報告で扱うAIの広告支援を装う誘いと、一般的な検索広告からの誘導は、分けて考えてください。日常の利用では、公式入口をブックマークしておくと、毎回検索する手間も減らせます。

ログインの目的と、求められる権限を確かめる

  • 目的と関係のない「接続」チャットを使いたいだけなのに、広告アカウントの接続を求められていないか。
  • 「今すぐ」と急がせる案内認証しないと停止するなど、考える余裕をなくす案内ではないか。
  • パスワード・認証コードの入れ直しログイン失敗として、何度も入力を求められていないか。
  • 身に覚えのないログイン承認自分が開始していないログインを、スマホで承認させられていないか。
「Googleでログイン」自体は正規の機能です

ChatGPTやClaudeなどで、Googleアカウントを使うログインはあります。危険なのは、そのボタンやログイン画面を偽装されることです。正規のGoogle画面でも、外部アプリの名前と要求する権限を確認してください。［Googleの接続管理］

偽サイトにログインしてしまったら？

まず入力をやめてページを閉じ、何を入力・許可したかに合わせて対処します。不審なファイルを実行した場合は、別の信頼できる端末でアカウントの復旧を行ってください。

パスワードを入力した →認証コード・承認も渡した →ファイルをダウンロードした →外部アプリを許可した →

複数に当てはまる場合は、該当する対処を組み合わせてください。「AIにログインしたつもり」でも、実際に入力したのがGoogleのパスワードなら、まずGoogleアカウントを保護します。

IDやパスワードを入力した場合

  1. 公式サイトを直接開き、入力したパスワードを変更する。Google、Microsoftなどのパスワードを入力した場合は、その提供元で変更します。
  2. ログイン済みのセッションを終了する。セッションは「ログインが続いている状態」のことです。サービスの全端末ログアウトや、見覚えのない端末の削除を使います。
  3. 同じパスワードを使う別サービスも変更する。メール、SNS、買い物サイトなどを確認し、それぞれ異なるものにします。
  4. 不審な操作を確認し、提供元へ報告する。身に覚えのないログイン、請求、設定変更がないかを確認します。

パスワードの使い回しへの対処は、警察庁とIPAの案内でも重視されています。［警察庁］ ［IPA］

ChatGPTの場合：変更＋全セッションの終了

メールアドレスとパスワードで利用している場合は、公式ログイン画面の「パスワードを忘れた場合／Forgot password?」から再設定できます。Google・Microsoft認証で利用している場合は、それぞれのアカウント側で対応します。［公式の再設定案内］

Web版の設定 → セキュリティとログイン（Security and login）→ アクティブなセッション（Active sessions）→ すべてのセッションからログアウトへ進み、確認画面で全端末のログアウトを選びます。ほかのセッションの終了には、最大30分かかる場合があります。［公式手順］

Claudeの場合：ログイン元も保護する

公式の通常ログインはGoogle認証またはメールのログインリンクです。「Claudeのパスワード変更」と一律に考えず、入力したGoogleやメールサービスの認証情報を保護してください。［ログインの案内］

ClaudeのWeb版で設定 → アカウント → ログアウトを選び、確認すると、全デバイスからサインアウトできます。ログインできない場合は、公式ヘルプのメッセージ窓口に相談してください。［全セッション終了の案内］

Gemini・Googleの場合：Googleアカウントを確認

公式のGoogleアカウント管理でパスワードを変更し、最近のセキュリティイベント・ログイン中のデバイス・再設定用情報を確認します。見覚えのない端末や変更があれば、画面の保護手順に従ってください。［不正使用への対処］

表示名やメニューの位置は、言語・端末・更新によって変わります。見つからない場合は、各枠の公式案内で確認してください。会社のアカウントなら、管理者にもすぐ連絡します。

多要素認証コードを入力・ログインを承認した場合

多要素認証（MFA）は、パスワードに加えて、認証アプリのコードなどで本人確認をする仕組みです。ただし、コードまで偽サイトに渡したり、攻撃者のログインを承認したりすると、突破されるおそれがあります。

コードの有効期限が切れるのを待たず、上記のパスワード変更・セッション終了・不審な操作の確認を行ってください。見覚えのない認証方法や復旧先が追加されていないかも確認します。

MFAを設定するだけでは、既存のログインは終了しません

OpenAIは、MFAを有効にしても既存セッションは取り消されないと案内しています。被害が疑われるときは、先にパスワード変更と全セッションの終了を行い、その後にMFAの設定を確認しましょう。［出典］

不審なファイルをダウンロードした場合

ここからは一般的な偽サイトへの対処です。今回のIsland報告で、全利用者にファイル感染が起きたという意味ではありません。

  • 保存しただけで、開いていない：ファイルを開いたりインストールしたりせず、削除します。OS・ブラウザを更新し、セキュリティソフトで確認してください。
  • 実行・インストールした、拡張機能を追加した：その端末でのログイン操作を止め、別の信頼できる端末からアカウントを保護します。端末はネットワークから切り離し、信頼できるセキュリティソフトや専門窓口で対応を確認してください。

不審なソフトを削除しただけで、すべて解決したとは限りません。会社の端末なら、自分で初期化する前に管理者へ連絡してください。Googleも、不正使用時の対策として有害なソフトウェアの除去を案内しています。［Googleの案内］

外部アプリへのアクセスを許可した場合

パスワードを渡していなくても、外部アプリへの権限を確認する必要があります。正規の認証画面で、望まないアプリにデータのアクセスを許可してしまう場合もあるためです。

Googleの場合は、公式管理画面の「リンク済みアプリ／サードパーティとの接続」から対象アプリを開き、詳細を表示 → アクセス権を削除 → 確認へ進みます。「Googleでログイン」のリンクだけを止める操作とは、区別してください。［公式手順］

他サービスでも、提供元の接続・連携管理から不審な許可を取り消します。権限を取り消しても、すでに相手に渡ったデータが消えるとは限りません。被害が疑われる場合は提供元にも相談してください。

ログインできない・請求が発生した場合の相談先

ログインできない場合は公式の復旧手順やサポートへ進みます。不審なページに戻って、再度認証する必要はありません。

URL、届いたメール、操作した時刻、不審な請求などを記録すると、相談時に説明しやすくなります。証拠を残すために偽サイトを開き直す必要はありません。パスワードや認証コードそのものは、相談文に書かないでください。

今日からできるAIの安全対策

毎回すべてを調べるより、安全な入口を固定する
  • 確認済みの公式サイトをブックマークする。
  • アプリは公式サイトの案内から入手し、提供元を確認する。
  • メールや広告で促されても、ログインは公式入口から始める。
  • パスワードをサービスごとに分ける。
  • 利用できる多要素認証を設定し、コードや承認を他人に渡さない。
  • OS・ブラウザ・アプリを更新する。
  • 外部連携では、アプリ名・用途・要求する権限を読む。

ChatGPTのMFAは、設定 → セキュリティとログイン → 多要素認証から、利用できる方法を選んで設定します。提供される方法はアカウントや端末などで異なります。［公式案内］

本物のAIサービスを使う場合でも、入力する情報には注意が必要です。ログイン先の確認と、入力内容の管理は、それぞれ大切な対策です。

関連：生成AIに個人情報を入力しても大丈夫？安全に使うための注意点

よくある質問

Q．偽サイトを開いただけで、パスワードは盗まれますか？

開いただけで、直ちにパスワードを渡したことにはなりません。入力、認証の承認、ファイルの実行、外部アプリへの許可をしたか確認してください。何もしていなければ閉じ、OSやブラウザを更新しましょう。

Q．日本語のChatGPTは偽物ですか？

いいえ。公式ChatGPTも日本語で利用できます。表示言語ではなく、公式入口と実際の接続先を確認してください。

Q．Googleでログインするのは危険ですか？

正規のログイン方法です。ただし、ボタンや画面は偽装できます。迷った場合は公式入口から入り直し、外部アプリへの許可内容も確認しましょう。

Q．OpenAI以外のAIサービスは全部偽物ですか？

いいえ。独立したAIサービスや、他社のモデルを使うサービスもあります。「OpenAIの公式ChatGPT」と「別会社のサービス」を分け、運営者・料金・データの扱いを確認してください。

Q．メールアドレスだけ入力した場合も、変更が必要ですか？

メールアドレスだけなら、パスワードも漏れたとは限りません。その後のなりすましメールに注意してください。パスワードやコードの入力、承認も行った場合は、その対処が必要です。

まとめ：見抜く知識と、安全な入り方をセットに

AIサービスの名前を使った偽サイトは、便利な機能への期待や、見慣れたログイン画面を利用して情報を盗もうとします。

覚えておきたい3つ
  1. 公式入口から開く。検索順位やロゴだけで判断しない。
  2. 本当のアドレスバーを見る。ページ内の偽画面やHTTPSだけを信用しない。
  3. 入力したら、状況に応じて保護する。パスワード変更・セッション終了・権限の取り消しを行う。

まだ被害がない方は、今日使うAIの公式入口を1つブックマークするところから始めましょう。

さらに読む：なぜAIは犯罪に悪用される？実例3つと身を守る方法

参考資料・公式の対処案内

確認日：2026年10月12日。報告された事件と一般的な対策を区別し、以下の一次情報・公式資料を参照しました。リンク先は別タブで開きます。