パスワードを変更しても「Googleでログイン」の連携は残る？──パスワード・ログイン状態・アクセス権を分けて確認する

Googleアカウントのパスワードを変更したのに、「Googleでログイン」を使ったサービスを引き続き使えることがあります。これは直ちに異常を意味するものではありません。確認の鍵は、パスワード、ログイン中の状態、外部サービスへのアクセス許可を別のものとして考えることです。

「Googleでログイン」で外部サービスに渡すのは、通常はパスワードではない

「Googleでログイン」は、外部サービスにGoogleのパスワードを預ける仕組みではありません。Googleで本人確認をした後、Googleが外部サービスに対して、そのアカウントでログインしたことや、利用者が許可した範囲の情報へアクセスできることを示します。

このとき使われる認可情報は、OAuthのトークンなどと呼ばれます。難しく考える必要はなく、外部サービスに渡した「期限や権限のある入場証」のようなものです。たとえばプロフィールの基本情報だけを使うサービスもあれば、メール、カレンダー、ドライブなどへのアクセスを求めるサービスもあります。

パスワードを複数のサービスに入力しなくてもよいことと、サービスごとに許可する情報や操作の範囲を選べることが、この仕組みの目的です。そのため、連携先がGoogleのパスワードを保存している、と一律に理解するのは正確ではありません。

不正利用が心配なときは、次の三つを混同しないことが重要です。

一つ目は、Googleアカウントに新しくログインするためのパスワードです。パスワードの変更は、以前のパスワードを知る人が新たにログインすることへの対策になります。使い回しを避け、十分に長く固有のパスワードにすることも大切です。

二つ目は、ブラウザやスマートフォンなどに残るログイン中の状態です。これはセッションとも呼ばれます。パスワードを変更したときに、すでにログインしているすべての端末がどう扱われるかは、状況やサービス側の仕組みによって一律ではありません。

三つ目が、「Googleでログイン」を通じて外部サービスに許可したアクセス権です。パスワード変更は重要な対処ですが、以前に与えた外部サービスの認可を常に一律で解除する操作とは限りません。不要な連携や不審な連携は、アクセス権の一覧で個別に確認します。

Googleアカウントのセキュリティ設定を開き、第三者アプリ・サービスとの接続やアクセス権を管理する項目を探します。画面の名称や表示内容は変わることがあるため、現在の公式ヘルプや設定画面で確認してください。

一覧では、見覚えのない名称だけでなく、もう使っていないサービス、必要以上に広い権限を求めている連携がないかを見ます。各項目で、許可した情報・操作の範囲や、表示される許可日時などの詳細を読むと判断しやすくなります。

ただし、一覧に表示されるものを名前だけで不正と決めつけるのは危険です。利用中のGoogle製アプリ、端末、勤務先や学校の管理下で使うサービスが含まれることもあります。仕事や学校のアカウントでは、管理者のポリシーにより設定や解除の扱いが異なる場合もあります。

不要な連携は解除できます。ただし、Googleでログインすることだけを入口にしていたサービスでは、解除後にそのサービスへ入れなくなることがあります。先に別のログイン方法を設定できるか、復旧用メールアドレスを登録できるか、重要な保存データや有料契約があるかを確認しましょう。

Google側で連携を解除しても、連携先が過去に取得して自社で保存したデータの削除や、連携先サービスのアカウント削除、料金契約の停止まで自動で行われるとは限りません。サービスを使わないなら、連携先の正規の設定画面で、退会、データ削除、契約の扱いも別に確認します。

見覚えのない連携があり、正体を判断できない場合は、メールのリンクや検索広告から操作せず、公式サイトや正規アプリを自分で開いてサービス名を確認します。連携の解除を装ってログイン情報を入力させるフィッシングにも注意が必要です。

身に覚えのない連携、不審な操作履歴、知らない端末からの利用などがある場合は、連携解除だけで終わらせません。まずGoogleアカウントの最近のセキュリティ活動とログイン中の端末を確認します。次に、パスワードを固有のものへ変更し、復旧用メールアドレスや電話番号に見覚えのない変更がないかを見ます。

そのうえで二段階認証の設定と、外部サービスへのアクセス権を見直します。パスワード、端末のログイン状態、外部サービスの認可を分けて点検すれば、どこに残っているアクセスを止めるべきか判断しやすくなります。