社内のIT担当が実質1人で、管理者ロールだけは何人かに配ってある。ユーザーの追加は総務、パスワードを忘れた人の対応は営業部長、請求まわりは経理。よくある構成です。
この状態で「誰かの管理者アカウントのパスワードが、本人の知らないところで変えられた」としたら、気づける経路はどこにあるでしょうか。本人が次にログインしようとして弾かれるまで、誰も知らない。実際にはそれが最短の検知手段になっている会社は珍しくありません。
アカウントを奪った側から見ると、パスワードのリセットは目的ではなく通過点です。管理者権限を握れば、あとは転送設定を1つ足すだけで、以降のメールを静かに抜き続けられる。だから最初の1回に気づけるかどうかで、その後の被害の桁が変わります。
「特権管理者だけ」から「全管理者ロール」へ
Google Workspace のアラートセンターにある「特権管理者のパスワード リセット」アラートが、「管理者のパスワード リセット」に拡張されました（Enhanced security monitoring with expanded Admin password reset alerts — Google Workspace Updates）。
これまでは超管理者（Super Admin）のパスワードがリセットされたときにだけ通知されていたものが、組織内のすべての管理者ロールを対象に鳴るようになったという変更です。2026年6月22日から段階的に展開されました。
運用上ありがたいのは、管理者側の作業が要らない点です。既定で有効になり、既存のアラートに宛先リストを設定してカスタマイズしていた場合、その設定は新しいルールへそのまま引き継がれます。何もしなくても、検知範囲だけが広がった状態になります。
なぜ超管理者だけでは足りなかったのか
「重要なのは超管理者なのだから、そこだけ見ていれば十分では」と感じるかもしれません。ここが実務で誤解されやすいところです。
パスワードをリセットする権限は、超管理者の専売特許ではありません。ユーザー管理者やヘルプデスク管理者といった、権限を絞ったつもりのロールにも、他人のパスワードを再設定する能力が含まれます。つまり、これらのロールを奪われた時点で、攻撃者は組織内の一般ユーザーのアカウントを次々に開けられる状態になります。
| 奪われたロール | その場でできること | 従来アラートの対象 |
|---|---|---|
| 超管理者 | 設定全般の変更、他管理者の権限付与 | 対象 |
| ユーザー管理者 | 一般ユーザーのパスワード再設定、アカウント作成 | 対象外だった |
| ヘルプデスク管理者 | パスワード再設定（対象範囲は限定） | 対象外だった |
権限委譲は「超管理者を減らすための良い運用」として推奨されるものですが、ロールを分けた分だけ、監視すべき入口も増えていたわけです。今回の拡張は、その広がった入口の側に検知を合わせにいった変更だと読めます。
鳴ったときに何をするかを先に決めておく
アラートは、受け取ったあとの手順が決まっていないと「よく分からない通知」として流されます。管理者のパスワードリセットが通知されたときにたどる順序は、おおむね次の4つです。
- 正規の操作かどうかを本人に直接確認する。メールやチャットではなく、電話など別経路で確認します。アカウントを奪われている場合、その連絡自体が相手に見えている可能性があるためです
- 監査ログで「誰が」実行したかを確認する。実行者、時刻、IPアドレス、端末を突き合わせます。ログのどの欄を見るかは監査ログに増えた2つの欄で整理しています
- 心当たりがなければ、対象アカウントのセッションをすべて失効させる。パスワードを変えるだけでは、すでに発行済みのセッションやアプリのアクセス権が残ります
- メール転送設定・フィルタ・アプリパスワード・二段階認証の予備手段を確認する。侵入後に仕込まれる細工はこの4か所に集中します
3と4を飛ばすと、パスワードだけ戻して「対応済み」にしてしまい、実際には抜かれ続けるという形になります。ここは順序を守る価値があります。
通知の宛先を決めていないと、鳴っても届かない
検知範囲が広がっても、通知が誰にも読まれないメールボックスに落ちていれば結果は同じです。アラートセンターを触っていない組織で起きがちなのは次の状態です。
- 通知先が超管理者アカウント1つで、そのアカウントは普段誰も開いていない
- 通知先が
info@のような共有アドレスで、営業メールに埋もれる - 平日日中しか見られない宛先しか設定されておらず、深夜と休日は無人
対策は難しくありません。アラートセンターの通知先を、実際に毎日読む個人のアドレスと、チームのチャットに二重で流す。それだけで「気づくのが3日後」は避けられます。誰の不審操作をどう検知するかという全体設計はGoogle Workspaceの監査ログとアラートで不審操作を検知するで、管理コンソールのどこに何があるかはGoogle Workspace 管理コンソール入門で扱っています。
今週のうちに確認できること
この変更自体は自動で入るので、導入作業はありません。代わりに確認しておきたいのは次の2点です。
1つめは、管理者ロールを誰に配っているかの棚卸しです。退職者や異動した人にロールが残っていないか。「とりあえず付けた」ままのロールがないか。検知範囲が全ロールに広がったということは、ロールを配りすぎている組織ほどアラートが増えるということでもあります。
2つめは、アラートの通知先が生きているかの確認です。テスト通知を送れる項目があるので、実際に届くかどうかを目で見ておくのが確実です。
管理者ロールの整理やアラート運用の設計を社内だけで進めるのが難しい場合は、グリームハブのIT・Google Workspace 無料相談で承っています。組織の規模や体制によって適切な分け方は変わるため、個別にご相談ください。お問い合わせからどうぞ。
