パソコンがハッキングされたか確認する方法と本当の兆候

パソコンがハッキングされたか確認するには、症状を見るよりも、Windows に残る跡を調べるほうが確実です。netstat で外部への接続、タスク マネージャーでそのプログラムの場所、イベント ビューアーでログオンの記録を見れば、人が入り込んでいるかどうかはほぼ判断できます。ただしその前に、いま見ている警告がサポート詐欺でないかを確かめてください。

その警告画面、サポート詐欺ではありませんか

「ウイルスに感染しました」「サポートに電話してください」という画面と警告音は、ブラウザーに表示された偽の警告です。IPAの情報セキュリティ安心相談窓口に2026年4〜6月に寄せられた相談3,832件のうち、1,428件（37.3%）がこの「ウイルス検出の偽警告」でした。

IPAは、画面が表示されただけならウイルスには感染しておらず、閉じるだけで問題ないと案内しています。閉じ方は偽のウイルス警告の消し方で説明しています。

注意が必要なのは、表示された番号に電話をして、言われるままにソフトを入れた場合です。そのときは相手が実際にパソコンを遠隔操作できる状態になっているので、下の「遠隔操作ソフトを入れてしまった場合」に進んでください。

症状からの切り分け

気になる症状	考えられること	まず確認する場所
警告音と電話番号つきの画面	サポート詐欺（偽警告）	画面を閉じる。電話していなければ感染なし
広告が増えた、検索エンジンが勝手に変わった	アドウェア、ブラウザー乗っ取り	ブラウザーの拡張機能と設定
動作が遅い、ファンがうるさい	ほとんどはハッキング以外	タスク マネージャーの「プロセス」
知らないユーザー アカウントがある	誰かがアカウントを追加した	net user、イベントID 4720
サービスから「新しいログイン」の通知が来る	パスワードの流出、不正ログイン	各サービスのログイン履歴
マウスが勝手に動く、画面が勝手に操作される	遠隔操作	すぐにネットを切断
「パソコンを乗っ取った」と金銭を要求するメール	多くは脅しだけ	支払わない。書かれたパスワードは変更

広告やブラウザーの異常は「誰かが中にいる」状態ではなく、ブラウザー乗っ取りやアドウェアです。ウイルス全般の調べ方はパソコンがウイルスに感染しているか確認する方法にまとめています。

チェック1：netstat で外部への接続を見る

遠隔操作ツールや情報を送り出すマルウェアは、外部と通信しないと役目を果たせません。その通信は netstat で見えます。

1. スタートを右クリックして「ターミナル」を開くか、Windows キー＋R で cmd と入力してコマンド プロンプトを開きます。
2. 次のコマンドを実行します。

netstat -ano | findstr ESTABLISHED

-a はすべての接続、-n はアドレスを数字のまま表示、-o は接続ごとのプロセスID（PID）を表示するオプションです（Microsoft の netstat の説明）。findstr ESTABLISHED で、いま実際につながっている行だけに絞っています。表示は次のような形になります。

TCP  10.0.2.15:49712  20.59.87.226:443   ESTABLISHED  1064
TCP  10.0.2.15:49713  52.110.4.29:443    ESTABLISHED  5296
TCP  10.0.2.15:49851  103.46.230.61:80   ESTABLISHED  5908

（見やすいように列の間の空白を詰めています。）左から順に、プロトコル、自分のパソコン側のアドレス、接続先のアドレスとポート、状態、PID です。

接続の数やポート番号だけで判断しないでください。 この記事の画面は、テスト用に用意したインストール直後の Windows 11 24H2（日本語版）で撮ったものですが、それでも Windows の更新や OneDrive、スタート メニューなどが443番ポートへ十数本つながっていました。見るべきなのは「その接続をどのプログラムが持っているか」です。

3. Ctrl＋Shift＋Esc でタスク マネージャーを開き、左の「詳細」を選びます。
4. 上の検索欄に netstat で見たPIDを入力すると、そのプログラムの行だけが残ります。
5. その行を右クリックして「ファイルの場所を開く」を選びます。

開いたフォルダーが C:\Windows\System32 や C:\Program Files の中で、名前にも見覚えがあれば正規のプログラムです。svchost.exe は Windows のサービスを動かすための入れ物なので、同じ名前がいくつも並ぶのは正常です。右クリックの「サービスの表示」で、そのPIDがどのサービスかを確認できます。

AppData の中にあるだけで不正とは限りません。OneDrive のように、正規のアプリでもユーザーごとのフォルダー（C:\Users\ユーザー名\AppData\Local\…）から動くものがあり、テスト環境でも OneDrive はそこから接続していました。次のような場合は疑ってください。

• svchost.exe や explorer.exe など Windows の名前なのに、AppData や Temp の中にある
• 意味のない文字列の名前や、Windows の名前を少し変えた名前（scvhost.exe など）
• 自分で入れた覚えのない遠隔操作ソフト（AnyDesk、TeamViewer、UltraViewer、各種VNC など）が動いている

判断がつかないファイルは、エクスプローラーで右クリックして Microsoft Defender でスキャンできます。

チェック2：知らないユーザー アカウントがないか

コマンド プロンプトで次を実行します。

net user

テスト環境では次のように表示されました。

\\ADMINIP-M9L9VCG のユーザー アカウント

-------------------------------------------------------------------------------
Admin                    Administrator            DefaultAccount
Guest                    WDAGUtilityAccount
コマンドは正常に終了しました。

自分の名前（ここでは Admin）と、最初からある Administrator・Guest・DefaultAccount・WDAGUtilityAccount 以外に作った覚えのないアカウントがあれば要注意です。普通のマルウェアがユーザー アカウントを作ることはあまりなく、人が操作したときの跡であることが多いからです。設定の「アカウント」→「その他のユーザー」でも確認できます。

チェック3：イベント ビューアーでログオンの記録を見る

Windows はログオンの成功・失敗やアカウントの作成を「セキュリティ」ログに記録しています。

1. スタートを右クリックして「イベント ビューアー」を開きます。
2. 左側で「Windows ログ」→「セキュリティ」を選びます。
3. 右側の「現在のログをフィルター…」をクリックし、「<すべてのイベント ID>」と書かれた欄に 4625,4720 と入力して「OK」を押します。

イベントID	意味	見方
4625	「アカウントがログオンに失敗しました。」	自分のパスワード入力ミスでも出ます。自分がパソコンを使っていない時間帯に、短時間で大量に出ていたら不審です
4720	「ユーザー アカウントが作成されました。」	自分でアカウントを作った覚えがないのに記録があれば、強い警告サインです
4624	「アカウントが正常にログオンしました。」	件数が非常に多く、Windows 自身のログオンも含まれます。詳細の「ログオン タイプ」が 10（リモート デスクトップ）のものだけ注目します

イベントをクリックすると、下の欄に詳細が出ます。4720 なら作られたアカウントの名前、4625 ならログオンしようとしたアカウント名と「ログオン タイプ」がわかります。

テスト環境（Windows 11 24H2 Pro 日本語版）で auditpol /get /category:* を実行したところ、初期設定のままで、ログオンは「成功および失敗」、ユーザー アカウント管理は「成功」が記録される設定でした。自分で設定を変えていなければ、4625と4720は記録されているはずです。見るときに知っておくと迷わない点が2つあります。

• Windows をインストールした日の4720は正常です。 テスト環境でも、インストール中に WDAGUtilityAccount と自分のアカウント（Admin）の作成が記録されていました。このときの作成者は、コンピューター名の末尾に $ がついた名前です。
• 古い記録は消えていきます。 セキュリティ ログの最大サイズは初期設定で20 MBで、いっぱいになると古いものから上書きされます。何か月も前のことは、記録が残っていないこともあります。

遠隔操作ソフトを入れてしまった場合

サポート詐欺の電話で「確認のため」と言われてソフトを入れた場合は、次の順で対応します。

1. インターネットを切断します。 Wi-Fi をオフにするか、LAN ケーブルを抜きます。
2. 入れさせられたソフトを削除します。 設定の「アプリ」→「インストールされているアプリ」で AnyDesk、TeamViewer、UltraViewer など覚えのない遠隔操作ソフトをアンインストールします。インストールせずに実行だけするタイプもあるので、「ダウンロード」フォルダーに残っている実行ファイルも削除します。
3. パスワードを別の端末から変えます。 そのパソコンで使っていたメール、ネットバンキング、Microsoft アカウントなどのパスワードを、スマホなど別の端末から変更します。
4. お金に関わる情報を伝えたら連絡します。 カード番号や電子マネーのコードを伝えた場合はカード会社や発行元にすぐ連絡します。
5. ウイルス対策でスキャンします。 Windows セキュリティの「ウイルスと脅威の防止」→「スキャンのオプション」から「Microsoft Defender ウイルス対策 (オフライン スキャン)」を実行すると、Windows を読み込まない状態でスキャンできます（Microsoft の説明）。パソコンが再起動するので、開いているファイルは先に保存してください。

相談先は役割が分かれています。警察のサイバー事案に関する相談窓口は被害の相談や届出、IPAの情報セキュリティ安心相談窓口（電話 03-5978-7509、平日10時〜17時）は手口や対処の助言で、パソコンやログの調査そのものは引き受けていません。お金の被害は消費者ホットライン188にも相談できます。

自分では判断しきれないとき

チェックしても何も見つからなければ、ハッキングされている可能性は低いと考えてよいでしょう。逆に、正体のわからないプログラムが外部と通信している、知らないアカウントが作られている、遠隔操作ソフトを入れた後に設定が変えられている、といった跡があれば、ファイルを消すだけでは足りないことがあります。攻撃者が自動起動やタスク スケジューラーに再侵入の仕掛けを残している場合があるからです。そこまで来たら、マルウェア除去の手順で駆除を試すか、どこまで入り込まれたかを専門のウイルス・マルウェア除去に調べてもらうのが安全です。