会社のSNSが乗っ取られたら — 中小企業の初動8ステップと予防策

会社のSNSアカウントの乗っ取りとは、第三者がパスワードなどを不正に入手し、会社に無断でログイン・投稿・設定変更を行う被害のことである。まず、まだログインできるなら今すぐパスワードを変更して全端末をログアウトさせ、2段階認証をオンにする。ログインできないなら、各サービスの公式の乗っ取り報告・復旧窓口に申し出て、取引先とフォロワーには別の連絡手段で注意を呼びかける。 本稿では、Instagram・X・Facebookページ・LINE公式アカウント・TikTokを対象に、経営者や非IT担当者が迷わず動けるよう、初動の手順と予防策を整理する。

乗っ取りは、ある日突然ログインできなくなる形だけでなく、気づかないうちに少しずつ設定が変えられている形でも起こる。次のような変化があれば、乗っ取りまたはその前段階を疑う。

- 自分でログインしようとすると、パスワードが違うと表示される、またはメールアドレスや電話番号が見覚えのないものに変わっている
- 身に覚えのない投稿・ストーリーズ・リール、フォロー、いいね、DMの送信履歴がある
- 「新しい端末からのログインがありました」「パスワードを変更しました」「メールアドレスを変更しました」といった通知メールが届く
- 取引先やフォロワーから「怪しいリンクのDMが届いた」「投資や副業の勧誘が来た」と連絡が来る
- 広告アカウントやカードに、覚えのない広告配信や課金が発生している
- プロフィール名・アイコン・自己紹介文・リンクが勝手に書き換わっている
- 管理者や投稿担当者の一覧に、見知らぬ人やアカウントが追加されている

特に気づきにくいのが、通知メールの見落としである。SNSは設定変更のたびに登録メールアドレス宛てに通知を送る。担当者個人のメールや、誰も見ていない共用メールに届いていると、被害に気づくのが数日遅れる。普段からこうした通知が誰に届くのかを把握しておくことが、早期発見につながる。

乗っ取りの多くは、高度なハッキングではなく、人の心理や運用の隙を突いた手口で起こる。代表的な原因は次のとおりである。

- フィッシングDM・メール：「あなたのアカウントが規約違反です」「異議申し立てはこちら」といった文面で偽のログイン画面に誘導し、ID・パスワード・認証コードを入力させる
- 「著作権侵害」「認証バッジ（ブルーバッジ）の付与」の偽通知：「投稿が著作権を侵害している、24時間以内に対応しないと削除される」「認証バッジが無料でもらえる」と焦りや期待をあおり、リンクを開かせる。公式を装った見た目や、実在する企業名・担当者名を使うこともある
- パスワードの使い回し：他のサービスから流出したID・パスワードの組み合わせを試される（リスト型攻撃）ため、使い回しているとSNSも破られやすい
- 退職者・元委託先のアカウント：担当者個人のアカウントや個人のメールで管理していると、退職後も権限が残ったり、パスワードが共有されたまま放置されたりする
- 連携アプリ・外部ツール：予約投稿ツールや分析ツール、見知らぬアプリにアクセスを許可したままにすると、そこから情報が漏れたり、不正に操作されたりする
- 端末のマルウェア感染：怪しい拡張機能やソフトを入れたパソコン・スマホから、ログイン情報やセッション情報が盗まれる

共通するのは「公式からの連絡に見える」という点である。慌てさせて考える時間を奪うのが典型的な手口なので、リンクを開く前にいったん止まり、メールやDMのリンクではなく、アプリや公式サイトのブックマークから確認する習慣が有効である。パスワードの扱いや2段階認証の考え方は、二段階認証・パスワード管理でも解説している。

乗っ取りは時間との勝負である。放置するほど、フォロワーや取引先への詐欺DM、広告の不正課金、ブランドの毀損が広がる。次の順で進めるとよい。ただし、ログインできるかどうかで最初の動きが変わる点に注意する。

1. ログインできるか確認する：いつものパスワードでログインを試す。ログインできれば「まだ奪われていない、または部分的に奪われている」状態であり、すぐにステップ2へ進む。できなければステップ5の公式復旧手続きを並行して始める
2. パスワードを変更し、全端末をログアウトさせる：他サービスと重複しない長く複雑なものに変更し、設定画面の「すべての端末からログアウト」「ログイン中の端末を確認」で、不審なセッションを切断する
3. 2段階認証を設定・見直す：認証アプリ方式を推奨する。攻撃者が追加した認証手段（電話番号・メール）が残っていないかも確認し、不審なものは削除する
4. 連携アプリ・外部サービスを解除する：覚えのない連携アプリ、使っていない予約投稿ツールは解除する。管理者や投稿担当者の一覧に知らない人がいれば権限を外す
5. 各社の公式復旧手続きを進める：ログインできない場合は、後述のプラットフォーム別の窓口から本人確認・報告を行う。非公式の「復旧代行」には頼らない
6. フォロワー・取引先に別の経路で告知する：乗っ取られたアカウントからは告知できない。別のSNSアカウント、自社のWebサイト、LINE、メールなどで「当アカウントから届いたDMやリンクは開かないでください」と伝える
7. 証拠を保存する：不審な投稿・DM・通知メール・ログイン履歴の画面をスクリーンショットで保存し、日時とあわせて記録する。復旧申請や警察・カード会社への相談で必要になる
8. 被害があれば警察とカード会社へ連絡する：DMを通じた詐欺被害、広告アカウントの不正課金、顧客情報の流出などがあれば、警察の相談窓口やサイバー犯罪の相談先、利用中のカード会社に連絡する。顧客の個人情報が漏れた恐れがある場合は、法令上の対応も必要になる可能性がある

ステップ2〜4は10分程度で終えられることも多い。一方で、ステップ5の公式復旧は数日以上かかることがある。待っている間にも被害が広がらないよう、ステップ6の告知を先に出すことが重要である。なお、乗っ取り犯がメールアドレスや電話番号まで変更している場合、通常のパスワード再設定では戻せない。その場合は本人確認を伴う復旧手続きが必要になる。

パソコンやスマホ自体がマルウェアに感染している疑いがある場合は、パスワード変更の前に、安全な別の端末から作業するのが原則である。感染した端末で新しいパスワードを入力すると、再び盗まれるおそれがある。端末側のトラブルを含む初動全体の考え方は、IT緊急対応の初動ガイドにまとめている。

また、SNSだけでなく、会社のWebサイトの管理画面や独自ドメインのアカウントも同時に狙われることがある。SNSと同じパスワードを使い回していないか、この機会に確認したい。Webサイトの異常については、Webサイト改ざん時の対応も参考になる。

各サービスの復旧窓口と手順は、画面やルールが変更されることがある。以下は代表的な流れの整理であり、実際に手続きを進める際は、必ず各サービスの公式ヘルプで最新の手順を確認してほしい。検索結果に出てくる非公式サイトや、SNSで声をかけてくる個人・業者には個人情報やパスワードを渡さないこと。

どのサービスにも共通するのは、「登録メールアドレスと電話番号にアクセスできるか」が復旧の鍵になることである。また、本人確認の自撮り動画や身分証の提出を求められる場合があるが、必ず公式のアプリまたは公式ヘルプのページからの導線であることを確認してから提出する。偽の復旧ページで本人確認書類を盗む二次被害も確認されている。

乗っ取られたアカウントでは告知できないため、別のSNSアカウント、自社のWebサイト、LINE公式アカウント、メールなど、被害を受けていない経路で出す。次の例を目的に合わせて調整するとよい。個人名や詳細な原因は、確定するまで書かないほうが安全である。

- 【短い注意喚起（SNS向け）】「当社のInstagramアカウントが第三者に不正にアクセスされた可能性があります。当アカウントから届いたDMやリンクは開かず、削除してください。復旧次第、改めてお知らせします。」
- 【取引先へのメール】「平素よりお世話になっております。当社の公式SNSアカウントが第三者に不正に操作された疑いがあり、現在、調査と復旧を進めております。当該アカウントから届いたメッセージに記載のURLやファイルは開かないようお願いいたします。ご不明な点は、本メールにご返信ください。」
- 【Webサイトのお知らせ】「公式SNSアカウント不正アクセスに関するお知らせ：○月○日ごろから、当社の公式アカウントが第三者に不正に利用された可能性があります。不審な投稿やDMを受け取られた場合は、リンクを開かずにご連絡ください。」
- 【復旧後の報告】「当社の公式アカウントは○月○日に復旧しました。ご心配をおかけしましたことをお詫びいたします。今後は2段階認証の徹底と管理体制の見直しにより、再発防止に努めます。」

自社で公式の復旧手続きを進める場合、費用は0円である。期間は、パスワードを変更できる軽度のケースなら当日〜翌日、本人確認を伴う復旧では数日〜数週間かかることがある。ただし、サービス側の判断により、復旧できない場合もある。特に、犯人にメールアドレスや電話番号を変更され、元の本人確認情報も用意できないときは、時間がかかる、あるいは難しくなる傾向がある。

専門業者に調査や復旧支援を依頼する場合の費用は、内容により大きく異なり、数万円〜程度から、フォレンジック調査が必要なケースではそれ以上になることもある。あくまで目安であり、断定はできない。依頼する場合は、見積もりの内訳と作業範囲を書面で確認したい。

- 「復旧を100%保証する」とうたう業者は信用しない（復旧の可否を決めるのはサービス側であり、外部業者は保証できない）
- 前払いで高額を請求する、パスワードや認証コードをそのまま渡すよう求める業者は避ける
- SNSで「アカウントを取り戻します」と声をかけてくる個人は、二次被害を狙う詐欺の可能性が高い
- 業者に依頼する前に、まず公式の復旧手続きを試す

乗っ取りは、一度被害に遭うと復旧に時間と手間がかかる。事前の備えで防げるものが大半である。次の項目を確認してほしい。

- 2段階認証をオンにする：認証アプリ（Google Authenticator、Microsoft Authenticatorなど）の利用を推奨する。SMSよりも、SIMスワップなどの攻撃に強い
- バックアップコードを保管する：スマホを紛失したときの復旧に使う。印刷して金庫など安全な場所に保管するか、パスワード管理ツールに保存する
- 共用パスワードをやめる：1つのパスワードを複数人で使い回すと、誰が漏らしたか追えず、退職時の入れ替えも難しい。パスワード管理ツールで共有・管理する
- 管理者を2名以上にし、個人アカウント依存をやめる：Meta Business SuiteやLINEビジネスIDで、担当者ごとに権限を付与する。1人のアカウントが乗っ取られても、他の管理者が対応できる
- 退職・異動時に権限を即削除する：担当者の変更時は、パスワードの変更と権限の削除を手順に入れる。詳しくは退職者のIT手続きを参照
- 連携アプリを棚卸しする：半年に1回程度、各SNSの設定画面で連携アプリを確認し、使っていないものは解除する
- 公式通知の見分け方を共有する：「リンクを開く前に、アプリや公式サイトのブックマークから確認する」「差出人のドメインや文面の不自然さを確認する」を担当者全員で共有する
- ログイン通知をオンにする：新しい端末からのログインや設定変更の通知を、複数人が受け取れるメールアドレス宛てに設定する
- 端末を最新に保つ：OS・ブラウザ・セキュリティソフトを更新し、不要な拡張機能を入れない

技術的な対策だけでは、担当者が代わったり、忙しくなったりしたときに崩れやすい。小さな会社でも、次の3点を紙1枚でよいので決めておくと、事故が起きたときに動きやすい。

- 誰が管理者か：最終的な責任者（経営者や総務）と、予備の管理者を決める。個人の判断だけで追加・削除せず、変更は記録する
- パスワードの管理方法：パスワード管理ツールの利用、保管場所、変更するタイミング（退職時・疑わしい兆候があったとき）を決める。付箋や個人のメモ帳に書かない
- 投稿担当者の権限レベル：投稿だけを担当する人には、設定変更や管理者追加ができない権限を付与する。外部の制作会社には、必要な期間だけ権限を与え、終了後は削除する

あわせて、緊急時の連絡網（誰が誰に連絡するか）と、告知文のひな形を1つ決めておくと、実際の対応が早くなる。年に1回、担当者の入れ替わりとあわせて見直す運用が現実的である。