Xアカウントが乗っ取られた？確認方法と今すぐやるべき対処法を状況別に解説【2026年7月更新】

「身に覚えのない投稿が自分のXに上がっている」「正しいパスワードなのにログインできない」「登録メールアドレスが勝手に変更されていた」――今まさに、そんな状況に直面していませんか。

Xアカウントの乗っ取りは、放置すればフォロワーへのスパムDM送信、なりすまし投稿による信用失墜、そして最悪の場合はアカウントの永久凍結にまで発展します。しかも被害は今この瞬間も進行しています。

私は行政書士としてSNSトラブルのご相談を数多くお受けしてきましたが、被害を最小限で食い止められるかどうかは「最初の24時間の初動」と「証拠保全」でほぼ決まります。この記事では、状態の切り分け方から、ケース別の緊急対処法、復旧後に犯人へ責任追及するための法的手段まで、今すぐ実行できる順番でお伝えします。

まず30秒で確認:それは「乗っ取り」ですか?「ロック・凍結」ですか?

対処法を間違えないために、最初に状態を切り分けましょう。「ログインできない=乗っ取り」とは限りません。X側のセキュリティ措置である「ロック」や、規約違反等を理由とする「凍結」の場合、取るべき手続きがまったく異なります。

自分がどの状態かはっきりしない方は、まずロック?凍結?いまのアカウントの状態を確認する方法で切り分けてから戻ってきてください。以下、「乗っ取り」に該当する方向けに進めます。

Xアカウントが乗っ取られているかを確認する5つのサイン

サードパーティアプリの不具合で予期しない投稿が出ることもあるため、以下のサインを順にチェックしてください。2つ以上当てはまれば、乗っ取りとみて対処に進むべきです。

1. 身に覚えのない投稿・DM・フォローがある

自分のプロフィールページを開き、最近の投稿、送信済みDM、フォロー中リストを確認します。特にスパムURL付きのDMがフォロワーに一斉送信されているケースは最も緊急度が高い状態です。あなたの信用が今この瞬間も失われ続けており、フォロワーが二次被害(フィッシング詐欺等)に遭うおそれもあります。

2. 正しいパスワードなのにログインできない

「パスワードが違います」と表示される場合、犯人がすでにパスワードを変更した可能性が濃厚です。さらに、パスワードリセット画面に表示される伏字のメールアドレス(例:ta****@gm***.com)が自分のものと違う場合は、登録メールアドレスごと書き換えられている深刻な状態です。

3. Xから身に覚えのない通知メールが届いている

「新しい端末からログインがありました」「パスワードが変更されました」「メールアドレスが変更されました」といったメールは、第三者が操作している決定的な証拠です。逆に、明らかに異変が起きているのに何の通知も届かない場合は、登録メールアドレス自体がすでに変更されている疑いがあります。これらのメールは後述する証拠保全の中核になるため、絶対に削除しないでください。

4. ログイン履歴に知らない端末・地域が表示されている

ログインできる場合は、「設定とプライバシー」→「セキュリティとアカウントアクセス」→「アプリとセッション」→「セッション」の順に進むと、ログイン中の端末一覧が確認できます。海外のIPアドレスや使った覚えのない端末名があれば、乗っ取りが確定したものとして次章の対処に進みましょう。

5. プロフィールや連携アプリが勝手に変わっている

アイコン・表示名・自己紹介文が書き換えられている、見覚えのないアプリが連携されている、といった変化も典型的なサインです。投資勧誘や暗号資産系のリンクがプロフィールに追加されていたら、なりすまし詐欺の踏み台にされている可能性が高い状態です。

そもそもなぜ乗っ取られるのか?主な4つの手口

対処法に進む前に、侵入経路を知っておくことには実益があります。手口がわかれば、復旧後に「どこを塞ぐべきか」が明確になり、再発防止の精度が上がるからです。相談実務で目にする侵入経路は、大きく次の4つに分類できます。

重要なのは、③のケースでは「正しいパスワードでログインできるのに勝手な投稿が続く」という一見不可解な状態になる点です。この場合、パスワードを何度変更しても投稿は止まりません。連携アプリの解除が唯一の解決策になります。ご自身の症状と手口を照らし合わせながら、次章の対処に進んでください。

【緊急】乗っ取られた時の対処法をケース別に解説

ここからが本題です。状況によって取るべき行動はまったく違います。ご自身がどのケースに該当するか、下の表で確認してから該当箇所に進んでください。

ケース①:ログインできる場合の4ステップ(目標30分以内)

犯人とあなたが同時にアカウントへアクセスできている、いわば「陣取り合戦」の状態です。先に締め出した方が勝ちます。次の順番で一気に実行してください。

1. パスワードを即変更する:12文字以上、英大文字・小文字・数字・記号を混在させ、他のサービスと共通しないものにします。
2. 連携アプリをすべて見直す:「アプリとセッション」から、見覚えのないアプリ・使っていないアプリの連携を解除します。
3. 全セッションを強制ログアウトする:「他のすべてのセッションからログアウト」で、犯人の端末を一括で締め出します。
4. 二段階認証(2FA)を有効化する:SMS方式ではなく、Google Authenticator等の認証アプリ方式が最も安全です。

注意点として、順番を守ることが重要です。先にログアウト処理をしてもパスワードが古いままなら犯人は再ログインできます。「パスワード変更→締め出し→施錠(2FA)」の流れを崩さないでください。

ケース②:パスワードが変更されログインできない場合

Xのログイン画面で「パスワードを忘れた場合」を選択し、登録メールアドレスまたは電話番号宛にリセットリンクを送信します。電話番号を登録している場合は電話番号(SMS)経由が有効です。メールアドレスが書き換えられていても、電話番号までは変更されていないケースが実務上少なくないためです。

リセットリンクが届いたら、新しいパスワードを設定した上で、ケース①のステップ2以降(連携解除→全セッションログアウト→2FA設定)を必ず実行してください。パスワードを取り戻しただけでは、犯人のセッションが生きたままのことがあります。

リンクが届かない、または画面に表示される伏字アドレスが見覚えのないものである場合は、次のケース③に進みます。

ケース③:メールアドレスまで変更されている場合

最も深刻なケースです。自力でのリセットは不可能なため、Xヘルプセンターの「ハッキングされたアカウント」専用フォームから本人確認申請を行い、X社の審査で「本来の持ち主」であることを認めてもらう必要があります。ここで審査を通せるかどうかは、提出情報の精度と一貫性にかかっています。

申請文面のコツは、「感情ではなく事実」を書くことです。「困っています」「早く戻してください」という訴えは審査に影響しません。X社の担当者が知りたいのは、あなたが本来の所有者であることを裏付ける客観的事実だけです。「2026年7月10日22時頃まで正常に利用しており、同日22時2分にパスワード変更の通知メールを受信した。変更後のメールアドレスに心当たりはない」というように、日時を特定した簡潔な記述を心がけてください。なお、申請には乗っ取り前の登録メールアドレスとは別の「連絡が取れるメールアドレス」が必要です。

申請後の返信は通常3日〜数週間かかります。この期間中に乗っ取られたアカウントへ無理にログインを試み続けると、X側に異常アクセスと検知されて復旧がさらに困難になるため、絶対に避けてください。ケース③の詳しい申請手順と英文フォームの書き方は、乗っ取られてメールアドレスを変更されたときの復旧方法で具体的に解説しています。

絶対にやってはいけない3つのNG行動

相談実務の中で、「良かれと思ってやったことが復旧の妨げになった」ケースを何度も見てきました。焦る気持ちは痛いほどわかりますが、次の3つだけは避けてください。

とりわけ①は重要です。復旧を急ぐあまり「気持ち悪いから全部消してしまった」という方が本当に多いのですが、証拠が消えると、犯人への損害賠償請求も刑事告訴も立証の入口で頓挫します。詳しくは次章で解説します。

行政書士が解説:復旧作業と並行して残すべき「証拠」とは

ここが、一般的な対処法解説記事との大きな違いであり、私が行政書士として最も強調したい部分です。他人のIDとパスワードでアカウントにログインする行為は、不正アクセス禁止法に違反する犯罪であり、後から損害賠償請求や刑事告訴に発展する可能性があります。その時に「証拠がない」と泣くことのないよう、復旧作業と並行して、以下を保全してください。復旧が終わってからでは、遅い場合があります。

保全すべき証拠の一覧

時系列メモの書き方(実例)

難しく考える必要はありません。次のような粒度で十分です。

なぜここまでやるのか。X社への本人確認申請でも、警察への被害届でも、後の民事請求でも、問われるのは常に「客観的な記録」だからです。特に企業アカウントや、SNSを収益源にしている個人事業主・インフルエンサーの方は、これらの証拠が損害立証の成否を直接左右します。

企業アカウント・事業用アカウントが乗っ取られた場合の追加対応

公式アカウントや事業用アカウントの場合、技術的な復旧に加えて「対外的な信用対応」が必須になります。放置すると、なりすまし投稿を信じたフォロワーや取引先が詐欺被害に遭い、その責任の所在を巡って紛争化するおそれすらあります。復旧作業と並行して、次の3点を進めてください。

① フォロワー・取引先への注意喚起を最優先で出す

乗っ取られたアカウント自体で告知できない場合は、自社サイト・他のSNS・メールなど、使える全チャネルで告知します。文面は次の要素を押さえれば十分です。

② 社内の報告ラインと対応記録を一本化する

担当者が個人の判断でバラバラに操作すると、ログイン試行の繰り返しによるロックや、証拠の上書き・消失を招きます。対応担当を1名に絞り、「誰が・いつ・何をしたか」の操作記録を残してください。この記録は、後に経営層・取引先へ経緯を説明する際にも、法的手続きの資料としてもそのまま使えます。

③ 二次被害の申告窓口を用意する

スパムDM経由でフォロワーに金銭被害が出た場合に備え、問い合わせ窓口を告知文に明記しておきます。被害申告の件数と内容は、犯人への損害賠償請求における損害立証の資料にもなります。誠実な初動対応そのものが、企業の信用を守る最大の防御です。

被害が大きい場合に検討できる法的対応

個人の趣味アカウントであれば復旧で一区切りかもしれませんが、企業アカウントや影響力のあるアカウントでは、信用毀損・営業損害という実害が発生しているはずです。その場合、以下の法的手段を視野に入れられます。

① 不正アクセス禁止法違反としての刑事告訴・被害届

他人のID・パスワードを無断で使用してログインする行為は不正アクセス禁止法違反にあたり、3年以下の懲役または100万円以下の罰金が科される犯罪です。なりすまし投稿の内容によっては、名誉毀損罪や信用毀損・業務妨害罪が別途成立する余地もあります。警察(各都道府県警のサイバー犯罪相談窓口)への被害届・告訴状の提出が可能ですが、受理されるかどうかは持ち込む資料の整理度で大きく変わるのが実情です。前章の証拠保全と時系列メモが、ここで効いてきます。

② 発信者情報開示請求による犯人特定

乗っ取り犯のIPアドレスから、経由プロバイダを通じて契約者を特定する手続きです。改正プロバイダ責任制限法により発信者情報開示命令という一体的な裁判手続が整備され、従来より迅速な特定が可能になりましたが、それでもログの保存期間(一般に3〜6か月程度)との時間勝負であることに変わりはありません。「復旧できたからいったん様子を見よう」と数か月置いてしまうと、ログが消え、犯人特定の道が物理的に閉ざされます。責任追及を少しでも考えているなら、復旧と同時に動き始める必要があるのはこのためです。

③ 損害賠償請求・警告書(内容証明郵便)

犯人を特定できた場合、なりすまし投稿による信用毀損や営業損害について、民事上の損害賠償を請求できます。また、知人・元関係者による乗っ取りが疑われるケースでは、内容証明郵便による警告書の送付が抑止として機能することもあります。

乗っ取りと同時に「凍結」されてしまった場合

実務上よくあるのが、犯人がスパムDMを大量送信した結果、X側のシステムに規約違反と判定され、被害者であるはずのアカウントが凍結されてしまうパターンです。この場合、乗っ取りからの復旧と凍結解除の異議申し立てを並行して進める必要があり、難易度が一段上がります。

凍結への対応は、以下の記事で手順と文例を公開しています。

• 凍結された直後にやること・やってはいけないこと
• 凍結解除の異議申し立ての書き方・例文集
• 解除メールが来たのにアカウントが使えないときの対処法

異議申し立てでは「乗っ取り被害の結果としてスパムが送信されたこと」を、証拠を添えて説明できるかが解除の分かれ目です。ここでも、先ほどの証拠保全がそのまま武器になります。

復旧後のセキュリティ総点検と、再発を防ぐ予防策5選

アカウントが戻ってきても、それで終わりではありません。一度乗っ取られたアカウントは、認証情報が闇市場で出回っている可能性があり、再攻撃のリスクが通常より高い状態です。まずは以下のチェックリストで総点検を行ってください。

特に見落とされがちなのが5つ目です。犯人はXのパスワードだけでなく、登録メールアドレスとパスワードの「組み合わせ」を入手しています。同じ組み合わせで他のサービスに侵入される二次被害が現実に起きていますので、必ず横展開で点検してください。その上で、以下の予防策を講じましょう。最低でも上から3つは今日中の実施をおすすめします。

1. 二段階認証(2FA)を認証アプリ方式で設定する

SMS認証よりも、Google Authenticator等の認証アプリ方式が圧倒的に安全です。SIMスワップ(電話番号の乗っ取り)によって突破されるリスクを回避できます。設定時に表示されるバックアップコードは、必ずオフラインで保管してください。

2. パスワードの使い回しを完全にやめる

誕生日・電話番号・「password123」のような文字列は論外として、実務上最も多い侵入経路は他サービスからの流出パスワードを使った「リスト型攻撃」です。どこか一か所から漏れると、同じパスワードを使う全アカウントが芋づる式に乗っ取られます。パスワードマネージャーの導入を強くおすすめします。

3. 連携アプリを月1回見直す

「フォロワー診断」「相性チェック」系の無料アプリには、認証情報の取得を目的とするものが少なくありません。使っていないアプリは即座に連携解除しましょう。

4. 公式を装ったDM・メールのリンクを開かない

「アカウントが凍結されました」「不審なログインを検知しました」といった偽通知からフィッシングサイトへ誘導する手口が急増しています。X公式がDMでパスワード入力を求めることは基本的にありません。送信元ドメインを必ず確認する習慣をつけてください。

5. 補助メールアドレスを登録しておく

メインの連絡先が乗っ取られた時の生命線になります。普段使わないアドレスを「保険」として登録しておきましょう。

実際のご相談事例:初動の違いが結果を分けた2つのケース

守秘義務の範囲で概要をぼかしていますが、初動対応の違いが結果をどれほど左右するか、対照的な2つの事例をご紹介します。

事例A:即日の証拠保全で凍結解除と信用回復に成功したケース

物販事業者の公式アカウントが乗っ取られ、フォロワー数千人に偽キャンペーンのDMが一斉送信された事案です。ご相談いただいたのが発覚から数時間以内だったため、まず通知メール・DM送信履歴・ログイン履歴のスクリーンショットを揃えた上で復旧作業に着手し、並行して自社サイトでの注意喚起を実施しました。その後、スパム送信を理由にアカウントが凍結されましたが、「乗っ取り被害の結果である」ことを時系列資料と証拠で示した異議申し立てにより解除に至りました。取引先への説明資料もそのまま流用でき、信用面のダメージを最小限に抑えられた事例です。

事例B:証拠を削除してしまい、責任追及を断念したケース

個人事業主の方が、乗っ取り発覚後に「気持ち悪いので」と不正投稿・不正DM・通知メールをすべて削除し、その後に「犯人に損害賠償を請求したい」とご相談に来られた事案です。アカウント自体はご自身で復旧できていたものの、不正アクセスの痕跡を示す客観資料がほぼ残っておらず、ご相談時点で発覚から数か月が経過していたためプロバイダのログ保存期間の面でも厳しく、犯人特定は現実的に困難と判断せざるを得ませんでした。技術的な復旧の成功と、法的な責任追及の可否は、まったく別問題だということを示す典型例です。

その他の解決事例は解決事例のご紹介、チームとしての対応実績はSNSトラブル対応チームのページでご覧いただけます。

よくある質問(FAQ)

Q1. 復旧までどれくらいの期間がかかりますか?

ログインできるケース①なら即日、パスワードリセットで対応できるケース②も当日〜数日で収束することがほとんどです。メールアドレスまで変更されたケース③は、X社の審査を経るため3日〜数週間程度を見込んでください。申請内容の不備で差し戻されると、そのたびに期間が延びます。

Q2. 乗っ取り犯が投稿した内容の責任を、自分が問われることはありますか?

乗っ取りによる第三者の投稿であることを立証できれば、原則として責任は問われません。ただし「乗っ取りだった」ことを示すのはアカウント名義人側なので、通知メールやログイン履歴などの証拠保全が決定的に重要になります。取引先やフォロワーへの説明・注意喚起も、被害拡大防止の観点から早めに行いましょう。

Q3. 警察に相談すれば犯人を捕まえてもらえますか?

不正アクセス禁止法違反は犯罪ですので、被害届・告訴の対象になります。ただし実害の程度や証拠の整理状況によって捜査の優先度は変わります。「いつ・何が起きたか」を時系列で整理した資料と証拠一式を揃えて持ち込むことで、相談がスムーズに進みます。この資料作成は行政書士がサポートできる領域です。

Q4. 「読み取り専用」の制限がかかったまま解除されません。

乗っ取り後の措置として一時制限がかかることがあります。所定期間を過ぎても解除されない場合の対処は、「読み取り専用」が解除されないときの対処法をご覧ください。

Q5. 有料のX Premium(認証済みアカウント)ですが、優先的に対応してもらえますか?

Premium加入者はサポート窓口へのアクセス面で一定の優位があります。ただし、乗っ取り被害の本人確認審査そのものが免除・簡略化されるわけではなく、提出情報の精度が重要である点は変わりません。また、乗っ取り犯がアカウントの表示名やアイコンを書き換えて認証バッジを悪用する(著名人へのなりすまし等)ケースでは、被害が第三者に及ぶため、より迅速な対応と告知が求められます。

Q6. 犯人に心当たりがあります(元従業員・元交際相手など)。直接問い詰めてもよいですか?

おすすめしません。証拠が固まる前に接触すると、相手に証拠隠滅の機会を与えるうえ、感情的なやり取りが逆に脅迫・強要と評価されるリスクすらあります。心当たりがある場合こそ、まず証拠を固め、内容証明郵便による警告や警察への相談といった記録に残る形式で進めるべきです。進め方の設計からご相談いただけます。

Q7. 行政書士に依頼すると、具体的に何をしてもらえますか?

①状況の切り分けと復旧手順の初動アドバイス、②X社へ提出する申請内容の整理サポート、③証拠保全の方法の指導、④警察へ提出する被害届・告訴状などの書類作成、⑤犯人への警告のための内容証明郵便の作成、を一貫してお手伝いします。訴訟代理が必要な段階では、連携する弁護士をご紹介します。これまでの対応実績はSNSトラブル対応チームの実績ページおよび解決事例のご紹介で公開しています。

まとめ:迷ったら「証拠を残して、早めに相談」

Xアカウントの乗っ取り対応は、「24時間以内の初動」と「証拠保全」が運命を分けます。ポイントを整理します。

• まず「乗っ取り・ロック・凍結」を切り分ける
• ログインできるなら30分以内に「パスワード変更→締め出し→2FA」
• 通知メール・不正投稿は絶対に削除せず、時系列メモとともに保全する
• DMで営業してくる「復旧代行業者」には絶対に依頼しない
• 実害があるなら、被害届・開示請求・損害賠償という選択肢がある

技術的な復旧だけなら自力で対応できる方も多いはずです。しかし、被害が拡大している場合、企業アカウントの場合、犯人への責任追及を考えている場合は、最初から専門家を介在させた方が、結果的に早く・確実に解決します。

当事務所では、SNSトラブルの初動アドバイスから、証拠保全のサポート、警察提出書類・内容証明郵便の作成、弁護士との連携までワンストップで対応しています。「これは自分で対応すべきか、相談すべきか」という判断の段階からで構いません。初回相談は無料です。被害は時間との勝負ですから、一人で抱え込まず、お早めにご連絡ください。

最終更新日:2026年7月11日