【X・Twitter】怪しいリンクにパスワードを入力し、変更されてしまった|ログインできない時の対処法
フォロワーから届いたDMに「あなたをブロックしているアカウントの数がわかる」というリンクがあり、つい開いてしまった。表示されたログイン画面にユーザー名とパスワードを入力した。その数時間後、Xにログインできなくなり、確認するとパスワードもメールアドレスも書き換えられていた――。
いま、まさにこの状況でこのページに辿り着いた方へ。まず結論からお伝えします。
この記事の結論
- そのリンクは「ブロック確認」を装った典型的なフィッシング詐欺です。あなただけが引っかかったわけではなく、フォロワー経由で拡散する構造上、誰でも被害に遭い得ます。
- 「開いただけ」と「入力した」では深刻度がまったく違います。本文の3段階診断で、自分の被害がどこまで進んでいるかをまず確認してください。
- パスワードとメールアドレスを変更されていても、復旧の手段はまだ残っています。ただし一部の手段には期限があり、時間が経つほど不利になります。
筆者はSNSアカウントの凍結解除・乗っ取り復旧の書面作成を専門とする行政書士です。この記事では、手口の仕組み、被害段階ごとの初動、そして法律実務の視点から見た「復旧申請を通すための証拠のそろえ方」までを、実際に手を動かせる順番で解説します。
その「ブロック確認リンク」の正体――開いただけか、入力したかで運命が分かれる
仕組み:X風の偽ログイン画面でパスワードを直接盗むフィッシング
DMに記載されたリンクは、一見「x.com」や「help.x.com」など正規のXドメインに見えるよう偽装されています。しかし実際にタップすると、短縮URLと複数回のリダイレクトを経て、Xとは無関係の外部サイトに転送されます。
転送先には「Who is viewing your X profile?」「あなたをブロックしているアカウントがわかります」といった文言とともに、本物そっくりのログイン画面が表示されます。ここでユーザー名・メールアドレス・パスワードを入力すると、その情報はXではなく攻撃者に直接送信されます。つまり、入力した瞬間にアカウントの鍵を渡してしまう仕組みです。
このDMが「フォロワーから」届く点も、手口の巧妙なところです。乗っ取られたアカウントは、そのフォロワー全員へ自動的に同じDMをばら撒きます。「知っている人から届いたリンクだから」という信頼を悪用して、被害が鎖のようにつながっていくのです。あなたにDMを送ってきたフォロワーも、加害者ではなく一人前の被害者である可能性が高いといえます。
なぜ「ブロックされてる数」なのか――踏ませるための心理設計
この手口の文言は時期によって入れ替わりますが、「あなたをブロックしているアカウントの数」「あなたのプロフィールを見た人」「あなたのことを検索した人」と、一貫した共通点があります。いずれも「Xの公式機能では絶対に確認できないが、誰もが一度は気になったことのある情報」だという点です。
公式に確認する手段がないからこそ、「見られるなら見てみたい」という好奇心が働きます。しかも送り主は見知らぬアカウントではなく、普段やり取りのあるフォロワーです。「あの人が使っているなら安全なサービスなのだろう」という推測が、警戒心の最後のひと押しを外してしまいます。
つまり、この詐欺に引っかかることは知識不足でも不注意でもなく、人間の自然な心理を突いた設計に、設計どおりに反応してしまっただけです。自分を責める必要はありません。責めている時間があれば、その分を次章の初動に充ててください。
「連携アプリを解除すれば大丈夫」は過去の話
ネット上の古い解説記事には、「乗っ取りスパムはアプリ連携が原因。連携を解除すれば解決する」と書かれているものが少なくありません。かつての診断アプリ型スパムには、たしかにそれで解決するケースが多くありました。
しかし、現在流行しているブロック確認系の手口は連携アプリを一切介しません。パスワードそのものを盗むフィッシング型のため、連携アプリの一覧を確認しても不審なアプリは見当たらず、「連携していないから大丈夫だ」と安心してしまいがちです。その油断の間に、攻撃者は次の段階へ進みます。
⚠ 注意
偽ログイン画面でパスワードを入力した場合、連携アプリの有無にかかわらず、アカウントは第三者にログイン可能な状態になっています。「連携解除で様子見」は、この手口に対しては通用しません。
入力した後、攻撃者の側で何が起きているか
乗っ取り犯の行動には、はっきりした型があります。復旧対応を数多く見てきた立場から整理すると、おおむね次の順番です。
| 順番 | 攻撃者の行動 | 狙い |
|---|---|---|
| 1 | 盗んだパスワードでログイン | 二段階認証がなければここで突破される |
| 2 | 登録メールアドレスを変更 | パスワードリセットの受け取り先を奪う |
| 3 | パスワードを変更 | 本人を完全に締め出す |
| 4 | 電話番号の変更・二段階認証の設定 | 残りの復旧手段も塞ぐ |
| 5 | フォロワー全員へスパムDMを送信 | 次の被害者を増やす/詐欺への悪用 |
「パスワードとメールアドレスを変えられた」という状態は、この型の2〜3段階目まで進行していることを意味します。だからこそ、次章の診断で現在地を正確に把握し、まだ塞がれていない手段から順に動くことが重要になります。
【3段階診断】あなたの被害はいまどこまで進んでいるか
まず、ご自身の状況が次のどれに当たるかを確認してください。段階によって、やるべきことがまったく異なります。
✔ 診断チャート
- 段階1:リンクを開いたが、何も入力していない
- 段階2:パスワード等を入力したが、まだ自分でログインできる
- 段階3:パスワード・メールアドレスを変更され、ログインできない
段階1|開いただけ・何も入力していない → 落ち着いて予防措置を
ページを開いただけで即座に乗っ取られる可能性は低く、まずは落ち着いて大丈夫です。ただし、この系統のサイトはセキュリティソフトが危険判定するページであり、再アクセスは絶対に避けてください。あわせて次の予防措置をおすすめします。
- 念のためパスワードを変更する(使い回しのない複雑なもの)
- 「設定とプライバシー」→「セキュリティとアカウントアクセス」→「アプリとセッション」で、見覚えのない端末のログインがないか確認する
- リンク先で何かのファイルのダウンロードを促された場合は、ダウンロードせず、端末のウイルススキャンを実行する
段階2|入力したが、まだログインできる → 時間との勝負。この順番で
攻撃者がまだメールアドレスの書き換えに着手していない、ぎりぎりの局面です。この段階で気づけたのは不幸中の幸いといえます。次の順番で、いますぐ実行してください。
- パスワードを即変更する。過去に使っていない、推測されにくい複雑なものに。
- すべての端末からログアウトさせる。「アプリとセッション」から、現在の端末以外のセッションを一括で終了します。パスワード変更と必ずセットで行ってください。変更だけでは、すでにログイン中の攻撃者を追い出せない場合があります。
- 登録メールアドレス・電話番号を確認する。「アカウント情報」から、見覚えのないアドレスや番号に書き換えられていないかを確認し、変更されていれば直ちに元へ戻します。
- 連携アプリを棚卸しする。不審なものは解除。どれが不審か判断できない場合は、いったんすべて解除し、必要なものだけ後から再連携すれば足ります。
- 二要素認証(認証アプリ推奨)とパスワードリセット保護を有効化する。
- 同じパスワードを使い回している他のサービスをすべて変更する。メール、通販、金融系は最優先です。パスワードはすでに漏れているという前提で動いてください。
段階3|パスワード・メールを変更されログインできない → 本記事の主読者
乗っ取り被害の中でも、復旧手段の受け取り先ごと奪われた最も深刻な型です。ただ、先にお伝えしたとおり、正しい順番で動けば復旧できるケースは決して少なくありません。まず次の切り分けを行ってください。
- 元のメールアドレス宛に「メールアドレスが変更されました」という通知が届いていないか。受信トレイだけでなく、迷惑メールフォルダ・プロモーションタブまで必ず確認します。この通知は次章で述べるとおり、復旧の最重要アイテムです。
- パスワードリセット画面に表示される伏せ字のメールアドレスが、自分のものと違っていないか。違っていれば、メールアドレスが書き換えられたことがほぼ確定します。
- 単なるロックや認証コードの不達と混同していないか。身に覚えのない投稿やDMの送信がなく、単にコードが届かないだけであれば、乗っ取りではなく認証まわりの不具合の可能性もあります。状態の見分け方は「ロック?凍結?いまの状態を確認する」で詳しく解説しています。
⚠ この段階でやってはいけないこと
- 「復旧代行します」とDMしてくる相手に反応する。被害者を狙う二次詐欺の典型です。パスワードや認証コードを聞き出そうとする相手は詐欺と考えてください。
- 公式フォームへ闇雲に連投する。情報が不揃いのまま何度も申請すると、「本人確認できません」の定型返答を繰り返される悪循環に入りやすくなります。
ログインできなくても「まだ残っている」3つの手段
段階3に該当した方に向けて、残された手段を有効性の高い順に解説します。上から順に試し、塞がれていたら次へ進んでください。3つの手段は排他的ではありません。手段1・2を試しながら、並行して手段3の準備(後述する情報の整理)を始めておくと、全体の時間を大きく短縮できます。
手段1|メール変更通知の「元に戻す」リンク【期限あり・最優先】
登録メールアドレスが変更されると、変更前のメールアドレス宛に変更通知が届き、そこから変更を取り消せる場合があります。攻撃者に奪われた後でも、元のメールボックスはあなたの手元に残っているはずです。
重要なのは、この取り消しリンクには有効期限があるという点です。放置すればするほど使えなくなる可能性が高まります。この記事を読んでいる今この瞬間に、次を確認してください。
- 元のメールボックスで「X」「変更」等のキーワード検索を行う
- 迷惑メールフォルダ、プロモーション・ソーシャルタブも漏れなく確認する
- 通知が見つかったら、取り消し操作を行い、直ちにパスワードを再設定する
通知がどうしても見つからない場合、メールアカウント自体が乗っ取られている可能性も疑ってください。Xと同じパスワードをメールにも使い回していた場合、攻撃者はメール側にも侵入し、通知を削除していることがあります。メール側のパスワード変更と二段階認証の設定を、Xの復旧と並行して必ず行いましょう。
手段2|電話番号でのログイン・パスワードリセット
メールアドレスは書き換えられても、電話番号が残っていれば、電話番号を使ったパスワードリセットで復旧できる可能性があります。ログイン画面の「パスワードを忘れた場合」から電話番号を入力し、SMSでリセットコードを受け取れるか試してください。
ログインに成功したら、その場で①メールアドレスを自分のものへ戻す、②パスワードを再設定する、③全端末のセッションを切断する、の3点を一気に行います。攻撃者と同時ログイン状態になっている可能性があるため、ここで手を止めないことが重要です。
なお、SMSが届かない場合でも、即「電話番号も書き換えられた」と断定しないでください。電波状況や迷惑SMSフィルタ、キャリアの受信設定が原因でコードが届かないだけのこともあります。時間を置いて再送を試し、フィルタ設定を確認してからでも遅くはありません。そのうえで届かないのであれば、手慣れた攻撃者がメールに続いて電話番号も書き換えた可能性が高いといえます。それでも、まだ次の手段が残っています。
手段3|X公式サポートへの本人確認申請
メールも電話番号も塞がれた場合、X公式が用意している「アカウントが乗っ取られた」場合の申請フォームから、本人確認を経てアカウントを取り戻す道が残されています。大まかな流れは次のとおりです。
- Xヘルプセンター(help.x.com)へアクセスする
- 「アカウントにアクセスできない」→「アカウントが乗っ取られた」に該当するフォームを開く
- ユーザー名・以前登録していたメールアドレス・被害状況などを入力して送信する
- 連絡用メールアドレスに届くXからの確認メールに、状況を整理して返信する
この申請の成否を分けるのは、「このアカウントの本当の持ち主は自分だ」と客観的に示せる情報の精度です。攻撃者は表面的な登録情報を書き換えられても、あなたが過去に使っていたメールアドレス、登録していた電話番号、アカウントの作成時期、最後に正常にログインできた日時といった「履歴」までは知り得ません。この履歴情報こそが本人性の証明になります。申請前に、次の情報を手元に揃えてください。
| 準備する情報 | 確認のヒント |
|---|---|
| ユーザー名(@から始まるID) | 攻撃者に変更されている場合は変更前のもの。フォロワーの端末から確認できることも |
| 以前登録していたメールアドレス | 過去のXからの通知メールを検索すれば、どのアドレスで登録していたか特定できる |
| 登録していた電話番号 | 番号を変えた経歴がある場合は、登録時点の番号を思い出しておく |
| アカウントの作成時期 | 登録完了メールの受信日、最初の投稿の時期などから特定する |
| 最後に正常ログインできた日時 | 曖昧なら「◯月◯日頃まで通常利用」と正直に幅を持たせて書く。断定調の誤りが一番危険 |
| 連絡用の(安全な)メールアドレス | Xとのやり取りに使う受信可能なアドレス。乗っ取りの疑いがない、パスワードを使い回していないものを |
フォームの具体的な記入方法、Xからの返信への対応、そして「本人確認できません」と弾かれた場合の立て直し方は、別記事「乗っ取られてメールアドレスを変更されたときの復旧方法」で申請実務に踏み込んで解説していますので、あわせてご覧ください。
メールも電話番号も塞がれてしまった方へ
申請は「情報の整合性」で決まります。自己流の連投で不利になる前に、
状況をお聞かせください。復旧の見込みと取るべき手順をお伝えします。
復旧を待つ間に進む「二次被害」と、並行してやるべきこと
乗っ取り被害で本当に怖いのは、アカウントを取られたことそのものより、取り返すまでの間に広がる二次被害です。復旧申請の返答を待つ間も、あなたのアカウントは動き続けています。
放置すると起きること
- フォロワーが次の被害者になる。あなたのアカウントから、あなたが受け取ったものと同じスパムDMがフォロワー全員に送信されます。
- スパム行為としてアカウント自体がロック・凍結される。乗っ取り犯の行為が規約違反と判定されると、復旧後に今度は凍結解除という二重のトラブルを抱えることになります。凍結に発展した場合の初動は「凍結された直後にやること・やってはいけないこと」を参照してください。
- 非公開情報が露出する。鍵アカウントだった場合でも、乗っ取り後に公開設定へ変更されると、過去に投稿した顔写真・実名・勤務先・生活圏などが第三者の目に触れる状態になります。
乗っ取りが「凍結」に発展してしまった場合
乗っ取り犯によるスパムDMの大量送信が続くと、X側のシステムはそのアカウントを「スパム行為をしているアカウント」と判定し、ロックや凍結の措置を取ることがあります。皮肉なことに、被害者であるあなたのアカウントが、規約違反者として処分されてしまうのです。
この場合、対処は「乗っ取りからの復旧」と「凍結の解除」の二段構えになります。順序としては、まず本記事の手順でアカウントへのアクセスを取り戻し、そのうえで凍結解除の異議申し立てを行う流れが基本です。異議申し立てでは、「規約違反の投稿・DMは第三者による不正アクセス下で行われたものであり、自分の意思によるものではない」ことを、保全した証拠(変更通知メール、被害の時系列)とともに説明することになります。ここでも、本記事で述べてきた証拠保全と時系列整理がそのまま効いてきます。
異議申し立ての具体的な書き方と文例は「凍結解除の異議申し立ての書き方・例文集」で詳しく解説しています。乗っ取り起因の凍結は、通常の凍結と異なり「自分に違反の故意がない」ことの立証が軸になるため、文面の組み立て方に固有のコツがあります。自己流で送る前に一度目を通してください。
復旧申請と並行して打つ手
- フォロワーへの注意喚起。別アカウント、他のSNS、LINEなど使える手段で「アカウントが乗っ取られている。私からのDMのリンクは開かないでほしい」と伝えます。文面は「私のXアカウントが乗っ取られました。私の名前で届くDM、特にリンク付きのものは開かず削除してください。すでに開いてしまった方は、何も入力していなければ大丈夫です」程度で十分です。連絡が取れた相手には、この記事のような手口解説を共有してあげると、被害の連鎖を断てます。
- パスワード使い回し先の総点検。メール、ネットバンキング、通販サイトなど、同じ・似たパスワードを使っているサービスをすべて変更します。
- 証拠の保全。次章で詳しく述べますが、変更通知メールや不正投稿のスクリーンショットは、復旧申請と法的対応の両方で武器になります。消える前に確保してください。
行政書士の視点|復旧申請は「書面の整合性」で決まる
ここからは、法律文書の作成を業務とする行政書士だからこそお伝えできる部分です。乗っ取り復旧の相談を受けていて痛感するのは、復旧できる人とできない人を分けるのは、被害の重さではなく「申請書面の質」だということです。
証拠保全は「法律実務の型」で行う
X側の本人確認も、後述する警察相談も、判断の材料はあなたが提出する記録がすべてです。審査する側は、あなたの顔も人柄も知りません。手元に届いた文章と画像だけで「本人かどうか」を判断します。これは、官公署が申請書類だけを見て許認可を判断するのと同じ構造です。だからこそ、内容証明や各種申請書面の作成で日常的に行っている証拠整理の型が、そのまま役に立ちます。
| 保全すべきもの | ポイント |
|---|---|
| メールアドレス・パスワード変更の通知メール | 本文だけでなく、受信日時とヘッダーがわかる形でスクリーンショット。メール自体も削除しない |
| 身に覚えのない投稿・DM | 投稿日時・URLが写り込む形で撮影。他人の端末から閲覧して撮る方法も有効 |
| 踏んでしまったDMとリンク | 送信元アカウント名とともに撮影。リンクには絶対に再アクセスしない |
| ログイン失敗画面 | 伏せ字メールアドレスが自分のものと異なる画面は、書き換えの直接証拠になる |
| 自分の登録情報の記録 | 旧メールアドレス・旧電話番号・アカウント作成時期・最終ログイン日時をメモ化 |
スクリーンショットは撮影日時が特定できる状態で保存し、時系列順にファイル名を付けておくと、後の申請・相談がすべて速くなります。
「本人確認できません」ループの正体は、記載の矛盾
サポートへの申請が何度も弾かれる方の申請文面を拝見すると、多くの場合、悪意のない小さな矛盾が含まれています。1回目の申請と2回目の申請でアカウント作成時期の記載が違う、旧メールアドレスのつづりが揺れている、被害に気づいた日時が通知メールの日時と食い違っている――審査する側から見れば、こうした揺らぎは「本人性を確認できない」と判断する材料になってしまいます。
これは、官公署へ提出する書類の作成実務とまったく同じ構造です。記憶を頼りに都度書くのではなく、先に事実の時系列表を一枚作り、すべての申請・返信をその一枚に揃える。遠回りに見えて、これが復旧への最短ルートです。一度きりの申請を、矛盾のない完成度で出すことを目指してください。
法的な位置づけ:あなたは犯罪の被害者です
見落とされがちですが、他人のID・パスワードを盗んで無断でログインする行為は、不正アクセス禁止法が禁じる犯罪行為です。フィッシングサイトでID・パスワードの入力を求める行為自体も同法の規制対象です。つまりあなたは「うっかりした人」である前に、犯罪被害者です。
- 警察への相談:各都道府県警察にはサイバー犯罪相談窓口があります。乗っ取りアカウントが詐欺DMの送信や金銭要求に使われている場合は、保全した証拠一式を持って相談してください。相談実績そのものが、後の各種手続で「被害の裏付け」として機能することもあります。
- なりすまし投稿への対応:乗っ取り中のアカウントであなたの名を借りた投稿がなされ、名誉や信用が害された場合には、投稿の削除請求や発信者の特定といった法的手続が問題になります。この段階の判断は事案により大きく異なるため、証拠を固めたうえで専門家へ相談する流れが確実です。
専門家に依頼すると、何が変わるのか
「自分でもフォームは出せるのに、なぜ専門家に頼む意味があるのか」と疑問に思われるかもしれません。率直に言えば、申請フォームの入力自体は誰にでもできます。変わるのは、その中身の質です。
- 事実の聴き取りと時系列化。ご本人は渦中にいるため、記憶が前後したり、重要な事実を「関係ない」と思い込んで落としたりしがちです。第三者が法律実務の型で聴き取ることで、審査側が求める形に事実が整理されます。
- 証拠と主張の突合。申請文面のすべての記載を、保全した証拠と突き合わせて矛盾を消します。「本人確認できません」ループの多くは、この工程を挟むだけで抜け出せます。
- 二次被害への目配り。復旧だけでなく、なりすまし投稿・情報流出・凍結への発展といった周辺リスクを同時に点検し、必要な手当ての優先順位をつけます。凍結や利用制限まで話が及んだ場合の対応経験があることも、乗っ取り事案では大きな違いになります。
攻撃者は手慣れています。対抗する側も、手順と書面を知り尽くした人間が組み立てるほうが圧倒的に有利です。実際にどのようなケースを解決してきたかは、SNSトラブル対応チームの実績と解決事例のページをご覧ください。
証拠の整理から申請書面まで、専門家がサポートします
「何をどう書けば通るのか分からない」段階からで大丈夫です。
時系列の整理と、矛盾のない申請づくりをお手伝いします。
よくある質問(FAQ)
Q1. リンクを開いてしまいましたが、何も入力していません。乗っ取られますか?
開いただけで即座に乗っ取られる可能性は低いと考えられます。ただし危険なサイトであることに変わりはないため、再アクセスはせず、念のためのパスワード変更とログインセッションの確認を行ってください。ファイルのダウンロードを促された場合のみ、マルウェアの可能性があるため端末のスキャンまで実施しましょう。
Q2. 復旧までどのくらいの期間がかかりますか?
状況によって大きく異なります。変更通知メールの取り消しリンクが生きていれば即日で戻せることもありますし、公式フォームでの本人確認申請になると、数日から数週間単位のやり取りになるケースもあります。確実に言えるのは、着手が遅れるほど期間も難易度も増すということです。
Q3. 乗っ取り犯が私のアカウントで勝手に投稿しています。止められませんか?
ログインできない状態では、投稿を直接止める手段は限られます。だからこそ、フォロワーへの注意喚起と証拠保全を先に行い、復旧申請を最速で進めることが現実的な対処になります。投稿内容があなたの名誉や信用を害するものである場合は、スクリーンショットを日時つきで保全したうえで、法的対応の検討材料としてください。
Q4. 取り戻すのは諦めて、新しいアカウントを作り直した方が早いですか?
その判断はまだ早いかもしれません。乗っ取り型でも復旧できるケースは相応にありますし、仮に新規アカウントへ移行するとしても、旧アカウントを放置すれば、あなたの名前と顔で詐欺DMが撒かれ続け、非公開だった個人情報の露出も続きます。少なくとも旧アカウントの被害を止める手続きは必要です。作り直す前に一度ご相談ください。
Q5. DMで「復旧代行できます」と連絡が来ました。頼んでいいですか?
被害者を狙った二次詐欺の典型パターンです。特に、パスワードや認証コードそのものを聞き出そうとする相手は、まず詐欺と考えてください。正規のサポートも、信頼できる専門家も、あなたのログイン情報そのものを要求することはありません。
Q6. 偽サイトで、パスワードと一緒に認証コードも入力してしまいました。
二要素認証を設定していても、フィッシングサイトが「パスワード+そのとき届いた認証コード」を同時に入力させる作りになっている場合、その場でログインを突破されることがあります。この場合も対処の流れは本文の3段階診断と同じです。まだログインできるなら段階2の手順を、締め出されているなら段階3の手段を、直ちに実行してください。あわせて、復旧後は認証アプリ方式やパスキーなど、より騙し取られにくい認証方式への切り替えを検討しましょう。
Q7. 家族や友人のアカウントが乗っ取られています。代わりに手続きできますか?
復旧申請はアカウントの本人性を証明する手続きのため、原則として本人が主体となって進める必要があります。周囲の方にできる最大の支援は、①本人に手口と対処の情報(この記事など)を届けること、②乗っ取られたアカウントから届くDMを開かないよう共通の知人へ知らせること、③本人がパニックで手が止まっているなら、証拠のスクリーンショット確保を一緒に進めることです。
Q8. 警察に相談すれば、アカウントを取り戻してもらえますか?
警察の役割は犯罪捜査であり、Xへの復旧申請を代わりに行ってくれるわけではありません。ただし、不正アクセスは犯罪であり、金銭被害や詐欺DMの拡散があるケースでは相談する意味は十分にあります。復旧申請(X向け)と被害相談(警察向け)は別ルートの手続きとして、並行して進めるのが正解です。
再発防止|同じ手口に二度かからないために
アカウントを取り戻せたら、その日のうちに次の設定を済ませてください。今回の被害の根本原因は「パスワードひとつでログインできる状態」にあったこと、これに尽きます。
- 二要素認証を有効にする。パスワードが盗まれても、ログイン自体を食い止められます。SMSより認証アプリ方式のほうが、SIMまわりのリスクを避けられる分だけ堅牢です。
- パスキーとパスワードリセット保護を設定する。リセット手続の乗っ取りに対する備えになります。
- メールアカウント側にも二段階認証を設定する。Xの復旧手段はメールに依存しています。メールが落ちればXも落ちる、という関係を忘れないでください。パスワードは必ずXと別のものにします。
- 「フォロワーからのリンク」を信用の根拠にしない。文脈なくリンクだけが届いたら、開く前に本人へ別経路で確認する習慣を。それだけでこの手口はほぼ無力化できます。
- ログイン画面ではURLを見る。正規の連携認証は必ずXの公式ドメイン上で行われます。「ブロックがわかる」「プロフを見た人がわかる」を謳うサービスにログイン情報を入力する場面は、原則としてすべて詐欺と考えて差し支えありません。
なお、店舗・事業のアカウントや、仕事の窓口として使っているアカウントの場合は、もう一段の備えをおすすめします。ログイン情報を複数人で共有している運用は、この種のフィッシングに対して最も脆弱です。誰か一人が踏めば全員分の信用が失われますし、誰が・いつ・どの端末で入力したのかの特定にも時間がかかります。管理者を限定し、共有が必要な場合も二要素認証を前提とした体制に見直してください。事業アカウントの乗っ取りは、フォロワーである顧客への詐欺DM送信という形で、事業の信用問題に直結します。
まとめ|時間が経つほど不利になる。今日、動く
最後に、この記事の要点を診断の形でもう一度まとめます。
- 開いただけ → 落ち着いて、パスワード変更とセッション確認を。
- 入力したがログインできる → パスワード変更・全セッション切断・登録情報の確認・二要素認証を、この順で即実行。
- ログインできない → ①変更通知メールの取り消しリンク(期限あり)、②電話番号ログイン、③公式フォームでの本人確認申請、の順で。並行して証拠保全と使い回しパスワードの変更を。
乗っ取り被害は、変更通知リンクの期限、二次被害の拡大、記憶の風化と、あらゆる面で時間が敵に回ります。一方で、正しい順番と整った情報で臨めば、取り戻せる可能性は十分にあります。実際の復旧事例は解決実績のページおよびSNSトラブル対応チームの実績紹介でご確認いただけます。
「自分で申請したが本人確認できませんと返され続けている」「メールも電話も塞がれて、何から手を付ければいいか分からない」――そんな状態からのご相談こそ、私たちの出番です。あなたのケースの復旧見込みと最初の一手を、まずは無料でお伝えします。おひとりで抱え込まず、今日、ご相談ください。
執筆者
行政書士(登録番号:第22080418号)
中央大学法学部、筑波大学法科大学院を経て法律実務の道へ。インターネット問題に関する様々な通知書・契約書面作成を専門とする行政書士。特にSNS凍結関係では、直近5年間において多数の凍結解除・乗っ取り等からの復旧・二次被害防止に貢献する。
最終更新日:2026年7月12日


