Instagramが乗っ取られていないか確認する方法

2026年3月5日

＠SOHO編集部

この記事のポイント

✓インスタ乗っ取られてるか確認したい人向けに
✓ログインアクティビティと端末一覧で3分で見分ける手順
✓乗っ取りと紛らわしい正常な挙動

まず、安心してください。「インスタ乗っ取られてるか確認したい」と検索してこのページを開いた時点で、皆さんはもう最悪の展開を一つ回避しています。乗っ取りの被害が大きくなるのは、気づかないまま数日放置したときだからです。見覚えのないログイン通知が届いた、知らない相手をフォローしていた、友人から「変なDMが来たよ」と言われた。どの入口でも、確認の手順はほぼ同じです。

この記事では、Instagramの画面だけで完結する確認手順を最初に置き、そのうえで「乗っ取りではないのに乗っ取りに見える」紛らわしいパターン、実際に乗っ取られていた場合の初動の優先順位、ログインすらできない状態からの復旧までを順番に書きます。私は43歳でメーカーを辞めてフリーランスになり、いまは仕事の窓口としてSNSアカウントを使っています。だからこそ、アカウントが一つ止まるだけで生活が止まる感覚は分かります。焦らず、上から順に進めてください。

確認は「ログインアクティビティ」から始めるのが最短

乗っ取りを疑ったときに最初に見るべき画面は一つだけです。プロフィールの内容や投稿を見比べても答えは出ません。見るのは「いま自分のアカウントにログインしている端末の一覧」と「過去のログイン履歴」です。ここに自分の知らない端末や地域が並んでいれば乗っ取りで、並んでいなければ乗っ取りではない可能性が高い。判断の軸はこれだけです。所要時間は3分程度です。

手順は、プロフィール画面の右上にあるメニューから「設定とアクティビティ」を開き、「アカウントセンター」に進みます。アカウントセンターの中に「パスワードとセキュリティ」があり、その下に「ログインアクティビティ」と「セキュリティ通知」（またはログインの試行に関する通知）が並んでいます。画面の名前はアプリの更新でしばしば変わるため、設定の検索欄に「ログイン」と入れて探すのが確実です。

ログインアクティビティを開くと、端末の種類、おおよその地域、最後のログイン日時が一覧で出ます。ここで見るポイントは3つです。1つ目は端末名です。自分が持っていない機種名や、使ったことのないブラウザ名が並んでいないか。2つ目は地域です。自宅や職場から離れた都市名、まったく縁のない国名が出ていないか。3つ目は日時です。自分が寝ていた時間帯や仕事中でスマホを触れなかった時間帯のログインがないか。この3つのうち2つ以上に心当たりがなければ、その端末は他人のものと考えて差し支えありません。

注意点として、地域の表示は実際の居場所とずれることがあります。モバイル回線は通信キャリアの設備がある都市名で表示されることがあり、東京在住でも大阪や埼玉と出る例は珍しくありません。VPNやテザリングを使っていればさらにずれます。そのため「地域が違う」だけで乗っ取りと断定しないでください。端末名にも心当たりがない場合に限って、乗っ取りと判断します。

もう一つ、セキュリティ通知の履歴も併せて確認します。Instagramはパスワード変更、メールアドレス変更、新しい端末からのログインがあったときに通知を送ります。この履歴に「自分がやっていない変更」が残っていれば、それは決定的な証拠です。逆にここが空であれば、少なくともアカウントの根幹設定は触られていません。

乗っ取られていないか確かめる6つのチェックポイント

ログインアクティビティで白黒がつかないときは、被害の痕跡を別の角度から探します。乗っ取った側は必ず何らかの操作をするので、痕跡は複数の場所に残ります。次の6項目を順に見てください。所要時間は全部合わせて10分ほどです。

1つ目は登録メールアドレスと電話番号です。アカウントセンターの「個人の情報」から連絡先情報を開きます。ここが自分の知らないアドレスに差し替えられていたら、乗っ取りの中でも最も深刻な段階です。攻撃側はまずここを書き換えて、本人がパスワード再設定できないようにします。差し替えられていた場合の対処は後の章に書きます。

2つ目は送信済みのDMです。自分のスレッド一覧を上から見て、送った覚えのないメッセージがないか確認します。乗っ取りの典型的な使い道は、友人リストに向けて投資や副業の勧誘、偽のプレゼント企画、暗号資産のリンクを送ることです。友人から「変なメッセージ来てる」と言われて初めて気づくのがこのパターンです。既読になっていないスレッドがあれば、乗っ取った側が読んでいます。

3つ目はフォロー中の一覧と、最近フォローした順の並びです。フォロー中を「最近フォローした順」に並べ替えると、直近で追加されたアカウントが上に来ます。宣伝目的の乗っ取りでは、業者のアカウントを大量にフォローさせられることがあります。同様に、身に覚えのないフォロー解除も痕跡です。

4つ目は「アカウントのアクティビティ」です。設定の中に自分の操作履歴をまとめた画面があり、いいね、コメント、ストーリーへの返信、アカウント情報の変更などが時系列で並びます。自分が触っていない時間帯の操作が並んでいれば、それは他人の操作です。この画面は投稿を消されていても記録が残るため、証拠として使いやすい場所です。

5つ目は外部アプリとの連携です。「ウェブサイトの許可」や「連携済みのアプリ」という項目に、予約投稿ツールや分析ツールが並んでいます。自分が導入した覚えのないツールがあれば、その場で解除します。フォロワーを増やすという名目の無料ツールにIDとパスワードを渡してしまい、後から投稿を勝手に出されるケースは実際にあります。

6つ目は過去のユーザーネームと、プロフィールの変更履歴です。アカウントセンターの「アカウントの詳細」から、これまで使ったユーザーネームの履歴が見られます。ここに自分がつけた覚えのない名前があれば、一度書き換えられて元に戻された痕跡です。プロフィール画像や自己紹介文が微妙に違う場合も同じです。

この6項目のどれか1つでも当たれば、乗っ取り前提で動いてください。1つも当たらず、ログインアクティビティにも不審な端末がなければ、次の章にある「乗っ取りではないパターン」に該当している可能性が高いです。

乗っ取りに見えて乗っ取りではないパターン

相談を受けていて多いのが、実は乗っ取りではなかったケースです。私も一度、自分のアカウントに知らない端末が2台並んでいて青ざめたことがあります。よく見たら、片方は数年前に使っていた古いiPadで、もう片方はブラウザ版にログインしたままのノートパソコンでした。端末の一覧は機種変更しても自動では消えないので、古い端末がそのまま残り続けます。

紛らわしいものを挙げます。まず、自分の古い端末です。売却や下取りに出したスマホ、家族に譲ったタブレット、修理に出した端末が一覧に残っていることがあります。これは乗っ取りではありませんが放置は危険なので、覚えのない端末はすべてログアウトさせるのが正解です。

次に、パスワードマネージャーやOSの同期です。iPhoneとMacを同じApple Accountで使っていると、片方で保存したパスワードがもう片方にも同期されます。共有していたアカウントの場合、相手の端末にパスワードが残っていて、ログアウトさせたはずなのにまた入られるという相談は定番です。

Instagram、元彼と共有してたアカウントがあって、それをログアウトさせたのになぜかまたログインされてしまっていました（パスワード教えてないはずだけど100％断言もできない感じです）一旦またログアウトさせてパスワード変えたんですけど、大丈夫ですかね？iCloudかなんかで記憶されてしまってた感じですか？電話番号メルアドは私のもののアカウントです。出典: detail.chiebukuro.yahoo.co.jp

この相談は本質を突いています。ログアウトはその端末のセッションを切るだけで、パスワードそのものは無効になりません。相手の端末にパスワードが保存されていれば、また入れます。だから正しい順番は「パスワードを変える」→「すべての端末からログアウトさせる」→「二段階認証を入れる」です。逆にすると意味が薄れます。

3つ目は、Instagramを名乗る偽メールです。「あなたのアカウントに不審なログインがありました」というメールが届いて焦り、そのメール内のリンクからログインしてしまう。これが最も多い乗っ取りの入口です。本物かどうかはメールを見ても判別できません。判別できるのはアプリ側だけで、「パスワードとセキュリティ」の中にある「Instagramからのメール」という画面に、公式が直近で送ったメールの一覧が残ります。ここに載っていないメールは偽物です。この確認方法を知っているだけで、フィッシングの大半は防げます。

4つ目は、単なる不具合です。ログインできない、パスワードが違うと言われる、というだけなら障害やアプリのキャッシュ不具合の可能性があります。別の端末やブラウザから入れるかを試し、入れるなら乗っ取りではありません。

乗っ取りの手口と、なぜ狙われるのか

確認と並行して、自分がどこから入られたのかを推測しておくと、対処の抜けがなくなります。手口はおおむね4つに整理できます。

1つ目はフィッシングです。メール、SMS、DMで偽のログイン画面に誘導し、IDとパスワードを入力させます。「著作権侵害の申し立てがありました」「アカウントが24時間後に削除されます」「認証バッジの審査に通りました」といった、急がせる文面が定番です。公的な解説でも、この手口が巧妙化して見分けにくくなっていると指摘されています。

フィッシング詐欺とは、送信者を詐称したメールやSMSを送りつけ、貼り付けたリンクをクリックさせて偽のホームページに誘導することで、クレジットカード番号やアカウント情報（ユーザ ID 、パスワードなど）などの重要な情報を盗み出す詐欺のことです。出典: soumu.go.jp

2つ目はパスワードの使い回しです。どこか別のサービスから流出したメールアドレスとパスワードの組み合わせを、片っ端から他のサービスで試す攻撃があります。自分は何も間抜けなことをしていなくても、10年前に登録した通販サイトが漏れていれば同じ組み合わせで入られます。同じパスワードを複数のサービスで使っている人は、この経路で入られたと考えるのが自然です。

3つ目は「相互フォロー」「診断アプリ」「フォロワー分析」などの名目でIDとパスワードを渡してしまうパターンです。公式の認証を経ずにパスワードを直接入力させるサービスは、その時点で危険です。正規の連携はパスワードを渡さない仕組みになっています。

4つ目は身近な人です。共有していたアカウント、別れた相手、同居していた家族。これは技術ではなく関係の問題なので、パスワード変更と全端末ログアウト、そして二段階認証の登録先を自分だけの電話番号に直すことが必要になります。

狙う側の目的も知っておくと落ち着きます。多くは宣伝と詐欺の踏み台です。フォロワーに向けて投資や副業の勧誘を送り、偽サイトへ誘導する。あるいはアカウントそのものを転売する。ビジネスで使っているアカウントなら、DMの取引履歴や顧客の連絡先が目的になることもあります。個人の写真そのものが狙いというケースは、実は少数派です。つまり「自分なんて狙われない」は成り立ちません。フォロワーが少なくても、友人リストがあれば踏み台として価値があるからです。

セキュリティの基本を体系的に押さえたい人向けに、パスワードと認証の考え方をまとめた記事があります。認証を1要素から2要素に増やすと、パスワードが漏れても侵入を止められる理由を、製品比較と合わせて解説しています。MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版も参考にしてください。

乗っ取られていたときの初動、優先順位つき

ここからは、実際に乗っ取られていたときの動き方です。大事なのは順番です。順番を間違えると、せっかく取り戻してもまた入られます。

最優先はパスワードの変更です。まだログインできる状態なら、すぐ変えます。このとき、他のサービスと同じ文字列は絶対に使わないでください。安全なパスワードの考え方は公的な解説が簡潔です。

安全なパスワードとは、他人に推測されにくく、ツールなどで割り出しにくいものを言います。理想的には、最低でも10文字以上の文字数で構成されるある程度長いランダムな英数字の並びとし、パスワード内に数字や記号、アルファベット（大文字、小文字）が混ざっていることが好ましいですが、覚えなければならないパスワードの場合は、無関係な（文章にならない）複数の英単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることができます。出典: soumu.go.jp

2番目は、すべての端末からのログアウトです。パスワードを変えた直後にこれをやると、相手のセッションが切れます。逆にログアウトを先にやると、相手はまだ旧パスワードを持っているので入り直せます。ログインアクティビティの画面から、自分の現在の端末以外を一括でログアウトできます。

3番目は二段階認証の設定です。SMSより認証アプリのほうが安全です。SMSは電話番号を乗り換えられる攻撃に弱く、機種変更のときにも詰まりやすい。認証アプリを使い、同時に表示されるバックアップコードは必ずスクリーンショットではなく紙かパスワードマネージャーに保存してください。この8桁のコード群は、スマホを失ったときの最後の命綱になります。

4番目は連絡先情報の確認と復旧です。メールアドレスや電話番号が書き換えられていたら、自分のものに戻します。この操作をすると、変更前のアドレスにも通知が飛ぶ設計になっているため、相手側にも気づかれます。だからこそ、パスワード変更と全端末ログアウトを先に終わらせておく必要があります。

5番目は被害の告知です。DMを送られている可能性があるなら、ストーリーや投稿で「乗っ取られていました。届いたDMのリンクは開かないでください」と一言出します。これは体裁の問題ではなく、二次被害を止める実務です。友人が偽サイトでクレジットカード情報を入れてしまえば、被害は皆さんの手を離れます。

6番目は、連携アプリの解除と、パスワードを使い回していた他サービスの変更です。乗っ取りの入口が使い回しだった場合、Instagramだけ直しても他が残ります。メール、通販、クラウドストレージ、特に登録メールアドレスのアカウントは最優先で変えてください。メールを取られていると、他のすべてを再設定されます。

金銭被害が出ている場合、あるいは第三者に明確な損害が出ている場合は、警察のサイバー犯罪相談窓口に相談する選択肢もあります。不正アクセス行為は法律で禁止された行為であり、被害届の対象になります。

ログインできない状態から取り戻す手順

パスワードを変えられ、メールアドレスも差し替えられていると、通常のパスワード再設定が使えません。この状態でも復旧の道はあります。ただし時間はかかります。1日で終わることもあれば、2週間以上かかることもあります。

最初に試すのは、ログイン画面の「パスワードを忘れた場合」です。ここでメールアドレスではなく、ユーザーネームや電話番号を入力してみます。メールアドレスだけ差し替えられていて電話番号が残っているケースは多く、SMSでコードが届けば入り直せます。

次に、同じ画面の「ログインできない場合」から進む救済フローです。ここでは本人確認の方法が複数提示されます。よく使われるのが、自分の顔が写った短い動画を撮って送る本人確認です。顔写真が写った投稿があるアカウントなら、この方法で通る確率が上がります。企業や店舗のアカウントで顔写真がない場合は、以前使っていたメールアドレスや、アカウント作成時期、登録していた電話番号などの情報で照合されます。

ここで重要なのが、申請に使う端末です。過去にそのアカウントでログインしていた端末から申請すると、端末の情報が照合材料になるため通りやすくなります。逆に、新しく買ったばかりの端末や他人の端末から申請すると、判断材料が足りず時間がかかります。

申請の文面は、感情を書かず事実を並べます。いつ、どの通知で気づいたか。登録していたメールアドレスと電話番号。ユーザーネーム。アカウントを作った年。この5点を簡潔に書けば十分です。長文の訴えは判断を早めません。

そして、待っている間にやるべきことがあります。1つは、同じメールアドレスとパスワードを使っている他サービスの防衛です。もう1つは、フォロワーへの周知です。復旧まで時間がかかると分かったら、別のアカウントや他のSNS、あるいはメールで「現在のアカウントは不正利用されています」と伝えてください。仕事で使っているなら、取引先への連絡は最優先です。

なお、復旧できなかった場合の備えとして、投稿データのダウンロードを日常的にやっておくと後悔が減ります。設定から自分のデータをダウンロードする機能があり、投稿、ストーリー、メッセージをまとめて書き出せます。四半期に一度で十分です。私は独立してから半年に一度これをやるようにしました。地味ですが、アカウントが戻らなかったときに手元に何も残らない状況だけは避けられます。

二度目を起こさないための最小構成

対策は多いほど良いというものではありません。続かない対策は意味がないので、絶対に効く順に4つだけ挙げます。

1つ目は認証アプリによる二段階認証です。これ一つで、パスワードが漏れただけでは入られなくなります。乗っ取り対策として費用対効果が最も高い設定です。バックアップコードの保管まで含めて、作業は10分で終わります。

2つ目はパスワードの個別化です。すべて覚える必要はありません。ブラウザやOSに付属するパスワードマネージャーを使い、サービスごとに違うランダムな文字列を生成させます。覚えるべきパスワードは、パスワードマネージャーを開くための1つと、メールアカウントの1つだけになります。

3つ目は、公式メールの一覧を確認する習慣です。不審なメールが来たら、リンクを押す前にアプリの「Instagramからのメール」を開く。ここに載っていなければ偽物なので削除する。この一手順を身につけるだけで、フィッシング経由の乗っ取りはほぼ止まります。企業でも同じ考え方で、従業員に模擬メールを送って反応を測る訓練が広く行われています。訓練の効果と設計の勘所をまとめた社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドは、個人が自分の判断基準を作るうえでも読む価値があります。

4つ目は、連携アプリの棚卸しです。半年に一度、連携済みのアプリ一覧を開いて、使っていないものを消します。数年前に試した分析ツールが権限を持ち続けている、というのはよくある話です。

加えて、仕事でSNSを使っている人はもう一段だけ足してください。アカウントを一人で握らないことです。担当者が一人しかいないアカウントは、その人の端末が壊れただけで止まります。ビジネス用のアカウントは、アクセスを複数人に分ける仕組みが用意されているので、それを使います。小規模な事業者向けのセキュリティ投資については、公的な補助制度も含めて中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で整理されています。

アカウントを仕事の道具にしている人が押さえること

ここからは、在宅ワークやフリーランスの市場を長く見てきた立場からの観察です。20年この市場を見てきて言えるのは、SNSアカウントを「発信の場」ではなく「取引の窓口」として使っている人が、この数年で一気に増えたということです。撮影、デザイン、ライティング、SNS運用代行。DMで見積もりをやり取りし、そのまま納品と請求まで進む。その運用は速くて合理的ですが、アカウントを失ったときの損失が、以前とは比べものになりません。

運営者として見てきた限りでは、乗っ取りで本当に痛いのは投稿が消えることではありません。連絡手段が消えることです。DMだけで進行していた案件は、アカウントが止まった瞬間に相手の連絡先が分からなくなります。だから長く続けている人は、DMで始まった話でも早い段階でメールアドレスを交換し、請求と納品はSNSの外に出しています。これは用心深さではなく、業務の設計の問題です。

もう一つ、長く続く人の共通点があります。単発の作業を安く速くこなすのではなく、「この人に任せると楽だ」という関係を作ることに時間を使っている点です。そして関係が積み上がるほど、仲介の手数料が効いてきます。同じ予算でも、中間マージンが乗らない直接取引なら依頼側はより多く頼めますし、受け手の手取りは厚くなります。手数料0%の仲介サイトを選ぶ意味は、金額の大小ではなく手取りの質です。長く同じ相手と仕事をする人ほど、この差が積み上がります。

技術的な備えに話を戻します。セキュリティの知識は、いまや専門職だけのものではなくなりました。実際、AIの活用支援やセキュリティ関連の業務委託案件では、認証やアクセス管理の基礎を理解しているかを前提にした募集が普通に出ています。どんな業務が発注されているのかはAI・マーケティング・セキュリティのお仕事で確認できます。仕事の中身を知ると、自分に必要な知識の範囲も見えてきます。

知識を形にしたい人には資格という道もあります。ネットワークと認証の基礎を体系的に扱うCCNA（シスコ技術者認定）は、セキュリティ専業でなくても土台になります。報酬の目安を知りたいなら、開発系の相場をまとめたソフトウェア作成者の年収・単価相場が参考になります。数字を見ると、セキュリティの理解が単価にどう効くかが具体的に分かります。

最後に、私自身の話を一つだけ。独立して2年目のとき、仕事用のメールアカウントに二段階認証を入れていなかった時期がありました。実害は出ませんでしたが、見知らぬ地域からのログイン試行の通知が届いた夜は、正直まったく眠れませんでした。翌朝いちばんにやったのが、この記事に書いた4つの最小構成です。皆さんには、通知が届く前にやってほしい。確認は3分、対策は10分です。それだけの時間で、失ったら取り返せないものを守れます。