Twitterが乗っ取られる手口

2026年2月15日

＠SOHO編集部

この記事のポイント

✓ツイッター乗っ取りは4つの手口に整理できます
✓乗っ取られているかを見分ける確認箇所
✓復旧の手順までを順番に解説します

まず、安心してください。ツイッター乗っ取りは、運が悪かった人にだけ起きる災害ではありません。侵入されるルートは驚くほど限られていて、しかもその大半は「入り口を1つ塞ぐだけ」で止まります。今この記事を開いている皆さんの多くは、身に覚えのない投稿を見つけた直後か、知り合いのアカウントから不審なDMが届いた直後だと思います。どちらの状況でも、最初にやるべきことは犯人を探すことではなく、どの手口で入られたのかを特定することです。手口が分かれば、閉じるべき扉が決まります。

この記事では、実際に多発している乗っ取りの手口を4つに分類し、それぞれで攻撃者が何をしているのかを具体的に説明します。そのうえで、自分のアカウントが乗っ取られているかを確認する箇所、乗っ取られていた場合に踏む順番、そして仕事で使っているアカウントを守るための考え方までを扱います。私は43歳でメーカーを辞めてフリーランスになった人間で、今は技術文書のライティングと品質管理の仕事をしています。仕事の連絡や実績の公開にSNSを使っているので、アカウントを失うことの怖さは肌で分かります。だからこそ、脅すのではなく、手順として書きます。

乗っ取りが増えている背景を先に押さえる

乗っ取りの話をするとき、多くの記事は「パスワードを強くしましょう」から始まります。私はここから始めたくありません。理由は、いま起きている乗っ取りの多くが、パスワードの強さとは別の理由で成立しているからです。攻撃者は皆さんのパスワードを1文字ずつ推測しているわけではなく、すでにどこかで流出した組み合わせを持っているか、皆さん自身に入力させているか、あるいはパスワードを迂回する経路を使っています。

背景としてまず押さえたいのは、SNSアカウントが「金銭的な価値を持つ資産」として扱われるようになったことです。フォロワーが数千人いるアカウントは、暗号資産の詐欺宣伝や偽の懸賞投稿、フィッシングリンクの拡散に使えます。乗っ取り側からすれば、ゼロからアカウントを育てるより、すでに信用のあるアカウントを奪ったほうが効率がよい。だから、有名人でなくても、フォロワーが数百人でも狙われます。「私みたいな一般人のアカウントを取っても意味がないはず」という感覚は、残念ながら攻撃者側の経済合理性とずれています。

もう1つの背景は、放置アカウントの多さです。数年前に作って開いていないアカウントは、乗っ取られても本人が気づきません。気づかれないアカウントは、攻撃者にとって最高の拠点になります。次の投稿は、まさにその状況に置かれた人の相談です。

Xのログイン、乗っ取りについて質問です。 2年ほど前に作って今までほとんど開いてなかったアカウントがあります。そのアカウントにログインしているアプリでXを開くと、「問題が発生しました。しばらくしてなからやりなおしてください。」という表示が出ます。そして、他のアカウントからそのアカウントを検索してみたところ、身に覚えのないポストが3件見られました。どれも2週間以内のものです。また、中国語のポス... 出典: detail.chiebukuro.yahoo.co.jp

この相談には、乗っ取りの典型的な症状が3つ同時に出ています。自分のアプリからは開けない（パスワードやメールアドレスを変更された可能性）、身に覚えのない投稿がある（書き込み権限を握られている）、日本語以外の投稿がある（国外からの運用）。放置していた期間が長いほど、この3つが揃ってから初めて気づくことになります。

そしてもう1つ、社会的な背景として無視できないのが、企業アカウントの乗っ取りが実害に直結するようになった点です。企業の公式アカウントが乗っ取られて詐欺リンクを投稿すると、被害はフォロワー全体に広がります。中小企業でも広報にSNSを使うのが当たり前になった結果、守る対象は社内のパソコンだけではなくなりました。この流れは、セキュリティ対策の予算の付き方にも表れています。中小企業がどこまで対策すべきかを整理した記事として、補助金を使って防御を固める考え方をまとめた中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法があります。個人アカウントの話とはいえ、屋号や会社名で運用しているなら、こちら側の視点も持っておくと判断が早くなります。

手口1 フィッシングで本人に入力させる

最も件数が多い手口が、フィッシングです。仕組みは単純で、本物とそっくりのログイン画面を用意し、皆さん自身にIDとパスワードを打ち込ませます。パスワードがどれだけ長くても、本人が偽サイトに入力してしまえば意味がありません。だから、パスワードの強さを最優先に語る対策は的を外しています。

誘導の口実はパターン化されています。よく使われるのは次のような文面です。「あなたのアカウントに著作権侵害の申し立てがありました。24時間以内に異議申し立てをしないと凍結されます」「ログイン試行が検出されました。本人確認をしてください」「認証バッジの申請が承認されました。こちらで受け取ってください」。共通しているのは、期限を切って焦らせることと、リンクを1回踏ませれば成立する設計です。DMで届く場合もあり、しかも送ってくるのが乗っ取られた知り合いのアカウントなので、警戒心が下がります。

見分け方で一番確実なのは、URLのドメインです。本物のログイン画面は、x.com またはその正規のサブドメインでしか表示されません。似せたドメインは無数に作れます。文字を1つ入れ替える、ハイフンで単語をつなぐ、正規の単語を長いパスの途中に混ぜる、といった手法が使われます。焦っているときにドメインを読み比べるのは難しいので、私は「DMやメールのリンクからはログイン画面に入らない」というルールだけを守っています。確認したいことがあれば、ブックマークかアプリから自分で開き直す。これだけでフィッシングの大半は無効になります。

もう1つ、実務的に効く判定方法があります。パスワードマネージャーを使っていると、偽サイトでは自動入力が働きません。マネージャーはドメインでひも付けているので、ドメインが違えば候補を出しません。つまり「いつも自動で入るのに、今日は手で打たないといけない」という違和感が、そのまま警報になります。私はこの違和感で一度、偽の異議申し立てページに入る直前で手が止まりました。あのとき手で打ち込んでいたら、たぶんそのまま渡していたと思います。自動入力は楽をするための機能ですが、副産物としてドメインの検証をやってくれている点が大きいです。

なお、フィッシングは個人の注意力だけでは止まりません。企業が従業員向けに模擬メールを送って耐性を測る取り組みが広がっているのは、注意喚起だけでは踏む人が一定数出ると分かっているからです。その効果と設計については社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで詳しく扱っています。自分ひとりで運用しているアカウントでも、「ルールで防ぐ」という考え方はそのまま使えます。

手口2 パスワードの使い回しを突くリスト型攻撃

2つ目は、どこか別のサービスから流出したメールアドレスとパスワードの組み合わせを、そのままSNSのログイン画面に順番に試す手口です。これをリスト型攻撃と呼びます。攻撃者は皆さんのパスワードを推測していません。すでに正解を持っていて、同じ鍵が別の扉でも開くかどうかを確かめているだけです。

この手口が怖いのは、パスワードを複雑にしても防げないところです。記号と数字を混ぜた16文字のパスワードでも、通販サイトとSNSで同じものを使っていれば、通販サイト側が漏洩した時点でSNSも開きます。逆に言えば、対策は「複雑にする」ではなく「使い回しをやめる」の一点です。サービスごとに違うパスワードにしておけば、1か所の漏洩が他に波及しません。数十個のパスワードを覚えるのは無理なので、ここはパスワードマネージャーに任せるのが現実的です。

自分の情報が過去に漏洩しているかどうかは、漏洩データを集約して照合するサービスで確認できます。ただ、確認して安心するより、確認せずに全部変えたほうが早いのも事実です。私は独立したときに、仕事に関係するアカウントだけでも30個以上あることに気づいて、週末をつぶして全部作り直しました。正直、面倒でした。ただ、あれ以降は新しいサービスに登録するたびにマネージャーで生成するだけなので、手間は一度きりでした。

リスト型攻撃を受けている兆候は、ログイン通知メールに表れます。「見慣れない端末からのログインがありました」という通知が、心当たりのない時間帯や国から届いていたら、そのアカウントは照合対象に入っています。もう1つの兆候が、パスワードリセットに制限がかかる状態です。

Twitterがロックアウトされたので半日以上置いて試してみましたが、「パスワードリセットの試行回数が多い」から一向に進みません。調べると1時間で解除されると書いてありますが、されない原因はなんでしょうか。出典: detail.chiebukuro.yahoo.co.jp

リセットの回数制限は、攻撃を止めるための仕組みです。ただ、本人が焦って何度も試すと、本人まで一緒に足止めされます。ここで覚えておきたいのは、制限がかかったら試行をやめて時間を置くのが唯一の正解だという点です。私が見てきた限り、解除されないと訴えている人の多くは、待っている間にも別の端末やブラウザから試し続けていて、そのたびにカウントが増えています。回数制限は端末ごとではなくアカウント単位で数えられるので、スマホとパソコンを持ち替えても意味がありません。30分から1時間、何も触らずに置くことが、遠回りに見えて一番早い道です。

手口3 連携アプリの権限を悪用する

3つ目は、パスワードを一切必要としない経路です。SNSには外部サービスと連携する仕組みがあり、連携を許可した外部アプリは、皆さんのアカウントで投稿したりDMを読んだりできます。この許可は一度与えると生き続けるので、攻撃者はパスワードを盗むのではなく、許可をもらうことを狙います。

典型的なのは、性格診断や相性診断、フォロワー分析、いいねを数えるツールといった無害に見えるアプリです。連携画面には「このアプリに許可する権限」が列挙されますが、そこを読む人は多くありません。読んでいれば、診断結果を出すだけのアプリが「ツイートの投稿」「フォローとフォロー解除」「DMの読み書き」まで求めていることに気づけます。診断結果を出すのに、他人のアカウントをフォローする権限は不要です。

この手口で乗っ取られた場合、症状が独特です。パスワードを変更しても投稿が止まりません。パスワードと連携の許可は別系統だからです。「変更したのにまた投稿された」という相談の大半は、ここが原因です。対処は、設定からアプリの連携一覧を開き、身に覚えのないものと、もう使っていないものをすべて解除することです。私は半年に1回、この一覧を見る日を決めています。毎回3つか4つ、名前も思い出せないアプリが残っています。

連携を見直すときの判断基準を3つ挙げます。1つ目は、そのアプリを直近3か月に使ったかどうか。使っていなければ外します。必要になればもう一度つなげばよいだけです。2つ目は、与えている権限が機能に対して広すぎないか。読み取りだけで済むはずのアプリが書き込み権限を持っているなら疑います。3つ目は、提供元が分かるかどうか。運営者の名前も問い合わせ先も見つからないアプリに、投稿権限を預ける理由はありません。

この「権限を最小限にして、使っていない許可を定期的に切る」という考え方は、企業のシステム運用では当たり前の作法です。SNSに限らず、業務システムのアカウント管理でも同じことをします。こうした領域の知識は、そのまま仕事にもなります。企業のセキュリティ対策や運用改善を外部から支援する働き方についてはAI・マーケティング・セキュリティのお仕事で、案件の内容と求められる役割がまとまっています。ネットワークや認証の基礎を体系的に固めたい場合は、CCNA（シスコ技術者認定）の学習範囲が、この手の判断の土台になります。

手口4 電話番号と認証コードを奪う

4つ目は、二要素認証そのものを迂回する手口です。二要素認証を設定していれば安全、という説明は半分しか正しくありません。どの方式を選んだかで強度が大きく変わります。特にSMSで認証コードを受け取る設定は、電話番号を奪われると同時に破られます。

電話番号を奪う方法は2つあります。1つは、携帯会社に本人を装って連絡し、SIMカードを再発行させる方法です。海外では被害が多く、本人確認の突破に必要な情報は、SNSに自分で書いた生年月日や住所、勤務先から集められます。もう1つは、キャリアの契約ページのIDとパスワードが漏れていて、そこから転送設定を変えられる方法です。どちらも、SNS側のパスワードには一切触れません。

同じ系統の手口として、サポートを装った電話やDMもあります。「アカウントに不正アクセスがありました。今からお送りする確認コードを教えてください」と言われ、実際に本物のコードが届く。攻撃者が皆さんのログインを試行してコードを発生させ、それを本人に読み上げさせる仕掛けです。ここで覚えておくべきルールは1つで、認証コードは誰にも伝えないという原則です。正規の運営が、届いたコードを口頭で尋ねてくることはありません。

対策の方向は明確です。SMSではなく、認証アプリで時間ごとに変わるコードを生成する方式か、物理的なセキュリティキーを使う方式に変えます。認証アプリは電話番号と切り離されているので、SIMを奪われても影響を受けません。セキュリティキーはさらに強く、偽サイトではそもそも動作しないため、フィッシングにも同時に効きます。手口1と手口4を1つの設定で塞げるのは、キーだけです。

二要素認証の方式ごとの違いと、導入するときに詰まりやすい点については、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版に製品比較まで含めて整理されています。個人で1アカウント守る場合も、選択肢の優劣は同じです。私は2年前にSMSから認証アプリへ移しましたが、移行そのものは10分で終わりました。面倒そうに見えて、実際の作業量はこの程度です。

乗っ取られているかを確かめる5つの確認箇所

ここまでの4つの手口は、痕跡の出る場所が違います。だから、確認は決まった順番で行うのが効率的です。上から順に見ていけば、どの手口で入られたかがだいたい絞れます。

1つ目は、ログイン中の端末とセッションの一覧です。設定のセキュリティ関連の項目から、いまアクセスしている端末を一覧できます。心当たりのない端末名、使っていないOS、国外の地域名が並んでいたら、パスワードが流出しています。ここで見つけたセッションは個別に切断できますが、1つずつ切るより全部まとめて切ったほうが確実です。

2つ目は、DMの送信済みメッセージです。乗っ取ったアカウントを使う目的の多くが拡散なので、フォロワー宛に一斉送信された痕跡が残ります。この確認は、パソコンからのほうが早く終わります。

パソコン版のtwitter.comでは左メニュにある「メッセージ」をクリック、スマートフォンアプリ版Twitterの場合は画面下部にある封筒のアイコンをタップすると、DMの履歴が表示されます。この画面に身の覚えのないもの、不審なものがないかを確認します。出典: jp.norton.com

3つ目は、連携アプリの一覧です。手口3で書いたとおり、ここに残っている許可はパスワード変更では消えません。身に覚えのないアプリが1つでもあれば、それが侵入経路だと考えて先に切ります。

4つ目は、登録されているメールアドレスと電話番号です。攻撃者は乗っ取った直後に連絡先を自分のものに書き換えます。ここを書き換えられると、パスワードリセットのメールが攻撃者に届くようになり、取り返す難易度が跳ね上がります。逆に、まだ自分のメールアドレスが残っているなら、復旧はかなり楽です。

5つ目は、フォローとフォロワーの変化、そしていいねの履歴です。乗っ取り後の運用では、宣伝したいアカウントを大量にフォローしたり、特定の投稿にいいねを付けたりします。フォロー中の数が急に増えていたら、自分の操作ではありません。

この5か所を確認したら、分かったことをメモに残してください。あとで運営に問い合わせるときにも、家族や取引先に説明するときにも、時系列が残っていると話が早く進みます。私は仕事のトラブル対応と同じように、確認した時刻と画面の状態をスクリーンショットで残す習慣にしています。

乗っ取られたあとに踏む手順

見つけた時点でやることは決まっています。順番が大事なので、上から順にこなしてください。順番を入れ替えると、せっかく閉じた扉がまた開きます。

第1段階は、パスワードの変更です。ログインできる状態なら、設定から変更します。この時点で新しいパスワードは、他のどのサービスでも使っていないものにします。ログインできない場合は、パスワードリセットを使います。リセットのメールが届く先が自分のアドレスであれば、ここで復旧できます。届かない場合は、連絡先を書き換えられている可能性が高いので、運営のヘルプから「アカウントにアクセスできない」経路で申請します。このとき、回数制限に注意してください。何度も試すと制限がかかり、かえって時間がかかります。

第2段階は、すべてのセッションからのログアウトです。パスワードを変えても、すでにログインしている端末はしばらく使える場合があります。全端末からログアウトする操作を行い、攻撃者の接続を強制的に切ります。ここを飛ばすと、パスワード変更後も投稿が続きます。

第3段階は、連携アプリの整理です。身に覚えのないアプリと、使っていないアプリを全部解除します。ここまでで、パスワード経由と連携経由の両方を塞いだことになります。

第4段階は、二要素認証の設定です。認証アプリかセキュリティキーで設定します。SMSしか選べない事情があるなら、まずSMSでも構いません。何も設定していない状態よりは確実に強くなります。ただ、落ち着いてから認証アプリへ移してください。

第5段階は、メールアドレスと電話番号の確認です。第1段階から第4段階の間に書き換えられていないか、最後にもう一度見ます。攻撃者が別の端末から操作していた場合、この間に変更されることがあります。

第6段階は、周囲への告知です。乗っ取られている間に送られたDMや投稿には、フィッシングリンクが含まれている可能性があります。自分のアカウントが復旧したら、「この期間に届いたDMは開かないでください」と投稿しておきます。これは自分のためではなく、フォロワーを守るための作業です。乗っ取りの連鎖は、ここで止まります。

金銭被害が出た場合、あるいは名前を使って第三者に被害が及んだ場合は、警察への相談も選択肢に入ります。各都道府県警にサイバー犯罪の相談窓口があり、被害の記録が残っていれば相談は進みます。ここでも、先ほどのスクリーンショットと時系列のメモが効いてきます。

仕事でSNSを使う人が守るべき範囲

ここからは、フリーランスや在宅で働く人に向けて、もう一段踏み込みます。仕事の連絡や実績公開にSNSを使っている場合、アカウントは趣味の道具ではなく営業資産です。失ったときに消えるのは投稿ではなく、取引先との連絡経路と、これまで積み上げた信用です。

20年この市場を見てきた立場から言えば、長く続いている人ほど、アカウントを「作品置き場」として設計しています。DMで見積もりのやりとりをして、そのまま案件が進み、過去のやりとりがそこにしか残っていない。この状態は便利ですが、乗っ取られた瞬間に業務が止まります。私が見てきた限り、乗っ取り被害で一番深刻だったのは投稿を消されたケースではなく、過去のDMを読まれて取引先の名前と条件が外部に出たケースです。守秘義務の対象が入っている場所を、認証アプリなしで運用してはいけません。

もう1つ、運営者として見てきた実感を書きます。仕事の受け渡しに中間業者が入らない直接取引では、依頼者と受け手が連絡先を直接やりとりします。中間マージンが乗らないので、同じ予算で依頼者はより多く頼めますし、受け手の手取りは厚くなります。手数料0%の強みは金額の話に見えますが、実際に効いているのは「手取りが厚い」という質のほうです。ただ、この形は連絡経路の管理を自分で背負うことと引き換えです。プラットフォーム内のメッセージ機能で完結していれば、SNSが乗っ取られても取引の記録は残ります。直接取引の比重が高い人ほど、SNSアカウントの防御は自分の売上の防御と同じ意味を持ちます。

具体的に何をするか。仕事用と私用でアカウントを分け、仕事用には必ず認証アプリかセキュリティキーを設定します。連携アプリは仕事用には最小限しか入れません。診断ツールは私用で試せば十分です。そして、取引の記録はSNSの外に控えを残します。見積もりと納品の条件は、メールかクラウドの文書に写しておく。これだけで、最悪の場合でも仕事は止まりません。

セキュリティの知識は、身を守るだけでなく単価にもつながります。開発職の報酬水準を知りたい場合はソフトウェア作成者の年収・単価相場に職種別のデータがまとまっていて、認証やインフラ周りの経験がどう評価されるかの目安になります。文書として社内ルールを書き起こす仕事も一定の需要があり、報酬の目安は著述家，記者，編集者の年収・単価相場で確認できます。手順書を書ける人は、実は現場で強く求められます。

最後に、私自身の失敗を1つ書きます。独立して最初の1年、私は連携アプリの一覧を一度も見ませんでした。フォロワー分析のツールを入れたことすら忘れていました。たまたま設定画面を開いたとき、4年前のツールがDMの読み取り権限を持ったまま残っていました。被害はありませんでしたが、あのまま提供元のサービスが売却されたり、運営が乗っ取られたりしていたら、取引先とのやりとりが全部読まれていた計算になります。乗っ取りの手口を知る目的は、怖がることではありません。自分が開けたままにしている扉を数えることです。扉の数は有限で、この記事に挙げた4つがほぼすべてです。今日、1つずつ閉じていってください。