Twitterの乗っ取りを防ぐ対策

2026年3月29日

＠SOHO編集部

この記事のポイント

✓twitter 乗っ取り対策は
✓やることを増やすより順番を決めたほうが効きます
✓効果の大きい順に7つの設定を整理しました

結論から言うと、twitter 乗っ取り対策でやるべきことは7つあり、そのうち効果の大きいものは最初の3つに集中しています。残りの4つは、3つを終えたあとに手を付ければ十分です。よくある対策記事は項目を10個並べて「全部やりましょう」と書きますが、全部やる人はほとんどいません。だから順番を決めます。

私は編集とライティングを仕事にしていて、実績の公開と仕事の連絡にSNSを使っています。取引先とのDMが残っているアカウントを失うのは、素直に困ります。この記事では、対策の効果を「どの手口を塞げるか」で評価し、優先順位を付けた形で提示します。項目ごとに、設定にかかる時間と、その対策が無効になるケースも書きます。正直なところ、「二段階認証を設定しましょう」で終わっている記事は不十分です。方式によって強度がまったく違うからです。

結論効果の大きい対策は最初の3つに集中している

乗っ取りの侵入経路は、大きく4系統しかありません。フィッシング（本人に偽サイトで入力させる）、リスト型攻撃（他サービスから漏れた組み合わせを試す）、連携アプリの悪用（許可を使って投稿する）、そして電話番号や認証コードの奪取（二要素認証を迂回する）です。対策の価値は、この4系統のうちいくつを塞げるかで決まります。

この基準で並べると、順位はこうなります。1位はセキュリティキーまたは認証アプリによる二要素認証で、リスト型攻撃と、セキュリティキーならフィッシングまで同時に塞ぎます。2位はパスワードの使い回しの解消で、リスト型攻撃を根元から止めます。3位は連携アプリの棚卸しで、パスワード対策が一切効かない経路を閉じます。4位以降は、ログイン履歴の確認、連絡先の保護、リンクを踏まない運用ルール、復旧経路の準備です。これらは侵入を防ぐというより、侵入に早く気づき、被害を小さくするための対策です。

ここで1つ、認識をそろえておきたい点があります。パスワードを複雑にすることは、上の4系統のうち1つも塞ぎません。リスト型攻撃は正解を持っているので複雑さは関係なく、フィッシングは本人が入力するので長さは無意味です。連携アプリと電話番号の経路にはパスワードが登場しません。つまり、「記号を混ぜた長いパスワードにしたから安心」という状態は、対策としてほぼゼロです。複雑にすることには意味がありますが、それは使い回しをやめた結果として自動的に複雑になるという順序です。目的と手段が逆になっている記事が多いので、ここは強く言います。

対策の全体像を先に見ておきたい場合は、認証方式の違いを製品レベルで比較したMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が参考になります。企業向けの導入記事ですが、方式ごとの強弱の整理は個人の1アカウントでもそのまま当てはまります。

対策1 二要素認証は方式で選ぶ

最優先はこれです。ただし「二段階認証をオンにする」だけでは足りません。選べる方式は3つあり、強度の差が大きいからです。

弱い順に並べます。1つ目はSMSで認証コードを受け取る方式です。設定は最も簡単で、電話番号があればすぐ使えます。弱点は、電話番号を奪われると同時に破られることです。携帯会社に本人を装ってSIMを再発行させる手口や、キャリアの契約ページを乗っ取って転送設定を変える手口があり、どちらもSNS側のパスワードには触れません。それでも、何も設定していない状態よりは明確に強いので、ここから始めるのは間違っていません。

2つ目は認証アプリです。スマートフォンのアプリが30秒ごとに変わる6桁のコードを生成します。電話番号と切り離されているので、SIMを奪われても影響を受けません。設定にかかる時間は10分程度で、画面に出るQRコードをアプリで読み取るだけです。弱点は、フィッシングを防げないことです。偽サイトが「認証コードも入力してください」と表示すれば、本人がコードまで渡してしまいます。攻撃者はその30秒の間にログインを完了させます。

3つ目が物理的なセキュリティキーです。USBやNFCで接続する小さなデバイスで、ログイン時に本体に触れて認証します。これが最も強い理由は、キーが接続先のドメインを検証するからです。偽サイトではそもそも反応しないので、フィッシングでは突破できません。リスト型攻撃も、SIMスワップも通りません。4系統のうち3系統を1つの設定で塞ぐのは、キーだけです。価格は数千円からで、紛失に備えて2本登録するのが定石です。

選び方の結論はこうなります。仕事で使っているアカウントならセキュリティキー、私用ならまず認証アプリ、事情があってどちらも無理ならSMSでも設定する。この順序です。なお、二要素認証を設定したあとに必ずやることが1つあります。バックアップコードの保管です。スマートフォンを紛失したときに使う一度きりのコードが発行されるので、これを印刷するか、SNSとは別の場所に保存します。クラウドのメモアプリに平文で置くのは避けてください。そこが破られると意味がありません。

対策2 パスワードの使い回しを仕組みでやめる

2番目はパスワードです。ここで言いたいのは複雑にしろという話ではなく、サービスごとに違うものを使えという話です。リスト型攻撃は、どこか別のサービスから流出した組み合わせを順番に試す手口なので、同じ鍵を複数の扉に使っていると1か所の漏洩が全部に波及します。

意志の力でやろうとすると必ず失敗します。数十個のパスワードを違うものにして覚えるのは無理です。だから仕組みに寄せます。パスワードマネージャーを使い、生成された文字列をそのまま保存する。覚えるのはマネージャーを開くための1つだけにします。これで使い回しは物理的に起きなくなります。

マネージャーには、対策としてもう1つの効果があります。偽サイトでは自動入力が働かないという点です。マネージャーはドメインでひも付けているので、ドメインが違えば候補を出しません。つまり「いつも自動で入るのに今日は手で打たないといけない」という違和感が、フィッシングの警報として機能します。これは副産物ですが、実務上はかなり効きます。私は一度、著作権侵害の通知を装ったメールから開いたページで自動入力が働かず、そこで手が止まりました。ドメインを読み比べる注意力より、機械の判定のほうが確実です。

移行するときの現実的な手順を書きます。全アカウントを一度に作り直そうとすると挫折するので、重要な順に3段階に分けます。第1段階は、メールアカウントとパスワードマネージャー自身、そしてSNS。ここが落ちると他が全部落ちるからです。第2段階は、クレジットカードを登録している通販とクラウドサービス。第3段階が、それ以外です。第1段階だけなら30分で終わります。

なお、パスワードの変更手順は画面の場所を覚えていないと迷います。ブラウザから変更する経路は次のとおりです。

ブラウザからtwitter.comにアクセスをしてログイン、左メニューの三本線アイコン「もっと見る」→「設定とプライバシー」→「アカウント」→「パスワードを変更する」の順に選択します。出典: jp.norton.com

アプリからも変更できますが、二要素認証の設定やセッションの管理はブラウザのほうが項目が揃っていて迷いません。対策をまとめて実施する日は、パソコンで作業するのが効率的です。

対策3 連携アプリを棚卸しする

3番目は、パスワード対策が一切効かない経路です。外部アプリに連携を許可すると、そのアプリは皆さんのアカウントで投稿したり、DMを読んだりできます。この許可はパスワードとは別系統で保存されているので、パスワードを変更しても切れません。「変更したのにまた勝手に投稿された」という相談の大半は、ここが原因です。

許可を取る側の手口はパターン化しています。性格診断、相性診断、フォロワー分析、いいね数のカウント。無害に見えるアプリが、連携画面で「ツイートの投稿」「フォローとフォロー解除」「DMの読み書き」まで要求します。診断結果を表示するだけの機能に、他人をフォローする権限は不要です。連携画面に列挙された権限を読む習慣がつけば、この経路はほぼ塞げます。

棚卸しの判断基準を3つに絞ります。1つ目は使用頻度で、直近3か月に使っていないアプリは解除します。必要になればまた繋げばよいだけです。2つ目は権限と機能の釣り合いで、読み取りだけで足りる機能に書き込み権限があるなら疑います。3つ目は提供元の身元で、運営者名も問い合わせ先も分からないアプリに投稿権限を預ける理由はありません。

頻度は半年に1回で十分です。カレンダーに繰り返しの予定として入れておくと忘れません。実際にやってみると、毎回3つか4つ、名前も思い出せないアプリが残っています。これは注意力の問題ではなく、許可が永続する仕組みの側の問題です。だから定期的に切る運用で対処します。

この「権限を最小限にして、使っていない許可を定期的に切る」という発想は、企業のシステム運用では基本の作法です。業務システムのアカウント管理でも、退職者の権限を放置しないことが最初の点検項目になります。こうした運用の設計や改善を外部から支援する働き方は需要があり、案件の内容と求められる役割はAI・マーケティング・セキュリティのお仕事で確認できます。認証やネットワークの基礎を体系的に固めたい場合は、CCNA（シスコ技術者認定）の出題範囲が判断の土台として使えます。

対策4 ログイン履歴とセッションを月1回見る

ここから先は、侵入を防ぐ対策ではなく、侵入に早く気づくための対策です。効果の性質が違うので、優先順位は3位より下になります。ただし、気づくのが遅れるほど被害が広がるので、軽視はできません。

見る場所は2つです。1つ目は、ログイン中の端末とセッションの一覧です。設定のセキュリティ関連の項目から、現在アクセスしている端末と、その地域が一覧できます。使っていないOSの名前、行ったことのない地域が並んでいたら、パスワードが流出しています。ここで見つけたら、全セッションからのログアウトを実行してから、パスワードを変更します。順番を逆にすると、変更後もしばらく接続が残る場合があります。

2つ目は、ログイン通知のメールです。見慣れない端末からのログインを知らせるメールは、届いた時点では被害が確定していません。攻撃者が正解の組み合わせを試して、二要素認証で止まった段階かもしれない。つまりこの通知は、リスト型攻撃の対象に入っていることの証拠です。届いたら、そのパスワードを他のサービスでも使っていないかを確認します。使っていたら、そちらも変えます。

頻度は月1回で十分です。ただし、次の3つが起きたときは、頻度に関係なくその場で確認します。心当たりのないログイン通知が届いたとき、フォロー中の数が急に増えていたとき、そして自分が使っているサービスの漏洩が報道されたときです。この3つは、確認の費用対効果が跳ね上がる瞬間です。

確認のついでに、DMの送信済みメッセージも見ておくと精度が上がります。乗っ取ったアカウントを使う目的の多くが拡散なので、フォロワー宛に一斉送信された痕跡が残ります。この確認はパソコンのほうが早く終わります。

パソコン版のtwitter.comでは左メニュにある「メッセージ」をクリック、スマートフォンアプリ版Twitterの場合は画面下部にある封筒のアイコンをタップすると、DMの履歴が表示されます。この画面に身の覚えのないもの、不審なものがないかを確認します。出典: jp.norton.com

対策5 連絡先そのものを守る

対策5は、見落とされやすい項目です。乗っ取りの難易度は、登録されているメールアドレスと電話番号の守りの固さで決まります。ここが破られると、パスワードリセットのメールが攻撃者に届くようになり、取り返す難易度が一気に上がります。

やることは3つです。1つ目は、SNSに登録しているメールアカウント自身に、二要素認証を設定することです。メールはすべてのパスワードリセットの入り口なので、ここが最上流です。SNSの対策を固めてもメールが弱いままなら、意味が半減します。2つ目は、電話番号の扱いです。プロフィールに電話番号を書かないのは当然ですが、それだけでは足りません。キャリアの契約ページのパスワードも使い回しをやめて、可能なら追加の認証を設定します。SIM再発行を狙う手口は、ここから入ります。3つ目は、公開情報の棚卸しです。生年月日、出身地、ペットの名前、卒業した学校。本人確認の質問に使われる情報を、自分で投稿していないか確認します。攻撃者が本人確認を突破するための材料は、多くの場合、本人の投稿から集められます。

もう1つ、覚えておくべきルールがあります。認証コードは誰にも伝えないという原則です。「サポートです。不正アクセスを確認しました。今からお送りするコードを教えてください」という連絡は、すべて詐称です。攻撃者が皆さんのログインを試行してコードを発生させ、それを本人に読み上げさせる仕掛けになっています。本物のコードが届くので、疑いにくい。この手口に対しては、方式の強度は関係ありません。ルールで止めるしかありません。

対策6 リンクを踏まない運用ルールを作る

対策6は、設定ではなく習慣の話です。フィッシングは、皆さん自身に偽サイトで入力させる手口なので、設定では完全に防げません。セキュリティキーを使っていれば防げますが、キーを使っていない場合は運用で塞ぎます。

ルールは1つだけにします。DMやメールのリンクからログイン画面に入らない。これだけです。確認したいことがあれば、ブックマークかアプリから自分で開き直します。この1行を守れば、フィッシングの大半は無効になります。複数のルールを覚えようとすると、焦っているときに思い出せません。だから1つに絞ります。

誘導の口実は毎年少しずつ変わりますが、構造は変わりません。期限を切って焦らせ、リンクを1回踏ませる。「24時間以内に異議申し立てをしないと凍結されます」「ログイン試行が検出されました」「認証バッジの申請が承認されました」。文面を覚える対策は、文面が変わると効きません。構造で覚えます。期限を切ってリンクを踏ませようとするものは、すべて疑う。

個人の注意力だけでは止まらないことも、はっきり言っておきます。企業が従業員に模擬メールを送って耐性を測る取り組みが広がっているのは、注意喚起だけでは踏む人が一定数出ると実測で分かっているからです。その設計と効果は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに整理されています。個人で運用している場合も、「気をつける」ではなく「ルールで防ぐ」に置き換える発想は同じです。

対策7 復旧経路を先に用意しておく

対策7は、防げなかった場合の準備です。乗っ取られてから復旧手段を探すと、焦って回数制限に引っかかります。先に用意しておけば、対応は数分で終わります。

用意するものは4つです。1つ目は、二要素認証のバックアップコードです。スマートフォンを紛失したときの唯一の入り口になるので、SNSとは別の場所に保管します。2つ目は、登録しているメールアドレスと電話番号のメモです。攻撃者に書き換えられたとき、元の値を運営に伝えられると申請が通りやすくなります。3つ目は、アカウント作成時期の記録です。本人確認の材料になります。4つ目は、取引先とのやりとりの控えです。見積もりや納品条件は、SNSの外にも写しておきます。

そして、乗っ取られたときの手順も先に決めておきます。順番は固定です。全セッションからログアウト、パスワード変更、連携アプリの解除、二要素認証の設定、連絡先の確認、フォロワーへの告知。この順番でないと、閉じた扉がまた開きます。特に最後の告知は忘れがちですが、自分のアカウントから送られたフィッシングリンクの連鎖を止める唯一の手段です。期間を明示して「この期間に届いたDMのリンクは開かないでください」と投稿します。

パスワードリセットで詰まったときの注意も1つ書いておきます。試行回数の制限は端末単位ではなくアカウント単位で数えられます。スマートフォンとパソコンを持ち替えても解除されないので、制限がかかったら30分から1時間は何も操作せずに待ちます。焦って試し続けるのが、いちばん遠回りです。

効果が薄い対策と、やってはいけないこと

対策の話をするなら、効かないものもはっきり書くべきです。ここを書かない記事が多いので、正直なところ、読者が時間を無駄にしていると思います。

まず、定期的なパスワード変更です。3か月ごとに変えるという運用は、かつて推奨されていましたが、いまは逆効果と整理されています。理由は単純で、頻繁に変えることを強制されると、人は覚えやすい形に崩すからです。末尾の数字だけを増やす、季節の名前を入れる、といった変え方になり、推測しやすくなります。漏洩の兆候があったときに変えるのが正しい運用で、カレンダーで機械的に変えるのは意味がありません。

次に、アカウントを非公開にすることです。鍵付きにすれば乗っ取られないという理解は誤りです。非公開設定は投稿を見せる相手を絞る機能で、ログインの守りとは無関係です。フィッシングもリスト型攻撃も、公開か非公開かに関係なく成立します。非公開にする理由があるなら構いませんが、乗っ取り対策としては数えられません。

3つ目に、フォロワーを整理することです。不審なアカウントにブロックを重ねる作業に時間をかける人がいますが、乗っ取りの経路とは関係がありません。ブロックは嫌がらせへの対処であって、認証の防御ではありません。ここに時間を使うと、二要素認証の設定に回す時間がなくなります。

やってはいけないことも3つ挙げます。1つ目は、バックアップコードをSNSのDMやクラウドのメモに平文で置くことです。そこが破られると、二要素認証を設定した意味が消えます。2つ目は、ログインできないときにパスワードリセットを何度も試すことです。試行回数の制限はアカウント単位で数えられるので、端末を持ち替えても解除されません。3つ目は、「乗っ取りを解除します」と持ちかけてくる第三者に情報を渡すことです。復旧代行を名乗るアカウントにIDとパスワードを渡した結果、そのまま奪われる事例があります。復旧は運営の窓口からしか進みません。

最後に、判断を早くするための考え方を1つ。対策の価値は「安心できるか」ではなく「4つの経路のうちどれを塞ぐか」で決まります。塞ぐ経路を答えられない対策は、やらなくてよい対策です。この基準を持っておくと、新しい対策法を見かけたときに、自分で優先順位を付けられます。

仕事で使っているアカウントの守り方

最後に、仕事でSNSを使っている人向けの話をします。ここは優先順位が変わります。私用アカウントなら認証アプリで十分ですが、仕事用ならセキュリティキーを推します。理由は、失うものが投稿ではないからです。

20年この市場を見てきた立場から言えば、フリーランスで長く続いている人ほど、連絡経路を複線化しています。SNSのDMだけで案件が進む状態は身軽ですが、アカウントを失うと業務が止まります。運営者として見てきた限り、乗っ取り被害で最も深刻だったのは投稿を消されたケースではなく、過去のDMを読まれて取引先の名前と条件が外部に出たケースです。守秘義務の対象が入っている場所を、弱い認証で運用してはいけません。

もう1つ、市場の構造として書いておきたいことがあります。中間業者が入らない直接取引では、依頼者と受け手が連絡先を直接やりとりします。中間マージンが乗らないので、同じ予算で依頼者はより多く頼めますし、受け手の手取りは厚くなります。手数料0%の強みは金額の話に見えて、実際に効いているのは手取りが厚いという質のほうです。ただ、この形は連絡経路の管理を自分で背負うことと引き換えになります。直接取引の比重が高い人ほど、SNSの防御は売上の防御と同じ意味を持ちます。

具体的な運用は3つに集約できます。仕事用と私用でアカウントを分ける。仕事用にはセキュリティキーを2本登録し、連携アプリは入れない。取引の条件はSNSの外に控えを残す。これだけで、最悪の場合でも仕事は止まりません。

なお、セキュリティの知識は防御のためだけのものではありません。企業がSNS運用のルールを整備する局面が増えていて、手順書や社内規程を書ける人の需要があります。報酬の目安は著述家，記者，編集者の年収・単価相場で職種別に確認でき、技術側から関わる場合の水準はソフトウェア作成者の年収・単価相場にまとまっています。中小企業が対策予算をどう確保しているかという文脈は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法が扱っていて、支援側に回るときの提案材料になります。

7つの対策を並べましたが、今日やるべきなのは最初の3つです。二要素認証の方式を見直し、パスワードマネージャーを入れ、連携アプリを棚卸しする。ここまでで40分ほどです。残りの4つは、来月のカレンダーに入れておけば間に合います。対策の数を増やすことが目的ではなく、侵入経路を塞ぐことが目的です。経路は4つしかないので、終わりは必ず来ます。

よくある質問

Q. 二段階認証はSMSと認証アプリとセキュリティキーのどれを選ぶべきですか？

仕事で使うアカウントならセキュリティキー、私用なら認証アプリが基本です。SMSは電話番号を奪われると同時に破られるため最も弱く、認証アプリは電話番号と切り離されているぶん強いものの、偽サイトでコードを入力させる手口には対応できません。セキュリティキーは接続先のドメインを検証するので、フィッシングでも突破されません。

Q. パスワードを複雑にすれば乗っ取り対策になりますか？

それだけでは対策になりません。漏洩した組み合わせを試すリスト型攻撃は正解を持っているため複雑さは関係なく、フィッシングは本人が入力するので長さは無意味です。効くのは使い回しをやめることで、サービスごとに違うパスワードにすれば1か所の漏洩が他に波及しません。管理はパスワードマネージャーに任せるのが現実的です。