乗っ取りはどこから起きるのか
公式アカウントの乗っ取りの入口は、たいてい特別な技術ではありません。ほかのサービスで漏れたパスワードの使い回し、本物そっくりのログイン画面に誘導してパスワードを入力させる偽のメールや DM、そして担当者どうしでパスワードを共有していることです。共有しているパスワードは、メモやチャットに残り、退職した人も知ったままになりがちです。
乗っ取りの多くは、パスワードだけで入れる状態のアカウントで起きます。逆に言えば、パスワードのほかにもう 1 つ確認を足すだけで、防げる場面が大きく増えます。
まず 2 段階認証を入れる
2 段階認証 は、パスワードに加えて、手元のスマートフォンなどでしか分からないコードを入れないとログインできないようにする仕組みです。パスワードが漏れても、コードを持っていない人はログインできません。
主な SNS の 2 段階認証の方法は、2026 年 10 月時点で次のとおりです。
| SNS | 選べる方法 | 公式の説明 |
|---|---|---|
| 𝕏（エックス） | ショートメール、認証アプリ、セキュリティキー。あわせてバックアップコード | 2 要素認証の使い方 |
| 認証アプリ、ショートメールなど。あわせてバックアップコード | 二段階認証の設定 | |
| 認証アプリ、ショートメールなど | Facebook のヘルプセンターの二段階認証の項目 |
方法を選べるなら、ショートメールより認証アプリを選ぶのが安全です。ショートメールは、電話番号を他人に乗っ取られると、コードも奪われるおそれがあるためです。認証アプリは、Google Authenticator や Authy など、時間で変わる 6 桁のコードを出すアプリです。
バックアップコードの置き場所
2 段階認証を入れたら、必ずバックアップコード（スマートフォンをなくしたときに使う予備のコード）を控えます。担当者のスマートフォンだけに頼っていると、その人が機種を変えたり辞めたりしたときに、会社がアカウントに入れなくなります。バックアップコードは、会社の金庫やパスワード管理のサービスなど、担当者個人ではなく会社が管理する場所に置きます。
パスワードを共有しない
複数人でアカウントを運用するとき、一番やってはいけないのが、1 つのパスワードを全員で共有することです。誰がいつ何をしたかが分からなくなり、辞めた人のアクセスを止めるにはパスワードを変えるしかありません。
各 SNS が用意している「人ごとに権限を渡す仕組み」を使うのが基本です。Facebook ページは、ページへのアクセスの管理 で、人ごとに「完全な管理権限」か「一部の権限」を渡せます。完全な管理権限を持つ人は、ほかの人を外したりページを削除したりできるので、渡すのは最小限の人にし、そのうえで必ず 1 人以上が持っている状態を保ちます。
𝕏 と Instagram のように、人ごとに権限を渡す仕組みが限られている SNS では、SNS の公式の許可（OAuth）でつなぐ運用サービスを使うと、担当者にパスワードを渡さずに投稿してもらえます。
偽のメールや DM を見分ける
パスワードを盗む入口として多いのが、SNS の運営を名乗る偽のメールや DM です。「著作権の侵害の報告があったので、アカウントを停止します」「認証バッジの申請が通りました」「ログインに異常がありました」といった、急がせる文と、ログインの画面へのリンクがそろっているのが特徴です。公式アカウントは、こうした連絡が本当に来ることもあるため、担当者がつい信じてしまいます。
見分ける一番確かな方法は、届いたリンクを押さず、自分で SNS のアプリや公式サイトを開いて確かめることです。本当に問題があれば、アプリの通知や設定の画面にも出ています。リンクを押してしまい、ログインの画面が出ても、パスワードは入れません。入れてしまったと気づいたら、すぐに本物のアプリからパスワードを変え、ほかの端末からログアウトさせます。
偽の連絡に引っかかる人を責めるより、引っかかっても被害が出ない状態を作るほうが確実です。2 段階認証が入っていれば、パスワードを入れてしまっても、コードがない相手はログインできません。
担当者の入れ替わりで確認すること
乗っ取りは外からだけでなく、管理の抜けからも起きます。担当者が辞めたり異動したりしたときは、次の点を確認します。
| 確認すること | 理由 |
|---|---|
| 権限の外し忘れ | 辞めた人が管理権限を持ったままになっていないか |
| ログインに使うメールアドレス | 担当者個人のメールアドレスで登録していないか |
| 2 段階認証の電話番号 | 担当者個人の電話番号になっていないか |
| 連携しているアプリ | 使っていないアプリにアクセスを許したままになっていないか |
| パスワード | 共有していたなら変える |
ログインに使うメールアドレスと 2 段階認証の電話番号は、最初から会社のものにしておくのが一番の対策です。担当者個人のものだと、その人がいなくなった瞬間に、会社がアカウントを取り戻せなくなるおそれがあります。
乗っ取られたときの動き方
乗っ取られたかもしれないと思ったら、まずログインできるかを確かめ、できればすぐにパスワードを変え、ほかの端末からログアウトさせます。ログインできない場合は、各 SNS のヘルプにあるアカウントの復旧の手続きに進みます。
並行して、予約投稿と自動の返信・DM を止め、フォロワーに向けて、別の手段（ホームページや別の SNS）で「乗っ取られている可能性があるので、届いた DM のリンクを押さないでください」と知らせます。取り戻したら、連携しているアプリと権限を見直し、何が入口だったかを振り返ります。慌てずに動くための決めごとは 炎上を防ぐ・起きたときの対応 と同じく、普段から運用ルールに書いておきます。
SNS TOWN でできること
SNS TOWN は、𝕏・Instagram・Facebook などに各 SNS の公式の許可（OAuth）でつなぐので、メンバーに SNS のパスワードを渡す必要がありません。メンバーは自分の SNS TOWN のアカウントでログインし、メンバーと役割 で決めた範囲で操作します。辞めた人は、メンバーから外せばすぐに入れなくなり、SNS 側のパスワードを変える必要はありません。
SNS TOWN のアカウント自体の守りは アカウントの守り にまとめています。2 段階認証（認証アプリと、使い捨ての回復用コード 10 個）、端末ごとのログインの一覧と一括ログアウト、見たことのない端末からログインがあったときのメール、ログインの失敗が続いたときの一時停止があります。会社・ブランドごとに、メンバー全員に 2 段階認証を求めることもできます。
さらに、アクセスの制限 で、会社・ブランドを開ける場所を、決めた IP アドレスか登録した端末だけに絞れます。既定はオフで、オンにするときに自分が締め出される設定は受け付けません。仕組みの全体は セキュリティ で説明しています。
7 日間、無料で試せます。クレジットカードの登録は要りません。
無料で始めるよくある質問
2 段階認証を入れると、複数人で運用しにくくなりませんか
パスワードを共有して運用している場合は、コードを受け取る人が 1 人に限られるので、運用しにくくなります。これはパスワードの共有をやめるきっかけと考え、人ごとに権限を渡す仕組みか、公式の許可でつなぐ運用サービスに移るのがおすすめです。
認証アプリを入れたスマートフォンをなくしました
控えておいたバックアップコードでログインし、新しいスマートフォンで認証アプリを設定し直します。バックアップコードがない場合は、各 SNS のヘルプにある復旧の手続きに進みます。こうした事態に備えて、バックアップコードは会社が管理する場所に置いておきます。
「アカウントが停止されます」という DM が届きました
SNS の運営を名乗る DM やメールで、ログインを求めるものは、偽物の可能性が高いと考えます。リンクを押さず、SNS のアプリや公式サイトを自分で開いて、通知や警告が本当に出ているかを確かめます。
運用代行の会社にパスワードを教えても大丈夫ですか
パスワードを渡すと、誰が操作したかが分からなくなり、契約が終わったあともアクセスが残ります。Facebook ページのように人ごとに権限を渡せる SNS では権限を渡し、それ以外は公式の許可でつなぐ運用サービスを使って、パスワードを渡さずに済む形にするのが安全です。
2 段階認証はショートメールでも十分ですか
入れないよりはずっと安全です。ただ、選べるなら認証アプリのほうが、電話番号の乗っ取りの影響を受けにくくなります。まずショートメールで入れ、慣れたら認証アプリに切り替える、という進め方でも構いません。
