お世話になっております！新入社員の道守みちるです！
先日、知り合いのフリーランスの方から「わたしのInstagramに、身に覚えのない投稿が上がってる」とご連絡をいただきました。画面の向こうで真っ青。聞いていたわたしも真っ青。そして通話が終わってから気づきました。
……自分の会社アカウント、二段階認証、まだ設定してない。
人の心配をしている場合ではありませんでした。
事業でSNSを使っているのに、「乗っ取られたとき」の備えを何もしていないのは、さすがにまずいのでは？
というわけで、慌てて公式ヘルプを読み込みました。今回はその整理です。扱うのは3つです。📝
- どういう手口で乗っ取られて、事業アカウントだと何が起きるのか
- 乗っ取られる前に、今日やっておけること
- もし乗っ取られたら、最初に何をするのか
先にお断りを。SNSの設定画面や復旧手順は、わりと頻繁に変わります。この記事は執筆時点（2026年9月）に公式ヘルプを実際に開いて確認した内容ですが、操作されるときは必ず最新の記載をご確認ください。
そもそも、どうやって乗っ取られるの？🤔
IPA（情報処理推進機構。国のIT関連の機関です）が2025年8月に出した注意喚起では、IDとパスワードが第三者に知られる主な要因が3つに整理されていました。
- 単純なパスワードを推測される
- 使い回しを突かれる：別のサービスから漏れたIDとパスワードの組み合わせを、そのまま試される（リスト型攻撃）
- フィッシング：本物そっくりの偽サイトに誘導され、自分の手で入力してしまう
同じ資料には、相談が多い例としてInstagramのこんな流れが載っていました。知り合いになりすました相手からDMが届き、やり取りの中で電話番号を教えてしまう。すると認証コードのSMSが届き、それを相手に伝えてしまう。そのコードで入られ、パスワードも登録メールも変えられてしまう──という順番です。
ここが一番ぞっとしました。攻撃者は「パスワードを盗む」だけでなく、本人にコードを言わせることを狙ってきます。
【Point】届いた認証コードを誰かに伝える場面は、原則ありません。相手が知り合いに見えても、です。
もうひとつの入口がアプリ連携です。「Facebookでログイン」で外部サービスに繋いだアプリは、そのあとも権限を持ち続けます。Facebookのヘルプによると、90日使っていないアプリは非公開情報へのアクセスが期限切れになる一方、ページや広告、メッセージを扱う「ビジネス連携」の許可は期限切れになりません。事業用のアカウントほど、繋ぎっぱなしが残りやすいということです。
事業アカウントだと、何が起きるんでしょう
個人アカウントとの違いは、お金と、お客様が絡むことだと思っています。
- 広告アカウントを使われ、こちらの支払い方法で広告が出稿される
- 会社の名前で、投資勧誘や詐欺の投稿・DMが送られる
- お客様とのメッセージのやり取りを読まれる
- Facebookページの管理権限から自分が外され、取り返せなくなる
【最重要】怖いのは「アカウントを失うこと」より、お客様が被害に遭うことのほうです。見慣れた会社の看板から届いたメッセージは、受け取った側からすると疑いにくいので。
乗っ取られる前に、やっておく4つ
① 二段階認証をオンにする（最優先）。IPAも「仮にIDとパスワードを不正利用されても、それだけではログインできない」として推奨しています。Facebookのヘルプによると、設定場所は［設定とプライバシー］→［設定］→［アカウントセンター］→［パスワードとセキュリティ］→［二段階認証］。方法はセキュリティキー／認証アプリ／SMSコードの3つで、Instagram側のヘルプでは認証アプリが推奨と書かれていました。
② バックアップコードをネットの外に置く。Facebookのヘルプには、スマートフォンが使えないとき用に10個のリカバリーコードを取得できるとあります。印刷して鍵のかかる場所へ。同じスマホのメモに入れると、いざというとき一緒に取り出せません。
③ 連携アプリを棚卸しする。Facebookの［アプリとウェブサイト］の設定から一覧を確認・編集できます。ただし、すでにアプリ側に渡った情報は消えません。棚卸しはこれからのための作業です。
④ ログインアラートと、管理者の複数化。Facebookには知らないログインを知らせる機能があります。そして地味に効くのが、管理者をひとりにしないこと。ページや広告アカウントの管理者が社長ひとりだと、その人が乗っ取られた瞬間に社内の誰も手が出せません。管理者アカウントの持ち方は、以前チャットツールでも似たことを書きました（→ 【チャット管理者向け】Google Chat簡単入門！これを読めば仕事の連絡がラクに）。
| やること | なぜ効くのか | どこで設定するか |
|---|---|---|
| 二段階認証をオンにする | パスワードが漏れても、それだけではログインされにくい | アカウントセンター →［パスワードとセキュリティ］ |
| バックアップコードを控える | スマホが使えなくなっても、自分で戻れる道が残る | 二段階認証の設定画面 |
| 連携アプリを棚卸しする | 使っていないアプリの権限を切れる | Facebookの［アプリとウェブサイト］ |
| 管理者を複数にする | ひとりが乗っ取られても、動ける人が残る | Meta Business Suiteのメンバー設定 |
もし乗っ取られたら、最初にやること
まず公式の窓口です。Facebookヘルプセンターは「アカウントに不正アクセスされた場合は、Facebookにログインしたことのあるデバイスで www.facebook.com/hacked にアクセスしてください」と案内しています。Instagramヘルプセンターも同様に www.instagram.com/hacked を案内しています。自己流で試す前に、まずここです。
そのうえで、IPAは状況を2つに分けていました。まだログインできる場合は、すぐパスワードを変更し、登録情報を確認して自分のものではないメールアドレスや電話番号を削除する。もうログインできない場合は、各サービスのヘルプの手順に沿って復旧を試みる。
登録情報の確認、これが盲点でした。パスワードだけ変えても、相手のメールアドレスが残っていれば、また取り返されてしまいます。
並行して、あと3つ。
- 周囲に知らせる：SNS以外の手段（メール、電話、自社サイト）で伝える。乗っ取られたアカウントで告知しても届きません
- お金まわりを見る：広告アカウントの消化額と支払い方法に、身に覚えのない動きがないか
- 使い回しを断つ：同じパスワードの他サービスも変更する
金銭被害やなりすましで第三者に迷惑がかかった場合は、警察への相談や取引先への正式な連絡という話にもなります。ただ、わたしは法律の専門家ではありませんので、法的な対応は弁護士など専門の方にご相談ください。
ビジネスアカウントならではの注意点
Meta Business Suiteのヘルプによると、ビジネスポートフォリオ（ページや広告アカウントをまとめて管理する入れ物）のアクセスレベルは、大きく全権限と部分的なアクセス許可の2つ。全権限を持つ人は、設定もメンバーもアセットも全部触れて、ポートフォリオの削除までできます。ヘルプにも「業務上必要となるアクセス許可のみを付与することで、安全を確保しやすくなる」とありました。
実務で使えそうだと思ったのが、この2つです。
- 財務のアクセス許可は別枠：請求書や支払い方法を扱う権限は、詳細オプションとして分けて付与できます
- 一時的なアクセスがある：3日〜75日で基本権限を渡すと、期限切れで自動的に外れます。外部の制作会社さんに入ってもらうときの、外し忘れ防止に
【Point】「誰が全権限を持っているか」を答えられない状態が、たぶん一番あぶないです。
で、どこまでやれば安全なんでしょう
【結論】絶対に安全な設定は、たぶんありません。
今回読んだIPAの事例は、二段階認証そのものを破ったというより、本人にコードを言わせた話でした。設定でどれだけ固めても、最後に「知り合いっぽい相手からのDM」に判断を求められる場面は残ります。そこは仕組みでは埋めきれない気がしています。
それでも、二段階認証とバックアップコードと管理者の複数化は、被害の大きさをはっきり変えると思います。入られない備えと、入られても戻れる備え。この2つは分けて考えたほうがよさそうです。
以前、システムを人に頼む意味を考えたときも、結局「任せきりにしない」に落ち着きました（→ 【AI時代のSI】AIがコードを書ける時代に、システム開発を人に頼む意味はあるのか）。SNSのアカウントも、たぶん同じです。誰かひとりの端末の中だけで完結させない。
わたし自身、書きながら設定を開きました。二段階認証はオンにしました。バックアップコードは、まだ印刷していません。今日中にやります。……たぶん。
参照した公式情報（2026年9月時点で内容を確認）
- Facebookヘルプセンター「不正アクセスされたアカウントを復旧する」
- Facebookヘルプセンター「Facebookでの二段階認証のしくみ」
- Facebookヘルプセンター「セキュリティに関するアドバイスと機能」
- Facebookヘルプセンター「Facebookにリンクしたサードパーティアプリのプライバシー設定を管理する」
- Instagramヘルプセンター「不正アクセスされたInstagramアカウント」
- Instagramヘルプセンター「二段階認証でMetaアカウントの安全を確保する」
- Metaビジネスヘルプセンター「ビジネスポートフォリオとビジネスアセットのアクセス許可について」
- IPA「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日公開）
