⇒【東証プライム企業も多数利用！】最先端のSNSマーケティングツール「Tofu Analytics」、「InstantWin」とは？
【PR】楽天市場 【PR】じゃらん 【PR】一休 【PR】Qoo10 【PR】Abema
「見覚えのない投稿がタイムラインに流れている」「急にログインできなくなった」——Instagramの乗っ取り被害は、個人アカウントだけでなく企業の公式アカウントでも年々報告が増えている。企業アカウントが乗っ取られると、フォロワーへの詐欺DM拡散やなりすまし投稿による炎上、最悪の場合はアカウントの完全な喪失につながり、ブランドの信頼を大きく損なう。
本記事では、企業のInstagram運用担当者に向けて、乗っ取りの主な手口、乗っ取られたかどうかの確認方法、実際に被害に遭った場合の公式サポートへの復旧申請手順、そして事前にできる予防策を実務的にまとめる。
Instagramアカウントが乗っ取られるとどうなるか
乗っ取りとは、第三者が正規の運用担当者に無断でログイン情報を取得し、アカウントを不正に操作する状態を指す。企業アカウントの場合、被害は個人アカウント以上に深刻になりやすい。
- プロフィールやリンク先が勝手に書き換えられる
- フォロワーに詐欺DM（暗号資産の勧誘、偽キャンペーンなど）が一斉送信される
- 登録メールアドレス・電話番号・パスワードが変更され、正規の担当者がログインできなくなる
- 投稿・ストーリーズ・広告アカウントとの連携が悪用される
- 最終的にアカウントごと削除・売買されるケースもある
フォロワー数の多い企業アカウントほど、乗っ取り後の二次被害（フォロワーへの詐欺誘導）が拡大しやすく、対応の遅れがそのままブランド毀損につながる点に注意したい。
乗っ取りの主な手口
Instagramの乗っ取りは、システムの脆弱性を突くというより、運用担当者の「うっかり」を狙う手口が大半を占める。代表的な4パターンを押さえておく。
1. フィッシングDM・偽メール
Instagram公式や著作権管理団体を装い、「著作権侵害の申し立てがあった」「規約違反によりアカウントが停止される」といった内容のDMやメールを送りつけ、記載されたリンクから偽のログインページに誘導する手口。認証バッジ付きのアカウントからDMが届くケースもあり、担当者が慌ててIDとパスワードを入力してしまう事故が実際に報告されている。企業アカウントは複数人で運用していることが多く、誰か1人が引っかかれば被害につながるため、個人の注意力だけに頼らない体制が必要になる。
2. 偽ログインページ
本物そっくりのURL・デザインで作られた偽サイトにID・パスワードを入力させ、情報を窃取する手口。ブラウザのブックマークからではなく、DMやメールのリンクから遷移した場合は特にURLを目視で確認する習慣が有効だ。
3. 第三者アプリ連携の悪用
予約投稿ツールや分析ツールなど、Instagramと連携する第三者アプリにアクセス権限を与えたまま放置していると、そのアプリ側が不正アクセスを受けた際に連携先のInstagramアカウントも危険にさらされる。企業アカウントは運用効率化のために複数の外部ツールと連携していることが多く、退職者が使っていたツールのアクセス権限が残ったままになっているケースも見落としやすい。
4. パスワードの使い回し・単純なパスワード
他サービスから漏洩したID・パスワードの組み合わせを使って機械的にログインを試みる「パスワードリスト攻撃」も依然として多い。他サービスと同じパスワードを使い回している場合、Instagram側に落ち度がなくても被害に遭う。
乗っ取られたかどうかを確認する方法
「もしかして乗っ取られたかもしれない」と感じたら、まず以下を確認する。
- ログインできない・パスワードが勝手に変更されている：正規のパスワードでログインできない場合、既に不正アクセスされている可能性が高い。
- 登録メールアドレスや電話番号の変更通知が届く：身に覚えのない変更通知メールが届いた場合、すでに侵入されている状態。
- 投稿していないストーリーズ・フィード投稿・DM送信履歴がある：アプリ内の「アクティビティ」やDMの送信済みフォルダを確認する。
- フォロー中のアカウントが急増している：スパムアカウントのフォローを大量に行う挙動は乗っ取りの典型的な症状。
- プロフィール情報（名前・自己紹介・リンク）が無断で書き換えられている
- ログインアクティビティの確認：設定＞セキュリティ＞ログインアクティビティから、心当たりのない端末・場所からのログインがないかを確認できる。企業アカウントは複数端末で運用するため、定期的にこの画面を見る習慣をつけておくと早期発見につながる。
いずれか一つでも該当したら、次章の復旧手順にすぐ進むべきだ。判断に迷っている間にもフォロワーへの二次被害が広がる恐れがある。
乗っ取られた場合の公式サポートへの復旧申請手順
Instagramは不正アクセスされたアカウント専用の申告窓口を用意している。手順は次のとおり。
- まだログインできる場合：設定＞セキュリティ＞ログインアクティビティから不審な端末を「ログアウト」させ、直ちにパスワードを変更する。あわせて二段階認証を有効化し、登録メールアドレス・電話番号が変更されていないか確認する。
- すでにログインできない場合：ブラウザで「instagram.com/hacked」にアクセスし、「アカウントが乗っ取られた（パスワードやメールアドレスが変更された）」を選択する。ユーザー名・登録メールアドレス・電話番号のいずれかでアカウントを特定する。
- 本人確認：Instagram側から本人確認を求められる場合がある。運転免許証など写真付き身分証と自撮り画像の提出、またはランダムに選ばれたフォロワーに本人確認を依頼する「フレンド確認」が使われることがある。
- アカウントの取り戻し：確認が完了すると、登録済みの連絡先にパスワード再設定用リンクまたはセキュリティコードが送られ、新しいパスワードを設定してログインできるようになる。
- 復旧後の点検：ログイン後は必ずプロフィール・投稿・DM送信履歴・連携アプリの一覧を確認し、不審な変更がすべて元に戻っているかをチェックする。
企業アカウントの場合、この申請フローを一人の担当者の私物端末・私用メールに紐づけたまま運用していると、担当者の異動・退職時に本人確認が滞るリスクがある。会社として管理する連絡先（部署の代表メール等）を登録しておくことが望ましい。
企業アカウント特有の対策：組織で運用する上でのリスク管理
個人アカウントの対策記事では触れられにくいが、企業アカウントには複数人運用ならではの注意点がある。
- アカウント共有の管理：ログイン情報を口頭やチャットで平文共有するのではなく、パスワード管理ツールで権限を必要な人にだけ付与する。退職・異動時は速やかにパスワードを変更し、アクセス権限を見直す。
- Meta Business Suiteでの権限管理：IDとパスワードそのものを共有せず、Meta Business Suite上でアカウント役割（管理者・編集者など）を個別に付与すれば、誰が何をしたかのログも残り、退職者のアクセスも権限剥奪だけで済む。
- 連携アプリの棚卸しを定例化する：予約投稿ツール・分析ツール・キャンペーン応募ツールなど、業務で使ってきた第三者アプリは増える一方で減ることが少ない。四半期に一度など頻度を決めて、設定＞セキュリティ＞アプリとWebサイトから連携一覧を確認し、使っていないアプリのアクセス権限を削除する運用をルール化しておく。
- 初動対応フローを事前に決めておく：乗っ取りに気づいた担当者が「誰に報告し、誰が復旧申請を行うか」を事前に決めておかないと、対応が後手に回る。広報・情報システム部門との連絡フローをあらかじめ文書化しておくと、実際の被害時に迷わず動ける。
事前にできる予防策
二段階認証の設定
最も効果の高い予防策が二段階認証（2FA）だ。設定＞セキュリティ＞二段階認証から、SMS認証または認証アプリ（Google Authenticatorなど）を有効にできる。SMSより認証アプリのほうがSIMスワップ詐欺のリスクを避けられるため、企業アカウントでは認証アプリの利用を推奨する。
パスワード管理の徹底
他サービスと使い回さない、推測されにくい長いパスワードを設定し、パスワード管理ツールで一元管理する。定期的な変更よりも、使い回しをなくすことと二段階認証の併用のほうが実効性が高い。
連携アプリの定期点検
前章のとおり、連携アプリの棚卸しをルール化する。特にキャンペーンで一時的に使った外部ツールは連携を切り忘れやすいので、キャンペーン終了時に連携解除までをタスク化しておくとよい。
不審なDM・メールへの対応ルールを周知する
「公式を名乗るDM・メールのリンクは開かず、必ずアプリ内の公式設定画面から確認する」という基本ルールを運用チーム全員に周知しておくだけでも、フィッシング被害の多くは防げる。
Instagramに限らず、SNSアカウントの乗っ取りは他媒体でも共通の手口が使われる。X（Twitter）の乗っ取り対策はXアカウントの乗っ取り対策！安全に運用する方法を解説でも詳しく解説しているので、複数SNSを運用している企業は合わせて確認しておきたい。また、アカウントが一時的に使えなくなる別のケースとして、凍結時の対応をまとめたX（Twitter）の凍結とは？原因・解除方法・異議申し立てのやり方と予防策も、緊急時の初動対応を考えるうえで参考になる。
まとめ
Instagramの乗っ取りは、フィッシングDMや偽ログインページ、連携アプリの放置といった「うっかり」を突かれて起きることがほとんどだ。企業アカウントでは被害の影響範囲が個人以上に大きく、フォロワーへの二次被害やブランド毀損に直結する。日頃から二段階認証・パスワード管理・連携アプリの棚卸しを徹底し、万が一乗っ取られた場合は instagram.com/hacked からの復旧申請と社内の初動対応フローを迷わず実行できるよう、事前に準備しておきたい。SNSアカウント全体のリスク管理という観点では、インプレゾンビとは？発生の仕組みと見分け方、企業アカウントの対策を解説も合わせて確認し、アカウントの安全性を継続的に点検する体制を整えておこう。
よくある質問
Q. 乗っ取り被害は警察に届け出るべきか
不正アクセス禁止法違反にあたる可能性があるため、被害の証拠（不審なログイン通知のスクリーンショット、変更前後のプロフィール画像など）を保存したうえで、最寄りの警察のサイバー犯罪相談窓口に相談するとよい。特に詐欺DMがフォロワーに送信され金銭被害につながった場合は、被害者対応の観点からも記録を残しておく価値が大きい。
Q. フォロワーへの注意喚起はどう出すべきか
アカウントを取り戻した直後は、乗っ取り期間中に送られた詐欺DMやなりすまし投稿にフォロワーが反応してしまう恐れがある。ストーリーズや固定投稿で「〇月〇日〜〇日に不正アクセスがあり、その間に送信されたDMやリンクは開かないでほしい」と具体的な期間を明記して告知すると、二次被害を抑えやすい。あわせて自社の公式サイトやX（Twitter）など他媒体でも同様の告知を行い、複数の経路でフォロワーに届くようにしておくと安心だ。
Q. 一度乗っ取られたアカウントは再び狙われやすいか
一度パスワード等の情報が流出したアカウントは、同じ攻撃者や別の攻撃者による再攻撃の標的になりやすい。復旧後にパスワードを使い回しのないものへ再設定し、二段階認証を有効化したうえで、連携アプリの一覧を必ず洗い出して不要な連携を解除しておくことが重要だ。
⇒【東証プライム企業も多数利用！】最先端のSNSマーケティングツール「Tofu Analytics」、「InstantWin」とは？
【PR】楽天市場 【PR】じゃらん 【PR】一休 【PR】Qoo10 【PR】Abema
出典
- Instagram Help Center「不正アクセスされたInstagramアカウント」 https://help.instagram.com/368191326593075/?locale=ja_JP
- Instagram Help Center「Instagramプロフィールが不正アクセスされたと思われる場合」 https://help.instagram.com/149494825257596/?locale=ja_JP（2026年8月確認）
