X（Twitter）アカウントが乗っ取られ、勝手に2要素認証を設定されてから復旧するまでの記録

こんにちは。
TCG STATION TSUNASHIMA（トレステ綱島）のおまです。

今回は、2026年8月9日にXのアカウント「@oma_ptcg」が第三者に不正アクセスされ、約1か月後の9月8日に復旧するまでの経緯をまとめます。

普段のnoteのような読み物というよりは、

「何が起きたのか」
「Xサポートに何を送ったのか」
「何が返ってきたのか」
「最終的にどうやって復旧したのか」

を、できるだけ時系列に沿って残しておくための記事です。

同じように、

「パスワードは分かるのに、知らない2要素認証が設定されてログインできない」

という状況になった方の参考にもなればと思います。

※2026年9月時点の体験談です。Xのサポートフォームや対応方法は今後変更される可能性があります。
※セキュリティ上、メールアドレスやサポートケース番号など、一部情報は伏せています。

2026年8月9日：突然、Xからメールアドレス変更通知が届く

きっかけは、Xから届いた1通のメールでした。

内容は、

「@oma_ptcgさんのメールアドレスが変更されました」

というもの。

変更後のメールアドレスは、まったく身に覚えのないHotmailのアドレスでした。

当然、自分では変更していません。

この時点で、第三者にアカウントへアクセスされたと考えました。

幸いだったのは、

• @oma_ptcg のユーザー名が分かる

• パスワードも分かる

• 乗っ取られる直前まで登録していたメールアドレスを現在も利用できる

という状態だったことです。

そこでXへログインしてみました。

ユーザー名とパスワードは通ります。

ところが、その次に表示されたのが、

「二要素認証コードを入力」

という画面でした。

私はこのアカウントに認証アプリによる2要素認証を設定した記憶がありません。

当然、認証アプリにコードもありません。
バックアップコードもありません。

つまり、

パスワードは分かっているのに、自分が設定していない2要素認証によってログインできない

という状態になりました。

最初に「2要素認証の問題」としてXへ問い合わせ

まず、Xのアカウントアクセスに関するサポートから、2要素認証について問い合わせました。

最初の問い合わせでは、

「最近、このアカウントに登録されているメールアドレスに変更があったため、セキュリティ上、現時点ではサポートできない」

という趣旨の回答が届きました。

そして、

少なくとも7日間待ってから再度問い合わせるように

との案内がありました。

そのため、一度ここで待つことにしました。

7日以上待って「アカウントが乗っ取られた」として再申請

指定された期間を待ったあと、今度は、

「アカウントがハッキング・侵害された」

という内容でサポートへ申請しました。

状況としては、

• メールアドレスを勝手に変更された

• パスワードは把握している

• ログインすると、自分が設定していない2要素認証を要求される

• バックアップコードはない

というものです。

ところが、Xから返ってきたのは、

「登録されているメールアドレスまたは電話番号が引き続きアカウントに紐づいているため、アカウントをコントロールできているようです」

という趣旨の回答でした。

こちらとしてはログインできていないので、少し不思議な回答でした。

ただ、そのメールには、

不審な2要素認証が追加された場合は、2FA専用フォームから申請するように

という案内がありました。

そこで、その案内に従いました。

2FA専用フォームから申請

2要素認証の問題として申請すると、今度はXサポートから、

「アカウント所有者であることを確認するため、ユーザー名とパスワードを入力してXへログインしてください」

という案内が届きました。

さらに、

「ログイン操作を行うとX側に通知が届くため、その後このメールに返信してください」

とのことでした。

案内どおり、

@oma_ptcg
↓
パスワード入力
↓
ログイン

と進みました。

パスワードの認証は通ります。

しかし、当然その先には、例の2要素認証画面が表示されます。

その状態まで進んだうえで、

「ユーザー名とパスワードは認証されたが、自分が設定していない認証アプリの2FAを求められているため、それ以上進めない」

と返信しました。

結果：「アカウント所有者であることを確認できない」

しばらくすると、Xから返信が来ました。

結果は、

「アカウント所有者であることを確認できなかったため、これ以上サポートできない」

というものでした。

さらに、

このメールには返信しないように

との記載もあり、ケースは終了。

一度目はここで失敗しました。

再び「乗っ取り」→「2FA」のルートで申請

改めて、

「そもそもアカウントが乗っ取られたことが原因なのだから、まず乗っ取りとして申請した方がいいのではないか」

と考え、

再度、

ハッキング・侵害されたアカウント

として問い合わせました。

しかし、ここでも返ってきた回答はほぼ同じ。

「登録メールまたは電話番号がまだリンクされているため、アカウントをコントロールできているようです」

という内容でした。

そして再び、

不審な2要素認証については2FAフォームへ

と案内されました。

そのため、もう一度2FAフォームから申請。

Xから、

「ログイン操作をしてください」

との案内が届き、

もう一度、

ユーザー名
↓
パスワード
↓
2FA画面

まで進み、サポートへ返信しました。

しかし結果はまた、

「アカウント所有者であることを確認できない」

でした。

ここで完全に、

「乗っ取り申請 → 2FA申請 → ログイン確認 → 本人確認できず終了」

というループに入ってしまいました。

申請内容を見直す

同じことを繰り返しても進まなかったため、一度申請内容を整理しました。

特に重要だと考えたのが、

「乗っ取られる直前まで登録されていたメールアドレス」

です。

私は、8月9日に不正アクセスされる直前まで、

Gmailのメールアドレスを@oma_ptcgに登録していました。

そして、このメールアドレスは現在も自分で利用できます。

さらに、

8月9日にXから「@oma_ptcgのメールアドレスが変更された」という通知も、このメールアドレスに届いています。

つまり、

「このメールアドレスが乗っ取り直前まで@oma_ptcgに登録されていた」

ことを示せる材料が手元に残っていました。

そこで、次の申請ではこの点をかなり明確に書くことにしました。

9月：改めて乗っ取りとして申請

再度、ハッキング・侵害されたアカウントとして申請しました。

今回は、問い合わせに使用するメールアドレスも、

乗っ取られる直前まで@oma_ptcgに登録されていたメールアドレス

に統一。

申請文には、

• 2026年8月9日にアカウントが侵害されたこと

• この問い合わせに使用しているメールアドレスが、侵害直前まで@oma_ptcgに登録されていたこと

• 現在もそのメールアドレスを利用できること

• 8月9日に、Xからメールアドレス変更通知を受け取っていること

• ユーザー名とパスワードは把握していること

• パスワード認証後、自分が設定していない認証アプリの2FAで止まること

• バックアップコードを持っていないこと

を整理して記載しました。

あわせて、

• Xから届いたメールアドレス変更通知

• 現在表示される2FA画面

• 端末に@oma_ptcgが保存されていることが分かる画面

なども提出しました。

それでも、返ってきたのは同じ回答

しかし、ここでもXから返ってきたのは、

「登録メールまたは電話番号がまだリンクされているため、アカウントをコントロールできているようです」

という、これまでとほぼ同じ回答でした。

ただし、この回答の中でも、

不審な2要素認証が追加された場合は、こちらから2FAの申請をしてください

と案内されていました。

今回は、この案内メールに記載された導線から、そのまま2FA申請へ進みました。

最後の2FA申請

2FAフォームを開くと、最初はブラウザでログインしていた別のXアカウント（店舗アカウント）が自動入力されていました。

そのため一度リセットし、

対象アカウントを

@oma_ptcg

連絡先メールアドレスを、

乗っ取られる直前まで登録されていたメールアドレス

に変更して申請しました。

その後、新しい2FAサポートケースが発行されました。

そして、これまでと同じように、

「所有者確認のため、ユーザー名とパスワードを入力してログイン操作を行い、その後メールへ返信してください」

という案内が届きました。

今回は、返信内容も整理して送った

指示どおり、すぐに@oma_ptcgへログイン。

ユーザー名とパスワードは認証され、

また2FA画面まで進みました。

そこで今回は、単に、

「2FA画面まで進みました」

と返すだけではなく、これまでの経緯もまとめて返信しました。

内容としては、

• Xの指示どおり、今ログイン操作を行ったこと

• ユーザー名とパスワードは認証されたこと

• 認証アプリの2FA画面まで進んだこと

• この認証アプリは自分が設定したものではないこと

• 直前の「乗っ取り」サポートケースから案内されて、この2FA申請を行っていること

• 問い合わせに使っているメールアドレスが、乗っ取り直前まで@oma_ptcgに登録されていたこと

• 8月9日にXから、不審なメールアドレスへの変更通知を受け取っていること

• 必要であれば追加の本人確認にも協力すること

です。

また、

メールアドレス変更通知と、現在の2FA画面なども改めて添付しました。

同じ情報は過去の問い合わせでも送っていましたが、別のサポートケースに添付した資料がどこまで引き継がれているか分からなかったため、今回の2FAケースにも必要な情報をまとめて送りました。

2026年9月8日：2要素認証が解除される

そして9月8日。

Xからメールが届きました。

そこには、

「@oma_ptcgさんの2要素認証をオフにしました」

と書かれていました。

約1か月。

ようやく、不正に設定されていた2要素認証が解除されました。

その後、@oma_ptcgへログイン。

問題なくアカウント内まで入ることができました。

復旧後、すぐにやったこと

ログインできたから終わり、ではありません。

不正アクセスされたアカウントなので、復旧後すぐにセキュリティ設定を見直しました。

行ったことは以下です。

• 登録メールアドレスの確認

• パスワードの変更

• ログイン中のセッション確認

• 不審な連携アプリがないか確認

• 自分で2要素認証を再設定

• Google Authenticatorへの登録

• バックアップコードの取得・保存

今回は、

「2要素認証があるから安全」

ではなく、

「第三者に2要素認証を設定されて、自分が入れなくなる」

という経験をしました。

そのため、バックアップコードについても、今後はきちんと管理しておこうと思います。

今回、復旧までにやったことをまとめると

今回の流れを簡単にすると、

8月9日
不正なメールアドレス変更通知を受信
↓
パスワードでログインするも、知らない2FAで停止
↓
2FAサポートへ問い合わせ
↓
「メール変更直後なので7日待って」と案内
↓
7日以上待つ
↓
乗っ取りとして申請
↓
2FAフォームへ案内される
↓
ログイン操作＋返信
↓
「所有者確認できず」で終了
↓
再度、乗っ取り申請
↓
再度、2FA申請
↓
再び「所有者確認できず」
↓
元々登録していたメールアドレスを軸に情報を整理
↓
メール変更通知などの証拠を付けて再申請
↓
乗っ取りケースから案内された2FAフォームを利用
↓
ログイン操作を実施
↓
直前のサポートケースや元登録メールについてもまとめて返信
↓
9月8日、不正な2FAが解除
↓
@oma_ptcg復旧

という流れでした。

同じ状況になった方に伝えておきたいこと

今回の経験だけで「こうすれば必ず復旧できる」と言うつもりはありません。

X側がどの情報を使って本人確認をしているのかも分かりません。

ただ、少なくとも今回については、以下の情報を残しておいて本当に良かったと思います。

1．元々登録していたメールアドレスへアクセスできる状態を維持する

今回、最終的な問い合わせに使用したのは、乗っ取られる直前までアカウントに登録していたメールアドレスでした。

2．Xから届くセキュリティ関連のメールを消さない

特に、

「メールアドレスが変更されました」

という通知は、今回の経緯を説明するうえで重要な資料になりました。

3．Xから「ログインしてください」と言われたら、実際に操作する

Xの2FAサポートでは、

「ログイン操作をするとX側に通知が届く」

という案内がありました。

私は毎回、ユーザー名とパスワードを入力し、2FA画面まで進んでから返信しています。

4．別の問い合わせから案内された場合は、その経緯も書く

最終的な申請では、

「直前の乗っ取りサポートから、この2FAフォームへ案内された」

ことも明記しました。

複数の問い合わせが発生した場合、それぞれが別々の話に見えないよう、経緯を整理して伝えた方がよいと思います。

5．復旧したら、自分で2FAを設定し直す

今回の復旧後は、Google Authenticatorを使って2要素認証を設定し直しました。

さらに、バックアップコードも取得して保存しました。

もう同じところで詰まりたくありません。

おわりに

約1か月かかりましたが、無事に@oma_ptcgを取り戻すことができました。

途中、

「アカウント所有者であることを確認できない」

という回答が続き、正直どうすればいいのか分からなくなった時期もありました。

ただ、同じフォームを闇雲に送り続けるのではなく、

何が本人確認につながりそうなのかを整理し、
元の登録メールアドレス、Xからの変更通知、現在のログイン状況を一つずつ整理して伝える

ことで、最終的に復旧までたどり着きました。

Xは店舗の告知にも日常的に利用しています。

アカウントを失うこと自体も問題ですが、今回改めて、

SNSアカウントも店舗運営上の重要な資産のひとつ

だと感じました。

今後は店舗アカウントも含め、

• 2要素認証

• バックアップコード

• 登録メールアドレス

• パスワード

• ログイン端末

• 外部アプリ連携

あたりを定期的に確認していこうと思います。

同じような状態で困っている方に、この記録が少しでも参考になれば幸いです。

2026年9月8日
おま

※先週末もいろいろ（意味深）あったので、小銭投げて励ましてください。