X乗っ取られて奪還するまでの4日間

僕はメインのXアカウントとは別にいくつかアカウントを持っているのですが、そのうちのひとつ「元メインとして使っていたサブアカウント」が乗っ取り被害に遭いました。 この記事では、乗っ取られてから無事に解決（奪還）に至るまでの経緯をまとめました。

乗っ取り被害に遭ったのは、以下のようなアカウントです。

• フォロワー数： 15,000人弱（フォロー数は4）

• アカウントの用途： メインで投稿したAIイラストを、月に2回ほどまとめて投稿するための「倉庫アカウント」。無課金。

乗っ取りの流れと対応内容

7/4 深夜1時頃：

見知らぬアドレスに登録メールアドレスが変更された、とメールが届いた。 その時点で強制ログアウトされ、すでにパスワード変更（パス変）も不可能な状態に。 さらに乗っ取り犯に二段階認証まで設定されてしまい、自分ではどうにも取り返せない状況になった。

■通報先　Xのヘルプセンター
https://help.x.com/ja/forms/account-access/regain-access/hacked-or-compromised

■通報時に参考にさせて頂いた記事

Xへの初期対応

まずはXのヘルプフォームを介して連絡。電話番号認証を通して「自分のアカウントであること」を証明した。
※最初のXからの返答は「あなたのアカウントだと確認できず、これ以上は何もできない」という内容だった。上記のnoteの記事の対応を参考にさせていただきました。

運営とのラリー

アカウントの証明がなんとかできた後、Xから届いたメールは「パス変して」という内容。 だけどこっちはアドレスを変えられているからそれすらできない。「アドレスが変えられてるからパス変ができない。アドレスを戻してほしい、それが無理なら一時的にアカウントを凍結してほしい」と連絡を続けた。これはフォーマットではなく、Xからのメールに返信をする形で、AIに英文と日本語文にまとめてもらった。

その間の二次被害防止

運営とやり取りする間に、自分が運用している別アカウントすべてと、公式LINEにて急ぎ注意喚起を行った。 「DMが届いても返信しないで、怪しいリンクを送られても絶対に踏まないで」という内容を周囲に周知。

Xの方ではなりすまし通報の依頼をし、多くの方に拡散いただき、通報をしてもらった。これで運営より先に凍結に追いやれるかと思ったが、結果としては凍らず。
ただ、運営へのレポートに緊急性を理解してもらうためにも、全く無駄ではなかったと思う。ご協力いただいた皆様、本当にありがとうございました。

二段階認証の壁

翌日以降も再度パス変を試みる。サブアドレスとして紐づいていたのか、Xの運営が動いてくれたからなのか、パス変のメール自体は手元に届いていた。あとは、二段階認証さえ解除してもらえたらパス変が完了できそうだということに、ここで気づいた。

パス変の流れ： パスワード変更申請 → メール認証の番号を入力 → 新しいパスワードを入力 → 「二段階認証の番号を入力せよ」の画面（ここで完全に詰んでいた。これさえ無ければパス変できそう。）

二段階認証を解除してほしいとXに連絡すると、運営からは「解除するのはリスクがあるから、ブラウザとか何でもいいから一度ログインして本人証明して」という的外れなテンプレメールが返ってくる。

「そもそもログインができない。パス変を完了させようにも、相手が二段階認証を設定しているせいで最後に弾かれる。だから二段階認証を解除してくれ」と返信。すると数時間のうちに、「二段階認証を解除した」という連絡がきた。

7/7 アカウント奪還：

二段階認証が外れてすぐにパス変を行い、ログイン成功。 ログイン後、真っ先に他サービスとの連携をすべて切った（SUZURIとStripeしかなかったから不審な連携はなかったけど、念のため）。

その後、無課金でできる範囲のセキュリティシステムを設定。 さらに安全を期すため、一旦自主的にアカウントを停止させることにした。
30日以内であればいつでもそのままアカウントを復活させられる仕様（仕様上、30日以内にログインすれば元に戻る）を利用した防衛策。

今回での学び

乗っ取りで発生するリスク（想定されること）

• フォロワーへの詐欺誘導： スパムDMを送りつけたり、不審なリンクを踏ませてフォロワーの個人情報やお金を騙し取ろうとする。

• アカウントの不正転売： フォロワー数やアカウントの運用歴に価値を見出されるのか、闇市場で売買されることも。

乗っ取られた側の責任と「被害者」としての扱い

• すべてが自己責任になるわけではない： 法律上、乗っ取りの「加害者」は不正アクセスした犯人。詐欺を働いたわけではないため、乗っ取られた人は、被害者として扱われるらしい。

• 責任範囲（過失）の境界線： 「パスワードを他人に教えていた」などの明らかな過失がなければ、法的責任（賠償責任など）を問われる可能性は極めて低いそう。

• 今回のケース： 今回のように、運営に即座に通報し、別アカウントや公式LINEで「リンクを踏まないで」と迅速に注意喚起（実害防止の努力）を行っていれば、過失は認められず「完全な被害者」として証明されるみたい。

動いたという実績、事実も自分を守るんだね！

日ごろからできる防衛策（セキュリティ対策）

• パスワードの「複雑化」と「使い回し絶対禁止」： 他のサイトから漏洩したパスワードを使い回すのが一番危険。サービスごとに異なる、推測不可能な文字列を心がける。

• 二段階認証（2FA）の徹底： 面倒でも、認証アプリやSMSでの二段階認証は必須で設定する。

• 利用可能なセキュリティ機能の活用： ログインアラートの設定や、今回のように怪しいと思った瞬間に連携アプリ（サードパーティ製アプリ）をすべて遮断・絶つ習慣をつける。

いつも見守ってくださる皆様には多大なご心配をおかけしてしまって本当に申し訳ございませんでした。みなさまのご協力やお声で大変励まされて前向きに冷静に動けたと思います。本当にありがとうございました。

この経験談がみなさまのお役に立ちますよう祈っています。