アカウントの乗っ取りが疑われる主なケース｜原因や対処法、効果的な対策

アカウント乗っ取りの基本的な意味

アカウント乗っ取りとは、第三者がID・パスワードなどの認証情報を不正に入手し、本来の利用者になりすましてWebサービスや社内システムを利用する行為を指します。

英語では「Account Takeover（ATO）」と呼ばれ、不正アクセスの一形態として位置づけられます。

乗っ取られたアカウントは、以下のような目的で悪用されることが多いとされています。

• 金銭の不正送金や不正決済
  ・メールやSNSを悪用したフィッシングや詐欺の踏み台
  ・個人情報や機密情報の窃取
  ・不正なログ送信、迷惑メール配信などの基盤

被害者本人は乗っ取りに気付きにくく、ログイン履歴の確認や金銭被害の発生によって初めて事態を把握するケースも少なくありません。

不正アクセスとの違い

「アカウント乗っ取り」と「不正アクセス」は重なる概念ですが、整理すると次のようになります。

つまり、不正アクセスのなかでも特に「アカウントを継続的に利用される」状態が、アカウント乗っ取りに該当します。日本では「不正アクセス行為の禁止等に関する法律」（不正アクセス禁止法）によって規制され、違反した場合は懲役や罰金の対象となります。

参考：不正アクセス行為の禁止等に関する法律

被害が拡大している背景

アカウント乗っ取りの被害が増えている背景には、以下のような要因が指摘されています。

• 利用するWebサービスやクラウドサービスが増え、同じID・パスワードを使い回す利用者が多い
  ・過去に漏えいしたID・パスワードがダークウェブなどで取引されている
  ・フィッシングサイトやマルウェアの巧妙化により、認証情報が抜き取られやすくなっている
  ・リモートワークの普及で、社外端末や個人端末から業務システムへアクセスする機会が増えている

複数の要因が重なることで、個人と企業の双方で乗っ取り被害が起きやすい状況になっています。

フィッシング

フィッシングは、本物そっくりの偽サイトや偽メール、SMS（スミッシング）を使って利用者をだまし、ID・パスワードやワンタイムパスワード（OTP）を入力させて窃取する手口です。

近年は以下のような特徴が見られます。

• 大手金融機関・ECサイト・宅配業者・公的機関などをかたるメールやSMS
  ・HTTPS化された巧妙な偽サイト
  ・多要素認証のコードまで盗み取る「リアルタイムフィッシング」
  ・短縮URLや正規ドメインに似せた紛らわしいURLの使用

警察庁の発表でも、フィッシングはインターネットバンキングの不正送金被害の主要因の一つとされています。

参考：警察庁「サイバー空間をめぐる脅威の情勢等」

リスト型攻撃（クレデンシャルスタッフィング）

リスト型攻撃は、他のサービスから漏えいしたID・パスワードのリストを使い、別のサービスに対して大量にログインを試みる攻撃です。「クレデンシャルスタッフィング」とも呼ばれます。

同じID・パスワードを複数のサービスで使い回していると、1件の漏えいから連鎖的に他サービスのアカウントが乗っ取られる可能性があります。 攻撃者はBotを使って自動的にログイン試行を行うため、短時間で大量のアカウントが標的になります。

ブルートフォース攻撃・パスワードスプレー攻撃

ブルートフォース攻撃は、考えられるパスワードを総当たりで試す攻撃です。短いパスワードや単純な文字列ほど突破されやすい傾向があります。

これに対して、パスワードスプレー攻撃は、1つのIDに対して多数のパスワードを試すのではなく、「よく使われるパスワード」を多数のIDに対して試す手口です。アカウントロック機構を回避しながら、組織全体のアカウントを横断的に狙う特徴があります。

マルウェア・情報窃取型ウイルスによる認証情報の窃取

利用者の端末がマルウェアに感染すると、ブラウザに保存されたID・パスワードや、入力中のキー操作（キーロガー）、Cookie情報などが攻撃者に送信される場合があります。情報窃取型のマルウェア（インフォスティーラー）は、認証情報を効率的に抜き取ることに特化しているとされ、近年も継続的に確認されています。

ブラウザの自動ログインやセッション情報を奪われると、パスワードを変更しても、Cookieを使った継続ログインで侵入されるケースもあります。

SIMスワップ・SMS認証の悪用

SIMスワップは、攻撃者が通信事業者をだまして利用者のSIMを乗っ取り、SMS認証コードを受け取る手口です。海外では金融サービスや暗号資産取引所のアカウント乗っ取りで報告されており、SMSのみに頼った認証の脆さが指摘されています。

国内でも、SMS認証を悪用したフィッシングや、転送設定の悪用などのリスクが指摘されています。

ソーシャルエンジニアリング・サポート詐欺

技術的な攻撃だけでなく、人の心理を突く手口も存在します。代表的なものは次の通りです。

• 上司や取引先になりすました業務連絡を装い、パスワードや認証コードを聞き出す
  ・偽のセキュリティ警告（サポート詐欺）を表示し、リモート操作ツールを導入させてアカウントを奪う
  ・SNSのDMで「アカウントが侵害されています」と装い、ログインを促す

これらは技術的な対策だけでは防ぎきれず、社員教育や利用者向けの注意喚起が重要になります。

セッションハイジャック・Cookie窃取

セッションハイジャックは、ログイン済みのセッション情報やCookieを盗み取ることで、IDやパスワードを知らなくてもログイン中の状態を乗っ取る手口です。通信経路の盗聴、XSS（クロスサイトスクリプティング）、マルウェアによるブラウザ情報の窃取などが組み合わさるケースもあります。

個人で起こりうる被害

• ネットバンキングからの不正送金
  ・クレジットカード情報の悪用による高額決済
  ・ECサイトでの不正注文・ポイント詐取
  ・SNSの乗っ取りによる詐欺メッセージの配信、フォロワーへの被害拡大
  ・メール乗っ取りからの取引先や友人への二次被害
  ・個人情報・写真・連絡先情報の窃取

家族や友人、取引先など、本人の周囲にも被害が広がりやすい点が特徴です。

企業で起こりうる被害

• 業務システム（クラウド、SaaS）への不正アクセスと情報漏えい
  ・メールアカウント乗っ取りによるビジネスメール詐欺（BEC）
  ・SNS公式アカウント乗っ取りによる誤情報・不適切な投稿の発信
  ・顧客アカウントの乗っ取りに起因する補償対応・問い合わせ対応の増加
  ・ブランドイメージや信用の毀損
  ・不正アクセス・情報漏えいに関する報告義務や行政対応

特に、メールやID基盤のアカウントが乗っ取られると、社内システム全体への横展開やランサムウェア感染につながる可能性があります。

過去に報告されている被害の傾向

報道や行政機関の公表資料からは、次のような被害傾向が読み取れます。

• インターネットバンキングの不正送金は、フィッシングを起点としたケースが多い
  ・大手SNSや動画配信プラットフォームでも、リスト型攻撃による乗っ取りが発生
  ・クラウドサービスの不正アクセスにより、顧客情報や設計データなどが流出した事例が複数報告されている
  ・公式アカウントの乗っ取りで、不適切な投稿や詐欺URLの発信が行われた事例もある

具体的な事例については、各社・各機関の公表内容や、IPAの「情報セキュリティ10大脅威」などを参照すると、年度ごとの傾向を把握しやすくなります。

参考：IPA「情報セキュリティ10大脅威 2026」

個人ユーザー向けの初動対応

1. 当該サービスの他端末からログイン状況を確認する
2. パスワードを変更し、可能であれば全セッションの強制ログアウト機能を利用する
3. 多要素認証（MFA）が未設定であれば、新しい認証要素を登録する
4. 連絡先メールアドレス・電話番号・通知設定が改ざんされていないか確認する
5. 同じパスワードを使い回している他のサービスでも、速やかにパスワードを変更する
6. 金融サービスの場合は、カード会社や銀行の窓口に連絡して利用停止・モニタリングを依頼する
7. SNSやメールの場合は、家族・友人・取引先に「不審なメッセージが届いても応じないように」と注意喚起する

警察への相談が必要なケースでは、各都道府県警察のサイバー犯罪相談窓口の活用も検討します。

企業の担当者向けの初動対応

1. 該当アカウントを即時無効化、またはパスワードを強制リセットする
2. アクセスログ・操作ログを保全し、初動調査を進める
3. 影響範囲（情報漏えいの有無、他システムへの横展開）を確認する
4. 必要に応じて、社内の情報セキュリティ責任者・CSIRT・経営層に報告する
5. 個人情報保護委員会への報告や、顧客への通知が必要かを判断する
6. 被害が大きい場合や、内部だけで原因特定が難しい場合は、フォレンジック調査や外部専門サービスの活用も検討する

初動対応を遅らせると、被害規模が拡大したり、根本原因の特定が難しくなったりするおそれがあります。あらかじめ手順をマニュアル化し、社内で共有しておくことが重要です。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

パスワードの基本ルール

• サービスごとに異なるパスワードを設定する
  ・推測されにくい長めのパスワードにする
  ・名前・誕生日・電話番号など、推測可能な情報は避ける
  ・ブラウザの「保存しますか？」ダイアログだけに頼らず、信頼できるパスワード管理ツールの利用を検討する

多要素認証（MFA）の設定

ID・パスワードだけでなく、ワンタイムパスワード、認証アプリ、生体認証、ハードウェアキーなどの「複数の要素」で認証することで、パスワードが漏えいしても乗っ取りを防ぎやすくなります。

• 認証アプリ（TOTP）やパスキーは、SMS認証よりも安全性が高いとされている
  ・金融サービス、メール、SNS、クラウドサービスなど、重要なアカウントは優先的に設定する
  ・バックアップコードや再設定用の情報も安全な場所に保管する

フィッシング対策

• メールやSMSのURLは、すぐにタップせず、公式アプリやブックマークからアクセスする
  ・送信元のメールアドレス・ドメイン名を確認する
  ・ブラウザのアドレスバーで、正しいドメインかどうかを確認する
  ・「認証情報の再入力をお願いします」「アカウントが停止されました」などの不安をあおる連絡には特に注意する

端末・通信のセキュリティ

• OSやアプリ、ブラウザを最新の状態に保つ
  ・セキュリティソフトやスマートフォンの標準保護機能を有効にする
  ・フリーWi-Fiでは、重要なサービスへのログインを避けるか、信頼できるVPNを利用する
  ・不審なアプリやブラウザ拡張機能をインストールしない

定期的な確認

• 主要サービスのログイン履歴・端末一覧を定期的に確認する
  ・Have I Been Pwnedなど、自身のメールアドレスが漏えいしていないか確認できるサービスを活用する
  ・不要になったアカウントは退会・削除し、攻撃対象を減らす

ID管理・認証強化

企業のアカウント乗っ取り対策では、MFAの必須化、ID管理の一元化、不要アカウントの棚卸しを組み合わせることが重要です。

• 全社的にMFAを必須化し、特に管理者権限や機密データアクセスについては強い認証を求める
  ・SSO（シングルサインオン）やIDaaSを活用し、認証の一元管理と監査性を高める
  ・パスワードポリシーを整備し、使い回しや弱いパスワードを抑止する
  ・不要なアカウントや退職者アカウントを定期的に棚卸しし、放置されたアカウントを減らす

不正ログイン検知・モニタリング

• ログイン試行の異常検知（短時間の大量試行、海外IPからのアクセスなど）の仕組みを導入する
  ・リスクベース認証や、デバイス・位置情報を考慮した条件付きアクセスを設定する
  ・SIEMやログ管理基盤を活用し、認証ログを継続的に監視する
  ・アカウント乗っ取りの兆候（パスワード変更、認証要素の変更、メール転送設定の追加など）をアラート対象にする

メール・エンドポイント対策

• スパムフィルタやフィッシング対策機能を有効にし、DMARC・DKIM・SPFなどの送信ドメイン認証を整備する
  ・メールやファイル添付に対する従業員教育を継続的に行う
  ・エンドポイント保護（EDR等）を導入し、マルウェア感染による情報窃取を早期に検知・対応する

教育・運用ルール

• 全社員向けのセキュリティ研修やフィッシング訓練を定期的に実施する
  ・パスワード管理ツールやMFAの利用方法を、誰でも参照できるマニュアルとして整備する
  ・アカウント乗っ取り発生時の連絡フロー、初動対応、報告ルールを定めておく
  ・社外でも安全に業務できるよう、リモートワーク時のルールやデバイス管理ポリシーを整える

第三者によるリスク評価・診断

社内だけでリスクをすべて把握することは容易ではありません。攻撃者視点でのリスク確認や、自社環境の弱点把握には、外部の脆弱性診断やペネトレーションテストの活用も検討に値します。

Q1. 自分のアカウントが乗っ取られたかどうか、どうすれば確認できますか？

ログイン履歴や端末一覧、メールやSNSの送信履歴、決済・送金履歴などを定期的に確認することで、不正利用の兆候を把握しやすくなります。心当たりのない通知が届いた場合は、まず公式アプリやWebサイトからログインし、設定の変更履歴や通知設定を確認しましょう。

Q2. パスワードを変更すれば乗っ取りは解除されますか？

パスワード変更は基本的な対応ですが、それだけでは不十分なケースもあります。攻撃者がメール転送設定、認証アプリ、バックアップコードなどを書き換えている場合があるため、各種設定や認証情報の見直し、全セッションの強制ログアウトをあわせて実施することが重要です。

Q3. 多要素認証を設定していれば、乗っ取りはほぼ防げますか？

多要素認証は乗っ取り対策として有効ですが、「ほぼ防げる」と断言することはできません。リアルタイムフィッシングやマルウェアなど、認証コードや端末そのものを狙う手口も存在します。MFAに加えて、パスキーの活用、フィッシング対策、端末のセキュリティ管理など、複数の対策を組み合わせることが重要です。

Q4. 会社のメールアカウントが乗っ取られた場合、まず何をすべきですか？

まず該当アカウントを無効化またはパスワード強制リセットし、不審なメールの送信履歴・転送設定・自動応答設定を確認します。社内のセキュリティ責任者やCSIRT、IT部門に速やかに連絡し、影響範囲の調査と関係者への通知を進めることが重要です。被害規模や原因究明の難易度によっては、外部の専門サービスへの相談も選択肢になります。

Q5. アカウント乗っ取り対策で、最初に取り組むべきことは何ですか？

優先度が高いのは、重要なアカウント（メール、ネットバンキング、業務システム、SNS公式など）に対する多要素認証の設定と、パスワードの使い回しを止めることです。これらを進めるだけでも、リスト型攻撃や単純なパスワード総当たりへの耐性を高めやすくなります。