Facebookアカウントが乗っ取られた|ログインできない状態からの復旧手順
サイト管理者「友達に身に覚えのない広告リンクが送られている」「自分の名前で勝手に投稿されている」「昨日まで使えていたのに、パスワードが違うと表示される」——Facebookの乗っ取り被害は、こうした形で発覚します。
Facebookの乗っ取りには、他のSNSと異なる2つの特徴があります。
ひとつは、専用の復旧フローが用意されていること。ログインできない状態でも、乗っ取り被害者向けの申請ルートが残されています。多くの方がこの入口を知らないまま、通常のパスワード再設定を繰り返して行き詰まっています。
もうひとつは、金銭被害に直結しやすいこと。Facebookには広告アカウントと決済情報が紐づいているため、乗っ取り犯が登録済みのクレジットカードで勝手に広告を出稿するケースがあります。数日で数十万円規模の請求が発生することも珍しくありません。
まずは、自分がどの段階にいるかを確認してください。まだログインできるなら、10分で侵入者を追い出せます。できないなら、専用の復旧フローへ進みます。
Facebookが乗っ取られたか確認するチェックリスト
身に覚えのないログイン通知・場所の記録
Facebookは、新しい端末や見慣れない場所からのログインを検知すると通知します。登録メールアドレスの受信箱を確認してください。
まだログインできる場合は、「ログインの場所」または「ログイン中のデバイス」を直接確認できます。
設定を開く
セキュリティに関する項目を開く
ログインの場所・デバイス管理に相当する項目を確認する
ここには、現在このアカウントにログインしている端末が、機種・おおよその場所・最終アクセス日時とともに一覧表示されます。自分が使っていない端末や、行ったことのない地域が表示されていれば、第三者が接続している状態です。
勝手に投稿・友達申請・グループ参加がされている
自分のプロフィールとアクティビティログを確認してください。
- 覚えのない投稿がタイムラインに公開されている
- 大量の友達申請が自分の名前で送信されている
- 知らないグループに参加している、あるいはグループへ投稿している
- 友達のタイムラインに、自分の名前で不審なリンクが投稿されている
勝手に広告が出稿されている
Facebook固有の、最も金銭被害が大きいパターンです。
広告マネージャを開き、次を確認してください。
- 出稿した覚えのない広告キャンペーンが動いていないか
- 登録している支払い方法(クレジットカード等)に、身に覚えのない請求がないか
- 広告アカウントに、知らない人物が管理者として追加されていないか
- 支払い上限額が引き上げられていないか
乗っ取り犯は、あなたの登録済みカードで詐欺サイトの広告を大量出稿します。発覚が遅れるほど被害額が膨らむため、乗っ取りを疑った時点で真っ先に確認すべき項目です。
登録メール・電話番号・パスワードが変更されている
設定画面で、登録メールアドレスと電話番号が自分のものであるかを確認してください。旧メールアドレスに変更通知が届いているはずなので、受信箱と迷惑メールフォルダの両方を確認します。
この変更通知メールは、後述する復旧の重要な手がかりになります。削除しないでください。
管理しているページの権限が変更されている
Facebookページを管理している場合、権限の変更を確認してください。
- 自分の管理者権限が削除・降格されていないか
- 知らないアカウントが管理者として追加されていないか
ページの管理権限を奪われると、そのページ経由での広告出稿や、フォロワーへの詐欺投稿が可能になります。事業でページを運用している場合、被害は個人アカウントにとどまりません。
「ログインの場所」で不審セッションを確認・削除する手順
まだログインできるなら、この画面から不審な接続をすべて終了させることができます。一覧から自分以外の端末を選択し、ログアウトさせてください。パスワード変更とセットで行うことが重要です。
Facebook乗っ取りの主な手口
フィッシング(偽通知メール・DM)
最も多い手口です。Facebook運営を装ったメールやMessengerのメッセージで、偽のログインページへ誘導します。
「あなたのアカウントはコミュニティ規定に違反しています。24時間以内に異議申し立てを行わない場合、アカウントは削除されます」
「著作権侵害の申し立てがありました。詳細の確認はこちらから」
期限を切って焦らせる構造が共通の特徴です。正規の通知が、メール内のリンクからパスワード入力を求めることは原則としてありません。
パスワードの使い回し攻撃
他のサービスから流出した認証情報を、そのままFacebookで試す攻撃です。あなた自身に落ち度がなくても、他社の情報流出事故に巻き込まれる形で被害に遭います。
不正な連携アプリ・診断系アプリ経由
「あなたの前世を診断」「友達ランキング」といった診断系アプリに、Facebookアカウントで連携した経験はないでしょうか。悪意のある事業者が運営している場合、連携を通じて投稿権限やプロフィール情報を握られます。
心当たりのない連携アプリは、すべて解除してください。過去に一度使っただけのアプリが、何年も権限を保持し続けているケースがあります。
友達アカウント経由のタグ付きスパム
乗っ取られた友達のアカウントから、あなたをタグ付けした投稿が行われ、そこに含まれるリンクを開かせる手口です。知人からの投稿という安心感を利用するため、警戒が緩みやすい経路です。
【まだログインできる場合】今すぐやるべき対処
順序が重要です。①→⑤の順で、できれば10分以内に実施してください。
① パスワード変更と全端末ログアウト
設定からパスワードを変更します。新しいパスワードは、他のサービスで一度も使っていない固有のものにしてください。英大文字・小文字・数字・記号を混ぜ、12文字以上が目安です。
そして必ず、全端末からのログアウトを実行してください。パスワードを変更しただけでは、すでに確立されている接続が残る場合があります。侵入者が接続したままなら、パスワードを変えても投稿や送信は続けられてしまいます。
Facebookでは、パスワード変更時に「他のすべての端末からログアウトする」という選択肢が提示されることがあります。必ずこれを選んでください。
② 登録メール・電話番号の確認と復元
侵入者が最初に狙うのがここです。変更されていれば、自分のものに戻してください。この作業は、ログインできている今しかできません。
あわせて、知らないメールアドレスが追加されていないかも確認してください。既存のアドレスを消さずに自分のアドレスを追加するという手口があり、これを見落とすと、後から再びパスワードをリセットされます。
③ 連携アプリの解除
設定から、連携している外部アプリの一覧を開いてください。心当たりのないもの、もう使っていないものは、すべて削除します。連携が残っていると、パスワードを変更しても投稿権限が維持される場合があります。
④ 広告マネージャ・支払い設定の確認
Facebook固有の、最も重要な項目です。金銭被害を止める作業なので、優先度は高く設定してください。
確認すべきは次の点です。
- 出稿されている広告キャンペーンの一覧——覚えのないものがあれば直ちに停止
- 支払い方法として登録されているカード——身に覚えのないものがあれば削除
- 請求履歴——不審な請求の有無と金額
- 広告アカウントの権限——知らない管理者が追加されていないか
- 支払い上限額——引き上げられていないか
不審な請求を発見したら、スクリーンショットを撮って記録を残してください。後の返金申請や、カード会社への連絡で必要になります。
⑤ 二段階認証の有効化
再侵入を防ぐ最も効果的な手段です。パスワードが漏れていても、認証コードがなければログインできなくなります。認証アプリを使う方式が、SMSより安全性の高い選択肢です。
| 対処 | 所要時間 | 優先度 |
| ① パスワード変更+全端末ログアウト | 約3分 | 最優先 |
| ② 登録情報の確認・復元 | 約3分 | 最優先 |
| ③ 連携アプリの解除 | 約3分 | 高 |
| ④ 広告・支払い設定の確認 | 約5分 | 最優先(金銭被害) |
| ⑤ 二段階認証の有効化 | 約3分 | 高 |
【ログインできない場合】専用復旧フローからの取り戻し方
締め出されている場合でも、Facebookには複数の復旧ルートが残されています。順に試してください。
乗っ取り専用の復旧ページにアクセスする
多くの方が知らない入口があります。
Facebookには、乗っ取り被害者専用の復旧ページとして facebook.com/hacked が用意されています。通常のパスワード再設定とは別の、専用フローです。
ここでは「アカウントが乗っ取られたと思われる」旨を申告し、状況に応じた復旧手順が案内されます。通常のログイン画面から進むより、このページから始めるほうが適切な導線に乗れます。
なお、Facebookの各種URLやページ構成は変更されることがあります。アクセスできない場合は、ヘルプセンターで「アカウントが乗っ取られた」「hacked」といった語で検索し、専用の申告フォームを探してください。
以前のパスワードでの本人確認
これは知られていない、しかし非常に有効な仕組みです。
復旧フローの中で、「以前使用していたパスワード」の入力を求められることがあります。乗っ取り犯が変更した後の現在のパスワードではなく、あなたが使っていた変更前のパスワードです。
なぜこれが本人確認になるのか——変更前のパスワードを知っているのは、正当な持ち主だけだからです。乗っ取り犯は現在のパスワードしか知りません。
したがって、乗っ取られた際は変更前に使っていたパスワードを必ず記録しておいてください。「もう使えないから」と忘れてしまうと、この有力な復旧手段を失うことになります。
本人確認書類の提出を求められた場合
復旧フローの中で、顔写真付きの公的身分証の提出を求められることがあります。ここでの注意点は、ロック解除時と共通です。
- 顔写真付きの公的身分証を選ぶ(運転免許証・パスポート等)
- 登録名と書類の氏名が一致することが必須
- 四隅が写り、文字が鮮明であること
- 有効期限内であること
- マイナンバーカードを使う場合、個人番号の記載面は提出しない
書類の選び方と撮影の詳細については、Facebookのロック解除を扱った記事で詳しく解説しています。
登録メールを変更されていた場合
ここが本記事で最も重要なテクニックです。
乗っ取り犯が登録メールアドレスを変更すると、Facebookは変更前のアドレス宛に通知メールを送ります。そしてその通知メールには、多くの場合、変更を取り消すためのリンクが含まれています。
「メールアドレスが変更されました。この変更に心当たりがない場合は、こちらから元に戻すことができます」
このリンクをクリックすれば、登録メールアドレスを元に戻し、アカウントへのアクセスを取り戻せる可能性があります。
ただし、注意点が2つあります。
このリンクには有効期限があります。発見が遅れると使えなくなります。
メールが迷惑メールフォルダに入っていることが多くあります。受信箱だけを見て「通知が来ていない」と判断しないでください。
乗っ取りに気づいたら、まず旧メールアドレスの受信箱と迷惑メールフォルダを、Facebookからのメールで検索してください。この一手で復旧できるケースが、実際に多くあります。
友達のアカウントから自分のプロフィールを通報してもらう方法
復旧フローの中で、「信頼できる連絡先」という仕組みが提示されることがあります。これは、あらかじめ設定しておいた友達に協力してもらい、本人確認を行う機能です。
事前に設定していた場合にのみ有効であり、乗っ取られてから設定することはできません。設定していれば、その友達に連絡し、復旧コードの受け取りを依頼してください。
一方、設定していない友達に「なりすまし」として通報してもらうことは推奨しません。あなたのアカウントに否定的な評価が積み上がり、状況を悪化させるおそれがあります。
審査期間と返信が来ない場合の対処
申請後、回答までには日数がかかります。送信直後に届くのは自動返信であり、審査結果ではありません。
返信が来ない場合は、まず申請時に指定した連絡先メールアドレスの誤りと、迷惑メールフォルダへの振り分けを確認してください。そのうえで一定期間が経過しても回答がない場合に限り、前回の申請日時を明記して再度連絡します。同じ内容の連投は処理を滞らせるだけなので避けてください。
友達・ページ・広告への二次被害を止める
復旧作業と並行して、被害の拡大を止める作業が必要です。
友達への注意喚起テンプレ文
Facebookが使えない以上、他のSNS、メール、電話など別の手段で伝える必要があります。
【重要なお知らせ】 20XX年X月X日頃より、私のFacebookアカウントが第三者に乗っ取られています。 その間、私のアカウントから外部サイトへのリンクを含む投稿・Messengerのメッセージ・友達申請が送信されている可能性があります。すべて私が発信したものではありません。リンクは絶対に開かないでください。 すでにリンクを開き、ログイン情報を入力してしまった方は、直ちにご自身のパスワードを変更し、二段階認証を設定してください。 ご迷惑をおかけし、申し訳ありません。復旧でき次第、あらためてご報告いたします。
リンクを開いてしまった人への具体的な指示を含めることが重要です。「気をつけてください」だけでは、すでに情報を入力した人が次に何をすべきか分かりません。
不正出稿された広告の停止と返金申請
金銭被害が発生している場合、対応は時間との勝負です。
まず、証拠を保全してください。
- 不正な広告キャンペーンの画面(キャンペーン名・出稿期間・消化金額が写るように)
- 請求履歴の画面(日付・金額・支払い方法が分かるもの)
- 支払い方法の設定画面(登録されているカード情報)
- 広告アカウントの権限一覧(知らない管理者が追加されている場合)
そのうえで、次を並行して進めます。
広告の停止——アカウントを取り戻せたら、直ちに配信を停止します
支払い方法の削除——登録カードを削除し、追加の請求を止めます
カード会社への連絡——不正利用として申告します。カード会社への連絡は、Facebookの対応を待たずに行ってください。カード会社側には独自の不正利用対応の仕組みがあります
Facebookへの申告——不正アクセスによる出稿である旨を、記録を添えて申告します
返金が認められるかどうかは、Facebookおよびカード会社の判断によります。確約はできませんが、記録が揃っているほど主張の裏づけは強くなります。だからこそ、証拠保全を先に行うことが重要です。
管理ページの権限を取り戻す
ページの管理権限を奪われた場合、他の管理者が残っていれば、その人から権限を復旧できる可能性があります。
- 他の管理者に連絡し、不正に追加された管理者を削除してもらう
- あなたの権限を再付与してもらう
他の管理者が誰もいない場合、ページの復旧には個人アカウントの復旧が前提となります。この構造こそが、複数管理者体制を推奨する理由です。
Instagramへの波及確認
FacebookとInstagramをアカウントセンターで連携している場合、Facebookの乗っ取りがInstagramにも波及します。
Instagramにログインできるか、登録情報が変更されていないかを確認してください。両方が同時に被害を受けている場合は、復旧の順序に戦略が必要になります。この複合被害については、アカウントセンター連携を扱った記事で詳しく解説しています。
乗っ取りを防ぐ予防設定
二段階認証(最重要)
これ一つで、乗っ取りリスクの大半を排除できます。パスワードが漏れていても、認証コードがなければログインできません。認証アプリを使う方式が、SMSより安全性の高い選択肢です。
ログインアラートの設定
見慣れない端末からのログインがあった際に、通知を受け取る設定です。通知が届かなければ、侵入に気づく機会そのものが失われます。登録メールアドレスが現在使っているものかどうかも、あわせて確認してください。
信頼できる連絡先の登録
あらかじめ信頼できる友達を指定しておき、アカウントにアクセスできなくなった際に、その友達を通じて復旧するという仕組みが用意されていた時期があります。
ただし、この機能の提供状況は変更されており、現在は設定画面に見当たらない場合があります。設定項目が存在するかどうかは、ご自身のアカウントで確認してください。
この機能に依存するのは危険です。現在確実に機能する備えは、次の3つです。
- 二段階認証を設定し、バックアップコードを別の場所に保管しておく
- 登録メールアドレス・電話番号を、現在使えるものに保っておく
- 登録メールアドレスの受信箱を、日常的に確認する習慣をつける
とくに3番目は、前章で解説した「変更を取り消す」リンクを見逃さないための備えです。どんな機能よりも、この習慣が復旧の可能性を高めます。
連携アプリの定期棚卸し
過去に一度使っただけの診断アプリやゲームが、権限を保持し続けていることがあります。半年に一度は連携アプリの一覧を確認し、使っていないものを解除する習慣をつけてください。
Facebookの乗っ取りを自力で取り戻せないときの相談先
Facebookの乗っ取りで自力復旧が難しいケースの特徴
次のような状況では、一般的な手順だけでは解決が困難です。
- 登録メールアドレス・電話番号の両方を書き換えられている
- 変更通知メールの取り消しリンクが、有効期限切れで使えない
- 本人確認書類を複数回提出したが、いずれも却下されている
- 広告費の不正請求が進行中で、被害額が拡大している
- 事業用のページ・広告アカウントを奪われ、営業に支障が出ている
- 復旧申請を複数回行ったが、定型の回答のみで進展がない
Facebookの乗っ取りを専門家に依頼する場合の流れと費用感
行政書士など書類作成を業とする実務家に相談した場合、対応範囲は主に次のとおりです。
状況のヒアリングと、残された復旧ルートの整理
被害の時系列整理と、証拠保全の方法の助言
申請文書の作成支援と、本人性を裏づける材料の洗い出し
金銭被害が生じている場合の、記録の整理と申告準備
必要に応じた警察相談・被害届提出の準備
一方で、復旧の可否を決めるのはFacebook側であり、結果を保証できる事業者は存在しません。「必ず取り戻せます」と説明する業者、「ハッキングで奪還する」と説明する業者への依頼は避けてください。後者は不正アクセス禁止法に触れる行為であり、依頼した側もリスクを負うことになります。
Facebookの乗っ取りに関するよくある質問
Q1. 乗っ取り犯に登録カードで勝手に広告を出されました。返金されますか?
返金が認められるかどうかは、Facebookおよびカード会社の判断によります。確約はできません。ただし、次の対応を早期に行うことで、主張の裏づけは強くなります。
- 不正な広告キャンペーンと請求履歴のスクリーンショットを保全する
- カード会社に不正利用として連絡する(Facebookの対応を待たない)
- Facebookへ、不正アクセスによる出稿である旨を記録を添えて申告する
- 被害額が大きい場合は、警察への相談も検討する
カード会社への連絡は最優先です。カード会社側には独自の不正利用対応の仕組みがあり、Facebookの審査とは別に進みます。
Q2. 復旧までどのくらいかかりますか?
状況によって大きく異なります。変更通知メールの取り消しリンクが使えれば即日、本人確認書類の提出が必要なら数日以上かかることもあります。明確な日数は公表されていません。待っている間に同じ申請を繰り返さないでください。処理が滞る原因になります。
Q3. アカウントを消された場合、復元できますか?
削除された場合でも、一定期間内であれば復元できる可能性があります。削除の申請から実際の完全削除までには猶予期間が設けられているためです。気づいた時点ですぐに復旧申請を行ってください。時間の経過が、そのまま可能性を減らします。
Q4. 警察に相談すべきですか?
広告費の不正請求など金銭被害が発生している場合は、相談すべきです。緊急でなければ警察相談専用電話#9110、各都道府県警のサイバー犯罪相談窓口が入口になります。相談前に、被害の時系列メモ、請求履歴、スクリーンショットを揃えておくと手続きが円滑です。
なお、警察は捜査機関であり、アカウントの復旧を行う機関ではありません。復旧申請と並行して進める、という位置づけで考えてください。
Q5. 乗っ取られたことは友達に通知されますか?
Facebookから友達へ、あなたのアカウントが乗っ取られた旨が自動的に通知されることは通常ありません。したがって、注意喚起はあなた自身で行う必要があります。別の連絡手段で早めに伝えてください。
Q6. MessengerだけでもDM履歴を確認できますか?
MessengerはFacebookアカウントと連動しているため、アカウントが乗っ取られている状態では、Messengerにもアクセスできないのが通常です。ただし、別の端末でMessengerのログイン状態が維持されている場合、そこから確認できることがあります。使っていないタブレットや古いスマートフォンがあれば、確認してみる価値があります。
まとめ
Facebookの乗っ取りからの復旧には、3つのルートがあります。
専用復旧ページ(facebook.com/hacked)——乗っ取り被害者向けの専用フロー。通常のパスワード再設定とは別の導線です。
変更通知メールの取り消しリンク——旧メールアドレスに届いた通知から、変更を取り消せる場合があります。有効期限があるため、迷惑メールフォルダも含めて今すぐ探してください。
以前のパスワードによる本人確認——変更前のパスワードを知っているのは正当な持ち主だけ。有力な本人確認材料になります。
そして、Facebook固有の最重要事項がもうひとつ。
広告・決済被害の早期遮断です。
登録済みのカードで勝手に広告を出稿されると、被害は日単位で拡大します。乗っ取りを疑った時点で、広告マネージャと請求履歴を確認してください。不正な請求を発見したら、Facebookの対応を待たず、カード会社へ直ちに連絡する。これが被害を最小化する最も確実な行動です。
復旧できた後は、二段階認証の設定と、信頼できる連絡先の登録を必ず行ってください。とくに後者は、次に同じことが起きたときの保険になります。
