お店のInstagramが、ある日突然、自分では入れなくなる。投稿が全部消えている。あるいは、身に覚えのない広告が投稿されていて、フォロワーの方から「大丈夫ですか」と連絡が来る。
珍しい話ではなくなりました。ご相談としても伺いますし、地域のお店のアカウントが乗っ取られているのを実際に見かけます。
先に結論を書きます。乗っ取りのほとんどは、パスワードを破られて起きるのではありません。ご本人が、気づかないうちに渡してしまっています。ですから、対策も「複雑なパスワードにする」ではありません。
始まりは、たいてい1通のメッセージです
実際に届くものは、だいたい次の形をしています。読んでいただければ分かりますが、どれも「あなたのために知らせている」という顔をしています。
「著作権侵害の申し立てがありました」
24時間以内に異議申し立てをしないと、アカウントが削除されます——という内容。焦らせるのが目的です。
「アカウントの認証（青いバッジ）の対象に選ばれました」
申請はこちらから、とリンクが付いています。嬉しい知らせの形をとった罠です。
「投稿が規約に違反しています」
心当たりがあってもなくても、確認せずにはいられません。そこを突いてきます。
DMで「商品をご紹介したい」「コラボしませんか」
やり取りが自然で、何度か会話してからリンクを送ってくることもあります。
共通点は3つです。期限を切ってくる。公式そっくりの見た目である。そして、必ずリンクを踏ませようとする。
リンクの先には、本物と見分けのつかないログイン画面があります。そこにIDとパスワードを入れた瞬間、それが相手に届きます。パスワードがどれだけ複雑でも、自分で入力してしまえば意味がありません。
守り方は、ひとつだけです
覚えていただきたいのは、この一行だけで足りると思っています。
メールやDMのリンクからは、絶対にログインしない
本当に大事な通知であれば、アプリを開けば同じ内容が中に表示されます。だから、確認したくなったら、いったんそのメッセージを閉じて、いつも通りアプリを開いてください。それだけで、この手口はほぼ全部かわせます。
アプリの中に何も来ていなければ、そのメッセージは偽物です。
どうしてもリンク先を確認したい場合は、アドレスを見てください。ここでも見るのはいちばん最後のドットから右側です。前半に「instagram」「line」といった文字が入っていても、あてになりません。instagram-support.◯◯◯.com のような形になっていれば、それはInstagramではありません。
二段階認証は、面倒でも入れてください
万が一パスワードが渡ってしまっても、二段階認証が入っていれば、そこで止まります。これが最後の砦です。
- SMS（電話番号）より、認証アプリのほうが安全です。電話番号は乗っ取られることがあります
- バックアップコードは、必ず紙に印刷して保管してください。スマートフォンを失くしたとき、これが無いと自分も入れなくなります
- 設定場所は、Instagramなら「設定とプライバシー」→「アカウントセンター」→「パスワードとセキュリティ」です
10分あれば終わります。乗っ取られてから取り戻す手間と比べれば、比較になりません。
複数人で運用しているお店が、いちばん危ないです
ここは見落とされがちです。
スタッフ何人かでSNSを更新しているお店では、IDとパスワードそのものを共有していることがよくあります。休憩室のホワイトボードに書いてある、というお店も見たことがあります。
この状態には、2つの問題があります。ひとつは、共有された情報がどこまで広がっているか誰も把握できないこと。もうひとつは、辞めた方のスマートフォンにログインが残り続けることです。
いま確認できること
- ログイン中の端末を確認する。設定の中に「ログインアクティビティ」という項目があります。見覚えのない端末や、辞めた方の端末があれば、そこからログアウトさせられます
- 連携している外部アプリを見直す。予約サービスや分析ツールなど、過去に許可したまま忘れているものがあります。使っていないものは解除してください
- 登録メールアドレスを確認する。個人の私用アドレスや、辞めた方のアドレスになっていませんか。ここが乗っ取り時の生命線になります
- パスワード共有をやめる。Instagramにはアカウントを共有せずに複数人で管理する仕組みがあります。手間はかかりますが、一度整えれば済む話です
お気づきかもしれませんが、これはGoogleビジネスプロフィールのオーナー権限とまったく同じ構造です。「入れる人を絞る」「辞めた人を外す」「管理する仕組みを使う」。守り方は、どのサービスでも変わりません。
もし乗っ取られてしまったら
順番があります。慌てて全部やろうとすると、かえって時間がかかります。
- まだ入れるなら、すぐパスワードを変える。同時に「他の端末からログアウト」を実行してください。相手を締め出すのが先です
- 登録メールアドレスと電話番号を確認する。乗っ取られると、まずここが書き換えられます。変わっていた場合、多くのサービスでは元のアドレス宛に「変更されました」という通知が届いており、そこから取り消せることがあります。そのメールを消さないでください
- 入れないなら、各SNSの復旧手続きへ。「アカウントにアクセスできない場合」「ヘルプが必要な場合」といった入口があります。本人確認のために、身分証や自撮り動画を求められることがあります
- お客様に知らせる。これを後回しにしないでください。乗っ取り中は、フォロワーの方に詐欺のDMが送られていることがあります。別の手段——お店のサイト、店頭の貼り紙、他のSNS——で「当店のアカウントが乗っ取られています。DMに反応しないでください」と出してください
- 取り戻したあと、二段階認証を入れる。ここまでやって、ようやく終わりです
「復旧します」という業者にご注意ください
乗っ取り被害の投稿に、「アカウントを復旧できます」というコメントやDMが付くことがあります。その多くは、二次被害を狙ったものです。復旧を代行するために、あなたの認証コードを教えてほしいと言ってきます。それを渡せば、今度は完全に取られます。
復旧の窓口は、各SNSの公式ヘルプだけです。時間はかかりますが、それが唯一の道です。
最後に。SNSは、借りている土地です
これは乗っ取りに限った話ではありません。
アカウントが凍結される。仕様が変わって表示されなくなる。サービス自体が終わる。どれも、お店にはどうにもできません。そこに10年ぶんの投稿と、お客様とのつながりが全部乗っていたら、失うものが大きすぎます。
ですから、SNSをやめる必要はまったくありません。むしろ続けてください。ただ、お店の情報の「本体」は、自分の持ち物の側に置いておく。そのうえでSNSを使う。この順番だけ、頭の隅に置いていただければと思います。
営業用の言葉に聞こえたかもしれませんが、無料でできることも多くあります。まずは二段階認証と、ログイン端末の確認からで十分です。