会社のSNS公式アカウントが乗っ取られたら？不正アクセスの4分の3が「人とパスワードの管理」という現実と、なりすましを7日以内に削除申請できる情報流通プラットフォーム対処法【中小企業向け】

結論から申し上げます。
警察庁が2026年3月に公表した令和7年（2025年）の統計で、不正アクセスに使われたID・パスワードの入手経路のうち、およそ4分の3が「人とパスワードの管理」に関わるものでした。内訳は、パスワードの設定・管理の甘さ、フィッシング、他人からの入手、そして元従業員や知人による犯行です。
一方で、スパイウェアなどのプログラムを使った入手はわずか3件、システムの脆弱性を突く攻撃も8件しかありませんでした。

そして同じ統計で、不正に利用されたサービスの第2位が「コミュニティサイト」（SNS等）で92件です。
つまりSNSアカウントの乗っ取りは、高度な攻撃で破られているのではなく、パスワードの持ち方と、権限を持っている人の管理という、きわめて事務的なところで起きています。

この記事では、警察庁・総務省・IPAの一次資料をもとに、会社のSNS公式アカウント（X・Instagram・Facebook・LINE公式アカウントなど）を中小企業がどう守ればよいかを整理します。
あわせて、2025年4月1日に施行された「情報流通プラットフォーム対処法」で、乗っ取り投稿やなりすましアカウントの削除を、原則7日以内の回答つきで申し出られるようになった点も、実際の申出窓口のURLまで含めて解説します。

▶ 関連記事：インフォスティーラー（情報窃取型マルウェア）とは？ブラウザ保存のパスワードとCookieが盗まれる手口

会社のSNS公式アカウントは、いま誰が管理していますか？

最初に確認していただきたいのは、技術的なことではありません。
「そのアカウントに、いま何人がログインできるのか」を即答できるかどうかです。

社内のパソコンやファイルサーバーであれば、資産台帳や管理ソフトで把握している会社が多いと思います。ところがSNSの公式アカウントは、社内に機器がなく、契約書もなく、多くの場合はIT部門を通さずに広報や営業の担当者が開設しています。
この「社外にあって、社内の管理から外れている」という性質が、そのままリスクになります。

表の最後の行が、この記事のいちばん大事な前提です。
SNSアカウントは「守るソフトを入れる場所」がありません。守れるのは、パスワードの持ち方、権限を持つ人の数、そして担当者が使っている端末の3つだけです。

そもそも何アカウントありますか、という問題

実務でよくあるのは、次のような状態です。

• 数年前のキャンペーンで作ったまま、誰も見ていないアカウントが残っている
• 店舗ごとにアカウントがあり、本社は全部を把握していない
• 退職した担当者が個人のメールアドレスで登録したアカウントがある
• 採用広報用のアカウントを人事が別に持っている
• 広告配信用のアカウントが、通常の投稿用とは別に存在する

放置されたアカウントは、誰も見ていないぶん乗っ取られても気づかれません。
そして乗っ取られたときに困るのは、投稿されている会社名とロゴが本物であることです。見ている人にとっては、放置アカウントも現役のアカウントも同じ「その会社の公式」です。

乗っ取られると、実際には何が起きる？

「フォロワーが減るくらいでは」と考えられがちですが、被害は社外に向かって広がります。
SNSの公式アカウントは、会社が持っている資産のなかでもっとも多くの人に、もっとも速く届く手段だからです。

とくに注意が必要なのは広告アカウントです。
SNSの広告は、あらかじめクレジットカードなどの支払い方法を登録して使う仕組みなので、乗っ取られると投稿だけでなく、そのまま金銭的な支出が発生します。投稿を消すことはできても、配信されてしまった広告費は簡単には戻りません。

さらにやっかいなのは、被害が「自社の損害」で終わらないことです。
自社のアカウントから送られた詐欺の案内で顧客がお金を失った場合、その顧客から見れば、きっかけを作ったのは自社です。
Webサイトが改ざんされて訪問者にマルウェアを配ってしまう構図と、まったく同じことがSNSでも起こります。

乗っ取りは、自分ではなく「外から」知らされる

総務省の「国民のためのサイバーセキュリティサイト」には、公式アカウントが乗っ取られた事例が掲載されています。
有名なゆるキャラのSNSアカウントが乗っ取られ、さらに偽アカウントまで作られたという事例です。

注目したいのは、乗っ取りが判明したきっかけです。自社の監視ではなく、フォロワーからの報告でした。
その結果、旧アカウント・新しく作り直したアカウント・偽アカウントの3つが同時に存在する状態になり、同サイトの記述によれば2万人以上いたフォロワーが大混乱に陥る事態になっています。

この事例が示しているのは、乗っ取りの第一報は社外から届くという現実です。
「変な投稿が出ています」という指摘を、誰がどこで受け取り、誰に伝えるのか。その道筋が決まっていないと、社外の人が気づいてから社内が動き出すまでに何時間もかかります。
SNSのDM・問い合わせフォーム・電話のいずれで指摘が来ても、すぐに広報責任者へつながる連絡先を決めておいてください。これは0円でできます。

同サイトが挙げている対処法と予防法も、内容は非常にシンプルです。
対処法は「アカウントの停止をSNSサービス提供者へ速やかに依頼しましょう」、予防法は「簡単なパスワードを利用しないようにしましょう。また極力、多要素認証を設定するようにしましょう」。
国が公式に示している予防法も、結局はパスワードと多要素認証の2つです。

▶ 関連記事：Webサイト改ざんとは？報告が2倍に増えた2026年の手口と「自分では気づけない」理由

SNSアカウントは、どうやって乗っ取られている？

ここからは推測ではなく、実際の統計で確認します。
国家公安委員会・総務大臣・経済産業大臣が2026年3月12日に公表した「不正アクセス行為の発生状況」（令和7年＝2025年分）が一次資料です。

まず全体の規模です。令和7年の不正アクセス行為の認知件数は7,190件で、前年より1,832件（約34.2％）増えました。
過去5年では、令和3年1,516件、令和4年2,200件、令和5年6,312件、令和6年5,358件、そして令和7年7,190件と推移しています。

不正に利用されたサービスの第2位が「コミュニティサイト」

検挙された不正アクセス行為のうち、他人のID・パスワードを使う「識別符号窃用型」は399件でした。この399件を不正に利用されたサービス別に見ると、次のようになります。

SNSなどのコミュニティサイトは、社内システムに次ぐ第2位です。
しかもこの数字は、警察が検挙した事件に限った件数です。被害に気づいていない、あるいは届け出ていないケースはこれに含まれていません。

また、不正アクセスされたあとに何をされたかという切り口では、次の数字が出ています。

金額の大きさではインターネットバンキングが圧倒的ですが、「知人になりすましての情報発信」が72件ある点に注目してください。
これは、乗っ取ったアカウントを使って、その人を信用している相手に近づくという手口です。会社の公式アカウントで同じことをされれば、相手は取引先や顧客になります。

入手経路の4分の3は「人とパスワードの管理」

そして、この記事のいちばんの核心が次の表です。
識別符号窃用型399件について、攻撃者がどうやってID・パスワードを手に入れたかの内訳です。

上位4つ（パスワードの管理の甘さ84件、フィッシング77件、他人から入手75件、元従業員や知人61件）を足すと297件で、399件のうち約74％を占めます。
一方、スパイウェア等のプログラムを使った入手はわずか3件、システムの不備を突く「セキュリティ・ホール攻撃型」も8件しかありません。

つまり、SNSアカウントの乗っ取りは高度なハッキングで破られているのではありません。
パスワードが弱い、使い回している、誰かに教えている、辞めた人がまだ知っている。この4つがほとんどです。
裏を返せば、お金をかけずに減らせる部分が非常に大きいということでもあります。

なお、フィッシングによる入手は前年の41件から77件へとほぼ倍増しています。
同じ資料には、生成AIを一部悪用して大手ECサイトを模したフィッシングサイトを構築し、識別符号不正要求行為で検挙された事例も挙げられています。「日本語が不自然だから偽物だと分かる」という見分け方は、もう当てにできません。

▶ 関連記事：生成AIを悪用したフィッシング攻撃の実態｜従来型対策では防げない理由と最新対策

「うちのような小さな会社は狙われない」は成り立つか

同じ資料には、検挙された被疑者の年齢も載っています。
最も多いのは20〜29歳（91人・36.7％）、次いで14〜19歳（81人・32.7％）で、補導された者を含めると最年少は10歳でした。

実際の検挙事例としては、SNSで結びついた14歳から16歳の中高生3人が、不正に入手したID・パスワードで通信事業者のサーバーにアクセスし、eSIMを不正取得して販売していた、というものが挙げられています。
攻撃者は必ずしも組織化された集団ではなく、狙う相手を選んでいるわけでもありません。ログインできてしまうアカウントが見つかったから入る、という順序です。

ウイルス対策ソフトを入れていれば防げる？

防げる部分と、防げない部分がはっきり分かれます。
SNSアカウントの乗っ取りは「端末で起きること」と「アカウント側で起きること」の2つに分かれるためです。

4つのうち、ウイルス対策ソフトが正面から止められるのは1つだけです。
残りの3つは、パスワードの持ち方と権限管理という運用側の話になります。

パスワードを盗む前に、ログイン済みの状態そのものが盗まれる

もう一段やっかいなのが、認証情報を盗むタイプのマルウェア（インフォスティーラー）です。
このマルウェアは、ブラウザに保存されたIDとパスワードだけでなく、「ログイン済みであることを示すCookie（セッション情報）」まで持ち出します。

盗まれたセッション情報を攻撃者の端末に貼り付けると、ID・パスワードの入力も、多要素認証の確認も通らずに、ログイン済みの状態から始められてしまいます。
「多要素認証を入れてあるから大丈夫」が崩れるのは、この経路です。

この場合、パスワードを変えるだけでは足りません。
多くのSNSには「すべての端末からログアウトする」「アクティブなセッションを終了する」という設定があります。パスワードの変更と同時にこれを実行しないと、盗まれたセッションが生き続けます。

似た経路として、リアルタイム型のフィッシングもあります。
偽のログイン画面に入力されたIDとパスワードを、攻撃者がその場で本物のサイトに転送し、続けて表示される認証コードの入力欄まで用意しておく手口です。利用者が認証コードを入れた瞬間に、攻撃者がそれを使ってログインしてしまいます。
認証コードを「入力させられている」ので、多要素認証を入れていても通ってしまいます。

SNSの担当者は、広報や店舗のスタッフであることが多く、会社が配ったパソコンではなく個人のスマートフォンから投稿しているケースも珍しくありません。
その端末が守られていなければ、アカウント側でいくら設定を固めても穴が残ります。

▶ 関連記事：私物スマホの業務利用（BYOD）のリスクと社内ルールの作り方

いちばん抜けやすいのは「担当者が辞めたあと」？

先ほどの表で、静かに大きな数字を占めていたのがこの項目です。

識別符号を知り得る立場にあった元従業員や知人等による犯行 …… 61件
（国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況」令和8年3月12日公表）

399件中61件ですから、およそ6件に1件です。
外部の攻撃者ではなく、かつてそのパスワードを正当に知っていた人による不正アクセスが、フィッシングに迫る規模で発生しています。

SNSの公式アカウントは、この問題がとくに起きやすい条件を揃えています。

• パスワードを担当者どうしで共有していることが多い
• 共有しているので、1人が辞めても変更が必要だと気づきにくい
• 退職手続きのチェックリストに「SNSの権限を外す」が入っていない
• そもそも誰が権限を持っているかの一覧がない
• IT部門が管理していないので、退職連絡が届かない

社内システムであれば、退職と同時にアカウントを止める手順が決まっている会社は多いはずです。
ところがSNSは、止める対象が社内になく、止める担当者も決まっていません。

退職者による不正アクセスは、「悪意のある元社員」だけの話ではありません。
退職者本人に悪意がなくても、その人の私物端末に会社のSNSのパスワードが残っていて、その端末がマルウェアに感染すれば、同じ結果になります。退職時にパスワードを変えるという行為は、元社員を疑う行為ではなく、元社員を巻き込まないための手続きです。

▶ 関連記事：退職者のアカウント、ちゃんと削除していますか？情報漏洩リスクを解説

いま、そのアカウントには何人がログインできますか？

SNSの公式アカウントには、社内システムと同じように権限の仕組みが用意されています。
ところが、それを使っていない会社が非常に多いというのが実情です。

使っていないというのは、次の状態を指します。

• 1つのID・パスワードを担当者全員で共有している
• 担当者の個人アカウントに公式アカウントが紐づいたままになっている
• 権限の一覧を見たことがない

この状態だと、誰が投稿したのかを後から特定できません。
乗っ取りが疑われたときに、「本当に外部の犯行か、社内の誰かの操作ミスか」すら切り分けられない、ということです。

LINE公式アカウントは「100人まで」登録できてしまう

LINEヤフーの公式マニュアル（2026年4月24日更新）には、権限管理の仕様として次の記載があります。

※権限の種類を問わず1アカウントに対して100人までメンバーの登録が可能です
※ユーザーが管理できるアカウントは100個までです
※認証用URLは発行から24時間失効するのでご注意ください
※一回の発行につき一人のユーザーのみ有効です。認証URLは使い回しはできません
（LINEヤフー「LINE公式アカウント　権限設定」マニュアルより）

100人まで登録できるということは、10年運用していれば、歴代の担当者・代理店・制作会社が積み上がっている可能性があるということです。
認証用URLの発行が1人1回・24時間限定という点は安全側の設計ですが、一度入った人を外す作業は自動では行われません。

見落としやすいのは「グループ経由の権限」

同じマニュアルには、もう一つ重要な記載があります。

※グループに追加されたLINE公式アカウントは、グループでの一括操作の対象になります。
グループの権限を持つユーザーは、権限に応じて各LINE公式アカウントの設定変更やメッセージ配信などの利用も可能です。
（LINEヤフー「LINE公式アカウント　権限設定」マニュアルより）

つまり、個別アカウントの権限一覧に名前がなくても、グループ側の権限を持っていれば操作できるということです。
複数店舗・複数ブランドでアカウントを運用している会社は、個別アカウントの権限だけでなく、グループの権限も必ず確認してください。

個人アカウントに紐づいたままになっていないか

FacebookページやInstagramのビジネスアカウントは、作った人の個人アカウントに直接ぶら下がったままになっていることがあります。
この状態には2つの問題があります。

1. その個人アカウントが乗っ取られると、会社の公式ページも同時に失われる
2. その人が退職したときに、会社側から権限を切り離せない（本人の協力が必要になる）

組織用の管理単位を作り、そこに公式ページ・Instagramアカウント・広告アカウントをひも付けたうえで、個々の担当者には「役割」として必要な権限だけを与えるのが本来の形です。
この作業自体に費用はかかりません。

▶ 関連記事：IDaaS（アイダース）とは？SSO・ID管理ツールの比較と費用相場・選び方

乗っ取られた投稿や偽アカウントは、どこに削除を申し出る？

ここからは「起きてしまったあと」の話です。
以前は、プラットフォーム事業者に削除を求めても、返事が来るのかどうかも分からないという状態でした。
これが2025年4月1日から変わっています。

2024年5月に成立した法改正により、従来の「プロバイダ責任制限法」は「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律」（通称：情報流通プラットフォーム対処法／情プラ法）に題名が変わり、大規模なプラットフォーム事業者に対して、削除対応の迅速化と運用状況の透明化が義務づけられました。

そして、この「一定期間」が総務省令で明確化されています。

削除申出に対する判断・通知までの「一定期間」の明確化（７日間）
（総務省「情報流通プラットフォーム対処法の施行に係る省令・ガイドラインの策定」令和7年3月11日公表）

申し出れば、原則7日以内に「削除したか／しなかったか（しなかった場合はその理由）」が通知されます。
以前のように、送ったきり音沙汰がないという状態にはなりません。
これは中小企業にとって非常に大きな変化です。弁護士に依頼しなくても、まず自社で申し出て回答を得るところまで進められます。

対象になっているのは、どの会社のどのサービス？

この義務がかかるのは、総務大臣から指定を受けた「大規模特定電気通信役務提供者」です。
指定要件は総務省令で平均月間発信者数1,000万人などと定められています。

2025年4月にGoogle LLC、LINEヤフー株式会社、Meta Platforms, Inc.、TikTok Pte. Ltd.、X Corp.の5社が、続いて2025年5月に株式会社ドワンゴ、Pinterest Europe Limited、株式会社サイバーエージェント、株式会社湘南西武ホームの4社が指定され、現在は計9社が対象です。

さらに総務省は、法第21条にもとづいて各社から届け出られた削除申出窓口のURLを一覧で公表しています。
企業のSNS公式アカウントに関係するものを抜き出すと、次のとおりです。

この一覧を、事故が起きる前に社内で共有しておいてください。
乗っ取られてから探し始めると、検索結果に出てくる代行業者の広告に紛れて、正規の窓口にたどり着くまでに時間を失います。

情プラ法の対象にならないサービスもある

ここは正確に押さえておく必要があります。
指定されているのは会社単位ではなく、届け出られたサービス単位です。

LINEヤフー株式会社は指定事業者ですが、総務省が公表している対象サービスはYahoo!知恵袋・Yahoo!ファイナンス・LINEオープンチャット・LINE VOOMの4つです。
企業が使うLINE公式アカウント自体は、この一覧に載っていません。
LINE公式アカウントのなりすましや乗っ取りは、情プラ法の削除申出窓口ではなく、LINEヤフーの通常のサポート窓口から申告することになります。「7日以内の回答」という法律上の枠組みは、そこには適用されません。

この違いは、対応の見通しを立てるうえで実務的に重要です。
自社がどのSNSを使っているかによって、いざというときに使える手続きが変わります。

なりすましアカウントは、どの権利を根拠に削除を求められる？

削除を申し出るときには、「どの権利が侵害されているか」を示す必要があります。
ここで参考になるのが、総務省が定めた「情報流通プラットフォーム対処法第26条に関するガイドライン」です（令和7年3月11日制定、令和7年9月25日改定、令和8年8月6日改定）。

このガイドラインは、プラットフォーム事業者が削除の判断をするときに、どの権利・利益が対象になるのかを整理したもので、名誉権・名誉感情・プライバシー・私生活の平穏・肖像権・氏名権・パブリシティ権・著作権及び著作隣接権・商標権・営業上の利益の10類型が挙げられています。
このうち、企業のなりすまし被害で使えるのは主に次の4つです。

自社のロゴをアイコンに使われたら、それは商標権の問題

同ガイドラインの商標権の項目には、SNSのアカウントを名指しした記述があります。

上記の「使用」に当たる行為のうち、特定電気通信による情報の流通において考えられるものとしては、例えば、役務を提供するために標章を役務提供者のアカウント名やアカウント画像等に用いる行為や、標章が付された商品の写真をウェブページ上に掲載して広告情報を提供する行為、その他の商品や役務に関する広告等を内容とする情報に標章を付してウェブページ上で表示する行為が挙げられる。
（総務省「情報流通プラットフォーム対処法第26条に関するガイドライン」より）

「アカウント名やアカウント画像等に用いる行為」が、国のガイドラインで商標権侵害の例として明示されています。
つまり、自社のロゴを勝手にアイコンにした偽アカウントは、「なんとなく紛らわしい」ではなく商標権侵害として削除を申し出られるということです。

ただし、この根拠が使えるのは商標を登録している場合です。
自社の社名やサービス名を商標登録しているかどうかを、事故が起きる前に確認しておいてください。登録していない場合でも、営業上の利益や名誉権を根拠にできる余地はありますが、商標権のほうが主張の筋道が明快です。
個別の判断は専門家（弁護士・弁理士）へのご相談をおすすめします。

「なりすまし広告」は刑法にも触れうる

同じガイドラインには、なりすまし型の偽投資広告についての記述もあります。
他人の名義を無断で使って虚偽の実績を表示する広告は、偽造私電磁的記録文書等行使の罪（刑法第161条第1項、第159条第1項第2号・第3項）に当たり得るとされています。

実在する著名人の同意を得ることなく、当該著名人の名前を使用するなどして、当該著名人になりすまし、当該著名人が名義人となった前記①で例示したような広告 …… は、「偽造」に該当し得る。
ＳＮＳ上に前記①及び②に該当する電磁的記録文書等を掲載する行為は、「行使」に該当し得る。
（総務省「情報流通プラットフォーム対処法第26条に関するガイドライン」より）

この記述は著名人を想定したものですが、自社の名義を騙って虚偽の実績を掲げる広告は、単なるマナー違反ではなく刑事上の問題になりうるという位置づけが、国のガイドラインで示されているという事実は、削除を申し出るときの後ろ盾になります。

なお、プラットフォーム事業者が削除に応じる義務の根拠として、同ガイドラインは「条理上の作為義務」という考え方も示しています。その根拠は、権利侵害情報の発信に使えるサービスを提供しているという「先行行為」、削除すれば被害者を救済できるという「作為の可能性」、事業者以外に状況を改善できる者がいないという「排他的支配性」の3つです。
削除を申し出るのは、お願いではなく、制度に用意された手続きだと考えて構いません。

顧客に被害が出たら、報告義務はある？

SNSアカウントの乗っ取りは、単なる広報上のトラブルで終わらない場合があります。
判断の分かれ目は、ダイレクトメッセージなどに含まれる個人情報が読まれた（読まれたおそれがある）かどうかです。

個人情報保護法では、不正の目的をもって行われたおそれがある行為による漏えい等は、たとえ1人分であっても個人情報保護委員会への報告対象になります。
報告は速報（おおむね3〜5日以内）と確報（不正の目的による場合は60日以内）の2段階で、本人への通知も必要になります。

SNSのDMには、氏名・連絡先・注文内容・クレーム内容といった個人情報が残っていることが少なくありません。
乗っ取られた時点で、それらが読まれたおそれがある状態になります。
「投稿を消して終わり」ではなく、DMに何が残っていたかの確認まで含めて対応を組み立ててください。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行の新法

また、乗っ取られたアカウントから詐欺の案内が送られた場合は、それを見た顧客・取引先への告知も必要になります。
「当社のアカウントが第三者に不正利用され、◯月◯日◯時から◯時のあいだに投稿・送信された内容は当社のものではありません」という事実の告知を、自社サイトなど別の経路で出せるようにしておくのが現実的です。

費用をかけずに、今日できることは？

ここまで見てきたとおり、乗っ取りの原因の約74％は「人とパスワードの管理」です。
そこは、お金ではなく手間で減らせる領域です。

12項目すべてが0円で、合計しても2日かかりません。
そして、この12項目で潰せるのは、統計上の原因の大半を占める部分です。製品を検討する前に、まずここを終わらせてください。

2要素認証を入れると、担当者が複数いる運用は回らなくなる？

よくいただく懸念です。結論から言うと、回ります。
回らなくなるのは「1つのIDを全員で共有していて、認証コードが1台のスマートフォンにしか届かない」という設計にした場合だけです。

解き方は2つあります。

1. 担当者ごとにアカウントを分け、権限で束ねる（Facebook・Instagram・LINE公式アカウントはこの方式が使えます）。全員が自分の認証で入るので、誰が投稿したかも残ります。
2. 共有せざるを得ない場合は、パスワードとワンタイムパスワードをパスワード管理ツールの共有金庫に入れる。認証コードもツール側で発行できるため、特定の1台に依存しなくなります。

1つ目が使えるプラットフォームでは、必ず1つ目を選んでください。
共有をやめられれば、退職時の作業も「その人の権限を外すだけ」で済みます。

同じ2要素認証でも、SMSは弱い

2要素認証を設定するとき、多くのSNSでは「SMSで受け取る」「認証アプリで受け取る」「パスキー（生体認証など）を使う」から選べます。
この3つは強さが同じではありません。

SMSは、電話番号あてに送られてくるという性質上、電話番号そのものを他人に移されてしまうと突破されます。携帯電話会社の手続きを悪用して、他人の電話番号を自分のSIMに移す手口（SIMスワップ）が実際に存在します。
また、前述したリアルタイム型のフィッシングでは、SMSで届いたコードも入力させられてしまいます。

選べるなら、パスキー ＞ 認証アプリ ＞ SMS の順です。
とくにパスキーは、偽サイトでは動作しない仕組みになっているため、フィッシングに対して構造的に強い方式です。SMSしか選べないサービスであっても、設定しないよりは確実に安全になります。

2要素認証のバックアップコードは、どこに置いていますか？

見落とされがちなのがこれです。
2要素認証を設定すると、多くのサービスでバックアップコード（リカバリーコード）が発行されます。スマートフォンを紛失したときなどに、これだけでログインできる緊急用の文字列です。

バックアップコードは、実質的に「多要素認証を通り抜けられる合鍵」です。
これを共有フォルダの平文ファイルに置いたり、机の付箋に書いたりしていると、せっかく設定した2要素認証の意味がなくなります。
さらに、退職時に権限を外しても、バックアップコードを控えて持って出られていれば入れてしまいます。担当者が代わるときは、権限を外すだけでなくバックアップコードの再発行まで行ってください。

保管場所として現実的なのは、パスワード管理ツールの共有金庫です。アクセスできる人を限定でき、誰がいつ開いたかも残ります。

▶ 関連記事：多要素認証（MFA）セキュリティ強度ランキング｜認証方式の強さと弱点を徹底解説

お金をかけるとしたら、どこから？

費用ゼロの12項目を終えたうえで、それでも残るのは次の3つです。

• 共有せざるを得ない認証情報を、安全に持ち、退職時に確実に切る仕組み
• 担当者の端末から認証情報やセッションを盗ませない仕組み
• 本物と見分けがつかないフィッシングに、担当者が引っかからないようにする訓練

この3つに対応する製品を、当社の取扱品から挙げます。
すべてを一度に入れる必要はありません。自社の運用がどこで詰まっているかで選んでください。

SNSの担当者が数人であれば、まずは認証（1Password Business または GMOトラスト・ログイン）からで構いません。
共有パスワードをやめる、退職時に一括で切れる状態を作る。この2つができるだけで、統計上の原因の大きな部分に手が届きます。

端末側を放置すると、認証をいくら固めても抜けられる

先ほど触れたとおり、認証情報を盗むマルウェアはログイン済みのセッションごと持ち出します。
この経路だけは、アカウント側の設定では止められません。担当者が使っている端末を守るしかありません。

SNSの投稿に使う端末が私物のスマートフォンになっている場合は、会社が配った端末に切り替えるか、少なくともどの端末から投稿しているかを把握するところから始めてください。
端末の一覧化は、IT資産管理の仕組みがあれば同時に解決します。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方

費用はどのくらいかかる？

従業員30名・パソコン30台・SNS公式アカウント3つという中小企業を想定して試算します（いずれも税別）。

フル構成の初年度784,000円に対し、事故後の調査費用は298,000円＋詳細レポート500,000円で798,000円です。
つまり1年分の対策費とほぼ同額が、事故が1回起きただけで出ていきます。
しかも調査で分かるのは「何が起きたか」であって、拡散された偽の投稿を見た顧客の信頼が戻るわけではありません。

繰り返しになりますが、この表のいちばん下から2行目、費用ゼロの12項目だけでも統計上の原因の大半に手が届きます。
予算がつかないという理由で何もしない、という状態を避けてください。

▶ 関連記事：エンドポイントセキュリティの費用はいくら？EPP・EDR・MDRの料金相場と補助金で抑える方法

補助金は使える？

上に挙げた製品は、いずれもデジタル化・AI導入補助金の対象ITツールとして導入できます。
当社アーデントは同補助金の支援事業者として、製品選定から申請、導入後の運用までご支援しています。

申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要です。
また交付決定前に発注した費用は補助の対象になりません。先に契約してしまうと補助を受けられないので、順番にご注意ください。
補助率・上限額・対象経費は申請枠と年度の公募要領によって変わります。最新の公募要領をご確認のうえ、ご相談ください。

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方

結局、何から始めればいい？──7つの手順

順番があります。1から5までは費用ゼロで、しかも先にやっておかないと、6で何を買えばよいかが決まりません。

7番目の手順書には、少なくとも次の4つを書いておいてください。

• 最初にやること：パスワードの変更と、すべての端末からのログアウト（セッションの終了）を同時に行う
• 次にやること：権限一覧を開き、見覚えのない管理者・連携アプリを外す
• 並行してやること：DMに個人情報が含まれていなかったかを確認し、報告義務の要否を判断する
• 外向きにやること：自社サイトなど別の経路で、期間を明示して事実を告知する

最初の1つ、「パスワードの変更」と「全端末からのログアウト」は必ずセットにしてください。
セッション情報を盗まれている場合、パスワードを変えただけでは相手のログイン状態が続きます。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

よくある質問

Q. 従業員10名の会社でも、ここまで必要ですか？

A. 必要な部分は変わりません。むしろ小さい会社ほど、1つのアカウントを全員で共有していたり、担当者が1人しかいなかったりして、「その人が辞めたら誰も入れない／その人のパスワードが漏れたら全部通る」という状態になりがちです。
ただし、やることの量は規模に比例します。10名の会社なら、費用ゼロの12項目は1日で終わります。

Q. 会社のSNSを広報担当の個人アカウントで運用しています。問題ありますか？

A. 2つの問題があります。1つは、その個人アカウントが乗っ取られると会社の公式ページも同時に失われること。もう1つは、その人が退職したときに会社側から権限を切り離せず、本人の協力が必要になることです。
FacebookページやInstagramのビジネスアカウントは、組織用の管理単位を作ってそこにひも付け、個人には「役割」として権限を与える形に変更できます。作業自体は無料です。

Q. パスワードを担当者3人で共有しています。どうすればいいですか？

A. まず、そのプラットフォームに権限機能があるかを確認してください。Facebook・Instagram・LINE公式アカウントには権限の仕組みがあるので、共有をやめて1人1アカウントに分けられます。
分けられない場合は、パスワードとワンタイムパスワードをパスワード管理ツールの共有金庫に入れる方法があります。誰がいつ使ったかが残り、退職時は管理コンソールから一発で切れます。

Q. 退職した担当者が、まだログインできるかもしれません。何をすればいいですか？

A. 次の順番で進めてください。
①権限一覧を開いて、その人のアカウントを削除する。②パスワードを共有していたなら変更する。③「すべての端末からログアウト」を実行して、生きているセッションを切る。④登録メールアドレスと電話番号が、退職者個人のものになっていないかを確認する。
④は見落としやすい項目です。パスワード再設定の通知が退職者に届く状態だと、権限を消しても取り返される余地が残ります。

Q. 乗っ取られたかどうかは、どうやって確認できますか？

A. 多くのSNSには「ログインアクティビティ」「セッション」「アカウントへのアクセス履歴」といった画面があり、どの端末・どの地域から、いつログインされているかを一覧で確認できます。
身に覚えのない端末や地域があれば、その場でセッションを終了できます。月に1回、この画面を見る担当を決めておくだけでも早期発見につながります。

Q. 偽アカウント（なりすまし）を見つけたら、どこに申し出ればいいですか？

A. 情報流通プラットフォーム対処法の対象サービスであれば、総務省が公表している各社の削除申出窓口から申し出ます。本記事の表にURLを載せていますので、社内で共有しておいてください。
申し出ると、原則7日以内に、削除したか／しなかったか（しなかった場合は理由）が通知されます。根拠として示しやすいのは、自社ロゴを使われている場合の商標権です。

Q. LINE公式アカウントも、情プラ法の削除申出の対象ですか？

A. 対象として公表されているサービスには含まれていません。LINEヤフー株式会社は指定事業者ですが、総務省が公表している対象サービスはYahoo!知恵袋・Yahoo!ファイナンス・LINEオープンチャット・LINE VOOMの4つです。
LINE公式アカウントに関するなりすましや乗っ取りは、LINEヤフーの通常のサポート窓口から申告することになり、「7日以内の回答」という法律上の枠組みは適用されません。

Q. 広告アカウントを乗っ取られて広告費を使われたら、返してもらえますか？

A. 各プラットフォームに不正利用の申告窓口はありますが、返金されるとは限らず、審査にも時間がかかります。
現実的な備えは、①広告アカウントの権限を投稿用とは別に棚卸ししておくこと、②支払い方法に上限のあるカードを使うなど、被害額が青天井にならない形にしておくこと、③請求のアラートを担当者以外にも届くようにしておくことの3つです。

Q. 顧客のDMが読まれた可能性があります。届出は必要ですか？

A. 乗っ取りは「不正の目的をもって行われたおそれがある行為」に当たるため、個人データが読まれたおそれがあれば、1人分でも個人情報保護委員会への報告対象になります。
速報はおおむね3〜5日以内、確報は60日以内が目安です。まずDMに何が残っていたかを確認し、判断がつかない場合は専門家にご相談ください。

Q. IT担当者がいなくても運用できますか？

A. できます。この記事で挙げた費用ゼロの12項目は、すべて各SNSの管理画面から広報・総務の担当者が実施できる作業です。
そのうえで、端末を守る部分（EDR）だけは監視を外部に任せる形が現実的です。当社が取り扱うSentinelOneデータお守り隊は、専門チーム（SOC）が24時間365日監視する構成で、アラートへの対処も代行します。

▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？優先順位・費用・外部の使い方

Q. まず何から相談すればいいですか？

A. 「自社にSNSアカウントがいくつあるか分からない」という状態からで構いません。アカウントの洗い出しと権限の棚卸しを一緒に行い、そのうえで必要な部分だけを製品で埋める、という順番でご提案します。

▶ 関連記事：会社の電話（ビジネスフォン・IP-PBX）が乗っ取られたら？不正利用された国際通話料は自社負担という現実

▶ 関連記事：会社のドメイン名・DNS・SSL証明書はどう守る？一度手放したドメインは原則取り戻せないという現実と、証明書の有効期間200日化・費用ゼロでできる7つの手順【中小企業向け】

まとめ

会社のSNS公式アカウントは、社内に機器がなく、IT部門を通さずに作られ、退職の手続きからも漏れやすい「社外にあって、管理から外れている資産」です。
そして警察庁の統計が示すとおり、乗っ取りの原因の約74％はパスワードの管理の甘さ・フィッシング・他人からの入手・元従業員や知人による犯行という、きわめて事務的な4つに集約されます。
高度な攻撃で破られているわけではありません。

だからこそ、やるべきことははっきりしています。
アカウントを全部書き出し、権限一覧を開き、要らない人を外し、2要素認証を入れ、共有パスワードをやめ、退職手続きに1行足す。ここまでは全部0円で、2日かかりません。
お金が必要になるのは、担当者の端末を守る部分と、訓練の部分だけです。

そして2025年4月からは、乗っ取り投稿やなりすましアカウントについて、大規模プラットフォーム事業者へ削除を申し出れば、原則7日以内に判断と理由の通知が返ってくる制度になりました。
自社のロゴをアイコンに使われている場合、それは国のガイドラインが商標権侵害の例として明示している行為です。泣き寝入りする必要はありません。

最後に、今日1つだけやるとしたら、これにしてください。
自社のSNSアカウントの「権限一覧」を開いて、何人が入れる状態になっているかを数える。
5分で終わります。
そして多くの会社で、その数字は想像より大きいはずです。その事実を、事故の日ではなく今日知れることに意味があります。

SNSアカウントの洗い出しと権限の棚卸しから、端末側の対策、補助金の活用まで、まとめてご相談いただけます。
「どのアカウントがあるか分からない」という状態からでも構いません。まずは現状の確認からお手伝いします。

▶ 関連記事：法人向けパスワード管理ツールの比較｜1Password Business等おすすめ製品の選び方・料金相場

▶ 関連記事：多要素認証（MFA）ツール比較｜法人向けおすすめ製品と料金・認証方式の選び方

▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方

他社の製品も含めて横並びで比較して選びたい方は、法人向けセキュリティソフト7社一括比較もあわせてご覧ください。

渡邊　賢

株式会社アーデント　代表取締役。2006年にオフィス専門不動産会社アーデントを創業。その後、オフィス賃貸仲介、ワークプレイス作りに10年以上携わり、合計500社以上のオフィス移転をサポート。2018年よりクラウドＰＢＸを中心にネットワーク、通信分野を専門に400社以上の電話、ネット環境づくりをサポート。2022年より100以上のクラウドサービスの販売を開始。

デジタル化・AI導入補助金を使って、150社以上にクラウドツールを提供。IT活用による業務改善のDXコンサルを提供。ノーコードツールを使ったExcelやAccessからの基幹システム移行によるDX実績多数。サイバーセキュリティ対策の導入も50社以上を担当実績あり。

アマゾンで出版している書籍はこちら！

「AppSheetで作る中小企業の基幹システム」 ～Excel限界からの脱出。GoogleWorkspaceを使って、失敗しない業務アプリ導入を解説～

https://amzn.to/42w9uJA

「Google Workspace完全活用マニュアル」 ～Google Workspaceをフル活用する方法を徹底解説！～
https://amzn.to/3w5zWfT

「中小法人向け サイバーセキュリティ完全ガイド」～サイバーセキュリティ対策で、特に中小企業が 守るべきポイントを網羅！～
https://amzn.to/3Y9Nm5n