会社のSNSアカウントを乗っ取りから守る運用ルール
「いつもと違う投稿が勝手にされている」「ログインしようとしたらパスワードが変わっていて入れない」——ある朝、出社した担当者がそんな事態に気づいたら、血の気が引きますよね。会社の公式SNSアカウントが乗っ取られると、お客様への不審なメッセージ送信や、これまで積み上げてきた信頼が一瞬で崩れる恐れがあります。中小企業でも決して他人事ではありません。今回は、特別な知識がなくても明日から実践できる「乗っ取り対策の運用ルール」をかみくだいてお伝えします。
なぜ会社のSNSが狙われるのか
「うちみたいな小さな会社が狙われるはずない」と思っていませんか。実は、攻撃する側からすると中小企業のアカウントこそ「狙い目」です。
理由はシンプルで、フォロワーがそれなりにいて社会的信用がある一方、専任のセキュリティ担当者がいないケースが多いからです。乗っ取られたアカウントは、次のような目的で悪用されます。
- フォロワーへの詐欺サイト・偽キャンペーンの拡散
- ダイレクトメッセージを使ったフィッシング
- 「アカウントを返してほしければ金を払え」という金銭要求
- 競合や愉快犯による評判の毀損
一度発信された不審な投稿は、消す前にスクリーンショットで拡散されてしまうこともあります。だからこそ「乗っ取られない仕組み」を先に作っておくことが大切です。
乗っ取りの主な手口
守りを固めるには、まず相手の手口を知ることが近道です。会社アカウントが乗っ取られる経路は、おおむね次の3つに集約されます。
1. 偽の「警告メール」によるパスワード詐取
「アカウントに不審なログインがありました。30分以内に確認してください」といったメールやDMが届き、リンク先の偽ログイン画面にIDとパスワードを入力させる手口です。あわてさせて冷静な判断を奪うのが常套手段です。
2. 使い回しパスワードの悪用
他のサービスから流出したパスワードを使って、片っ端からログインを試す攻撃です。複数のサービスで同じパスワードを使い回していると、1か所の流出で芋づる式に破られます。
3. 退職者・元担当者経由の流出
意外と多いのがこのパターンです。SNSの担当者が退職したのにログイン情報がそのまま、共有パスワードがメモアプリに残っている、といった「人」を起点にした漏れです。
明日から実践できる運用ルール
ここからが本題です。難しいツールは不要で、社内のルールとして決めておくだけで防御力は大きく上がります。
二段階認証（2FA）を必ず有効にする
最も効果が高いのがこれです。パスワードが盗まれても、スマホアプリのワンタイムコードがなければログインできなくなります。SMS（電話番号）よりも、認証アプリ（Google Authenticatorなど）を使う方が安全です。各SNSの「設定」→「セキュリティ」から必ずオンにしてください。
パスワードは「使い回さない・長くする」
会社アカウントには、他では使っていない長いパスワードを設定します。パスワード管理ツールを使えば、複雑なパスワードを覚える必要もありません。
担当者の入れ替えに備える
- 個人のアカウントを「なんとなく共有」しない
- 各SNSが用意する公式の権限管理機能（ビジネス用の管理ツール）を使い、メンバーごとに権限を割り当てる
- 退職・異動があったら、その日のうちにパスワード変更と権限削除を行う
公式ドメインを覚えておく
ログイン画面のURLが本物かを確認するクセをつけましょう。各サービスの正規ドメインは、X（旧Twitter）=x.com / twitter.com、Facebook・Instagram=facebook.com / instagram.com、LINE=line.me です。メールのリンクから飛ぶのではなく、ブックマークや公式アプリからログインするのが鉄則です。
もし乗っ取られてしまったら
予防していても、万が一は起こり得ます。被害を最小限にするため、発覚時の動きを事前に決めておきましょう。
1. すぐにパスワードを変更する（まだログインできる場合）。同時に他端末のセッションを強制ログアウトさせる 2. 各SNSの「乗っ取り・ハッキング報告」窓口に連絡する。ログインできない場合はアカウント復旧の申請を行う 3. フォロワーへ注意喚起する。別の連絡手段（自社サイトや他のSNS）で「不審な投稿・DMにご注意ください」と告知する 4. 同じパスワードを使っていた他のサービスもすべて変更する
被害の証拠として、不審な投稿やメッセージは消す前にスクリーンショットを残しておくと、その後の対応がスムーズになります。
一人で抱え込まず、まずはご相談を
「この警告メールは本物？」「うちの2FA設定、これで合ってる？」——判断に迷ったら、自己流で対処する前にプロに確認するのがいちばんの近道です。BULLCOM SecurityのLINEでは、届いたメールやSNSの画面のスクリーンショットを送っていただければ、詐欺かどうか・対処が必要かを無料で判断します。乗っ取り後の復旧サポートのご相談も受け付けています。会社のアカウントと信頼を守るために、どうぞお気軽にLINEからご連絡ください。