※本記事には広告・アフィリエイトリンクが含まれます。
「知り合いからInstagramのDMで『投票してほしい』と頼まれ、電話番号を教えたら、届いたコードも聞かれた」。こうした流れで自分のアカウントにログインできなくなる相談が増えています。情報処理推進機構（IPA）の情報セキュリティ安心相談窓口には、2025年7月に不正ログインに関する相談がこれまでで最も多い144件寄せられ、InstagramやFacebookに不正ログインされて自分ではログインできなくなったという相談が多いとされています。
Xでも、2026年9〜10月に「インスタのDMで投票をしてほしいとのメッセージが届いた」「アカウント名も変えられ、取り返すのをあきらめた」といった投稿がいくつも見られました。
この記事では、Instagramヘルプセンター、IPA、警察庁、鹿児島県警察、埼玉県警察の情報をもとに、乗っ取りに気づいたときの対処を、ログインできる場合とできない場合に分けて整理します。周りへの被害を止める方法と、再発を防ぐ設定もあわせて紹介する内容です。なお、画面の名称や手順はアプリのバージョンやアカウントの種類によって変わることがあります。
まず、乗っ取りかどうかを確かめる
慌てて操作する前に、何が起きているのかを確認しましょう。よくある手口を知っておくと、自分がどの段階にいるのかを判断しやすくなります。
よくある手口：知り合いからの「投票して」DMと認証コード
鹿児島県警察の「Instagramの乗っ取り」によると、この手口はInstagramのパスワードリセット申請を悪用したものです。本人を確認する方法を電話番号でしか登録していない場合に、悪用される可能性があると書かれています。
乗っ取られる側から見た流れは、次のとおりです。
- 知人などのアカウントからDMが届く。内容はさまざまだが、最終的に電話番号を聞かれる
- 電話番号を教えると、その番号あてにショートメッセージ（SMS）が届く
- SMSの内容を聞かれて教えると、アカウントにログインできなくなる（SMSにはパスワードリセットに必要な認証コードが含まれている）
- 登録していた電話番号が変更されてしまい、元の番号でパスワードをリセットしようとしても本人認証ができない
乗っ取る側は、聞き出した電話番号でパスワードリセットを申請し、本人に届いた認証コードを聞き出して、パスワードやその他の登録内容を変えてしまいます。
IPAも、相談の多い手口として同じ流れを紹介していました。知り合いに成りすました攻撃者から投票依頼などのDMが届き、やり取りの中で電話番号を教えてしまう。SMSで届いた認証コードを送り主に教えてしまう。その結果、パスワードだけでなく、登録している電話番号やメールアドレスを変えられ、多要素認証まで設定されてしまう、という内容です。ここで注意したいのは、DMを送ってきた知り合いのアカウントも、すでに不正ログインの被害にあっているという点です。そのあとは、乗っ取ったアカウントで投資などを勧誘するDMの送信や投稿が行われるとされています。
Xには、「アート🎨コンテストの投票依頼DMが届き、投票コードを送るから電話番号を教えてと言われた」「オンライン料理番組のアンバサダーに応募しているので投票してほしいと届いた」という投稿がありました。文面には「努力に感謝します」のような不自然な日本語が混じっていた、という声もあります。名目は変わっても、「電話番号」と「届いたコード」を求めてくるところは共通しています。
乗っ取りのサインはログイン履歴とメールで
自分のアカウントが不正にログインされていないかは、Instagramの設定から確かめておきましょう。
Instagramヘルプセンターの「最近のログインアクティビティを確認する」によると、アカウントに最近ログインしたデバイスのリストはいつでも確認できます。手順は、設定から「アカウントセンター」→「パスワードとセキュリティ」→「ログインの場所」です。覚えのない場所やデバイスがあれば、そこからログアウトし、ログインしたのが自分ではないことをInstagramに知らせるよう案内されています。楽天モバイルの解説記事は、Wi-Fiや通信回線の仕組みによって実際の所在地とは違う場所が表示されることもあるため、端末の種類やログイン日時もあわせて判断するよう書いていました。
もうひとつの手がかりが、Instagramから届いたメールです。ヘルプセンターによると、最近14日間にInstagramから公式に送られたメールを設定の「最近のメール」で確認できます。セキュリティとログインに関するメールは「セキュリティ」、それ以外は「その他」に分かれて表示される仕組みです。手元のメールが本物かどうか迷ったら、ここに同じものがあるかを照らし合わせると判断しやすくなります。
頼んでいないのにパスワードリセットのメールが届いた場合はどうでしょうか。ヘルプセンターは、必ずしもアカウントが不正アクセスされたとは限らないと説明しています。第三者が自分のアカウントにログインしようとして、メールアドレスやユーザーネームを打ち間違えた可能性もあるからです。パスワードを知っている人か、そのメールのログインリンクをクリックできる人しかログインできない、とも書かれています。
ほかにも、登録した電話番号やメールアドレスが変わっている、プロフィール写真や自己紹介文、外部リンクが書き換えられている、送った覚えのない投稿やDMがある、といった変化は乗っ取りのサインです。フォロワーから「変なDMが来た」と連絡があって気づくケースも、Xでは見られました。
まだログインできる場合にすぐやること
ログインできるうちに対処すれば、アカウントを守れる可能性が高くなります。Instagramヘルプセンターの「Instagramプロフィールが不正アクセスされたと思われる場合」は、ログインできる場合にすることとして5つを挙げています。
パスワードを変え、見覚えのないデバイスからログアウトする
ヘルプセンターがまず挙げているのは、パスワードを変更するか、自分宛てにパスワードの再設定メールを送ることです。IPAも、自分でログインできる場合は速やかにログインパスワードを変更するよう書いています。
新しいパスワードについて、IPAは「できるだけ長く」「複雑で」「使い回さない」ものを推奨しています。警察庁の「不正アクセス対策」は、ほかのインターネットサービスで同じパスワードを使っている場合は、そのパスワードも早急に変えるよう呼びかけていました。とくに、Instagramに登録しているメールアカウントと同じパスワードを使っていたなら、メールのほうも優先して変えておきたいところです。メールアカウントを押さえられると、パスワードの再設定メールを横取りされるおそれがあるからです。
パスワードを変えたら、先ほどの「ログインの場所」で見覚えのないデバイスを確認します。ヘルプセンターの手順では、アカウントを選んで下にスクロールし、「ログアウトするデバイスを選択」から対象を選んで「ログアウト」をクリックします。この画面にアクセスできない一部のアカウントでは、設定の「ログインアクティビティ」から、覚えのないログインに「私ではありません」を選び、画面の手順に従ってパスワードを再設定する方法も案内されていました。埼玉県警察も、ログインできる場合はパスワードを変更し、ログイン済みの端末すべてから強制的にログアウトするよう書いています。
ここで気をつけたいのが順番です。パスワードを変える前にログアウトさせても、相手が古いパスワードを知っていれば再びログインされてしまいます。先にパスワードを変え、そのうえで不審なデバイスを追い出す、という流れで進めましょう。
警察庁は、ログイン履歴が確認できる場合は画面を保存・印字して証拠を保全するよう勧めています。不審なログインの日時や場所が写った画面は、ログアウトさせる前にスクリーンショットで残しておくと、後で警察やサービスに相談するときに役立ちます。
登録情報と連携アカウント・外部アプリを見直す
パスワードとログイン端末の次は、アカウントに登録されている情報の確認です。ヘルプセンターは、アカウント設定で電話番号とメールアドレスが正しいことを確かめるよう書いています。IPAは、登録情報を確認し、自分のものではない情報があれば直ちに削除して、正しい自分の情報だけにするよう勧めていました。
乗っ取りの手口では、攻撃者が登録情報を自分のものに書き換えることがあります。鹿児島県警察の説明にあったように、電話番号を変えられると、元の番号でパスワードをリセットしようとしても本人認証ができません。まだログインできる段階で、自分の電話番号とメールアドレスに戻しておくことが、アカウントを手放さないための大事な一歩になります。
続いて、アカウントセンターでリンク済みのアカウントを確認し、心当たりのないものは削除しましょう。不審なサードパーティアプリのアクセスも無効にするよう、ヘルプセンターは案内しています。埼玉県警察の事例には、DMで届いたリンクを開いて連携ログインをしたらアカウントを乗っ取られた、というものもありました。過去に占いや診断などの外部サービスにInstagramでログインした覚えがあれば、使っていないものは解除しておくと安心です。
二段階認証がまだなら、このタイミングでオンにします。IPAによると、攻撃者が多要素認証を設定してしまう例もあるため、すでに二段階認証が有効になっていた場合は、その認証方法が自分のものかどうかも確認しておきましょう。設定方法は後の章で説明します。
最後に、プロフィールと投稿、DMの送信履歴を確認します。楽天モバイルの記事によると、乗っ取られたアカウントでは自己紹介文の変更や、プロフィール欄のリンクを詐欺サイトのURLに差し替えるといった手口が典型的だそうです。身に覚えのない投稿や外部リンクがあれば消し、送られたDMの相手には次の章で紹介する方法で知らせましょう。
ログインできなくなった場合の取り戻し方
スクリーンショットなどの記録を残すUSBメモリを楽天市場で探す
パスワードを変えられてログインできなくなった場合でも、Instagramには復旧の手順が用意されています。ヘルプセンターは、アカウントの種類によっては一部の手順が実施できない場合もあるものの、すべて試すことを勧めています。
メールで元に戻す、ログインリンクを請求する
最初に確認したいのが、自分のメールの受信箱です。Instagramヘルプセンターによると、security@mail.instagram.com からメールアドレスの変更を知らせるメールを受け取っていれば、メールにある「アカウントの安全を確保」を選んで変更を元に戻せます。届いたメールは削除せず、差出人のアドレスを確かめてから操作しましょう。
このメールで元に戻せない場合や、パスワードなどほかの情報も変えられている場合は、ログインリンクを請求します。ヘルプセンターに書かれている手順は次の4つです。
- ログイン画面の「パスワードを忘れた場合」をタップする
- アカウントに登録されているユーザーネーム、メールアドレス、または電話番号を入力し、「ログインリンクを送信」をクリックする
- 人間による操作であることを証明するためにCAPTCHA認証を完了し、「次へ」をクリックする
- メールまたはSMSに届いたログインリンクをクリックし、画面の指示に沿って操作する
登録されているユーザーネーム、メールアドレス、電話番号を利用できない場合は、ヘルプセンターから案内されている専用のページで画面の説明に沿って操作します。第三者がアクセス権を得た場合や自分がログインできない場合は、デスクトップかモバイルのブラウザーでそのページを開くよう書かれていました。
IPAも、多くのサービスでは「パスワードを忘れた」などの画面からリセットでき、登録したメールアドレスや電話番号を利用できる場合はこの方法で取り戻せる可能性があるとしています。逆に言えば、登録情報まで書き換えられていると、この方法は使えません。乗っ取りに気づいたら、時間をおかずに手続きを始めることが大切です。
手続きの途中で「アカウントの問題を解決する」といった連絡が届いても、すぐには応じないでください。ヘルプセンターの詐欺対策のページは、Instagramのセキュリティ担当を名乗ってユーザーネームやパスワードを聞き出そうとする人に注意するよう書いています。Instagramは、アカウントのセキュリティに関してダイレクトメッセージで連絡することはないとしています。
サポートの依頼と本人確認
ログインリンクでも元に戻せない場合に使うのが、モバイルデバイスからInstagramへのサポートリクエストです。ヘルプセンターによると、このとき自分だけが利用できる安全なメールアドレスを入力します。リクエストを送ると、Instagramから次の手順を知らせるメールが届く流れです。乗っ取られたアカウントに登録していたメールアドレスが安全かどうか不安なら、別のメールアドレスを用意しておくとよいでしょう。
本人確認の方法は、アカウントに自分の写真を登録しているかどうかで、次の2通りに分かれる仕組みです。
- 自分の写真を登録していないアカウント：Metaのサポートチームから自動返信メールが届き、登録に使用したメールアドレスまたは電話番号と、登録時に使用したデバイスの種類（iPhone、Android、iPadなど）を返信する
- 自分の写真を登録しているアカウント：自分をさまざまな角度から撮影したセルフィー動画の送信を求められる
セルフィー動画について、ヘルプセンターは、Instagramに表示されることはなく30日以内に削除されると説明しています。動画で本人確認ができないと判断された場合は、新しい動画を送って再審査を依頼できます。
IPAは、どうしてもログインできない場合はサービス提供者に連絡して相談するしかなく、無料のサービスでは電話での受付窓口がないことが多いと書いていました。その場合は、ヘルプページなどからウェブフォーム経由で相談することになります。鹿児島県警察も、対処は基本的に個人とInstagramの間の手続きで、ヘルプセンター内の不正アクセスに関するページから復旧手続きを行うよう案内しています。
実際には、すぐに取り戻せないこともあるようです。Xには、復旧手段のメールアドレスがもう使えないものだったため、やれることを全部やっても復旧できなかったという投稿や、アカウント名も変えられて取り返すのをあきらめたという投稿がありました。登録しているメールアドレスと電話番号を、今も自分が使えるものにしておくことが、いざというときの復旧の分かれ目になります。
周りへの被害を止める
乗っ取られたアカウントは、フォロワーや友人をだますために使われることがあります。自分のアカウントの復旧と並行して、周りへの被害を止める手も打ちましょう。
フォロワーや友人に、Instagram以外の方法で知らせる
鹿児島県警察は、二次被害を防ぐため、フォロワーに乗っ取られたことを周知するよう呼びかけています。埼玉県警察も、アカウントを乗っ取られた場合にまず挙げているのが、友人や知人にそのことを伝えることでした。
なぜ急ぐ必要があるのでしょうか。埼玉県警察によると、「SNSアカウントを乗っ取られた」「友人のなりすましと気づかずに二次元コード決済で送金してしまった」といった相談が増えています。犯人は乗っ取ったアカウントに登録されている友人に、二次元コードでの送金や電子マネーの購入を依頼するメッセージを送ります。友人からのメッセージと信じ込んだ人が決済したり、電子マネー番号を送ったりしてしまい、本人と連絡が取れて詐欺だと気づいたときには、すでに送金を止められない、電子マネーが使われてしまっている、という流れです。
IPAが紹介している手口でも、乗っ取られたアカウントから知り合いに投票依頼のDMが送られ、次の被害者が生まれていました。自分がログインできない状態では、Instagram上で注意を呼びかけることもできません。LINEやX、メール、電話など、ほかの連絡手段で「Instagramから届くDMやリンクは開かないで」「電話番号やコードを聞かれても教えないで」と伝えましょう。Xには、知人のDMが乗っ取りの文面らしいと気づいた人が、Xで本人に「念のためインスタのアカウント状況を確認してみて下さい」と知らせている投稿もありました。
受け取る側の対策も同じです。埼玉県警察は、二次元コード決済の依頼や電子マネーの購入などの話を突然友人から持ちかけられたら、なりすましを疑って、SNS以外の方法（電話や電子メールなど）で本人に真偽を確かめるよう勧めています。
知らせる文面は、何が起きたか、いつごろからか、届いたDMには返信せずリンクも開かないでほしいこと、の3点が入っていれば十分です。アカウントを取り戻せたら、あらためて報告しておくと、フォロワーも安心できます。
カードやほかのサービスの確認と警察への相談
被害がInstagramの中だけで終わるとは限りません。埼玉県警察は、乗っ取られたアカウントと同じパスワードをほかのサービスでも使っている場合は、そのパスワードも変更するよう書いています。クレジットカード情報などをアカウントに登録している場合は、カード会社に連絡するよう呼びかけていました。警察庁も、不正アクセスされたサービスにクレジットカード情報を登録している場合はカード会社に、インターネットバンキングを利用している場合は不正送金の有無を確かめて金融機関に、速やかに連絡するよう書いています。
フィッシングサイトに情報を入力してしまった場合について、IPAは、ID・パスワードを入力したら速やかにパスワードを変え、同じパスワードを使っているほかのサービスも変更するよう案内しています。クレジットカード情報を入力した場合はカード会社への相談が必要です。被害に遭った場合は、入力してしまった情報に関係するサービス提供者に、被害の補償なども含めて速やかに相談するよう書かれています。また、マルウェアに感染すると、パソコンやスマートフォンに登録された情報を盗まれたり、自分のスマートフォンがフィッシングSMSの発信源になってしまったりすることもあるそうです。一方で、フィッシングのメールやSMSは開いただけでは被害は発生せず、本文中のURLから偽サイトにアクセスしても、情報の入力やアプリのインストールなどをしていなければ基本的に被害は発生しない、とも説明していました。
警察への相談も選択肢です。警察庁は、不正アクセスの被害に遭った場合、保存したログイン履歴などを持参して、最寄りの警察署かサイバー犯罪相談窓口に通報・相談するよう案内しています。サービス提供会社とのメールなどのやり取りも、経緯がわかるよう保存・記録しておくとよいそうです。事前に電話で担当者と日時や持参する資料を調整しておくと、対応がスムーズに進むとも書かれていました。
不正アクセスについては「不正アクセス行為の禁止等に関する法律」があり、他人のIDやパスワードを使ってサービスを悪用する行為は犯罪とされています。被害の記録はできるだけ早い段階から残しておきましょう。
乗っ取りを防ぐための設定と習慣
アカウントを取り戻せたら、同じことを繰り返さないための設定をしておきます。乗っ取られていない人も、今のうちに確認しておくと安心です。
二段階認証は認証アプリを含めて設定する
Instagramヘルプセンターによると、二段階認証は、認識されていないデバイスからログインしようとしたときにコードを求めることでアカウントを守る機能です。設定するには、設定から「アカウントセンター」→「パスワードとセキュリティ」→「二段階認証」と進み、アカウントを選んで、追加する方法を選びます。
選べる方法は3つです。
- 認証アプリ（推奨）：Duo MobileやGoogle Authenticatorなどの認証アプリでログインコードを取得する。1つのアカウントに複数のデバイスを関連付けられるため推奨とされている。認証アプリでの二段階認証は、Android用とiPhone用のInstagramアプリからのみオンにできる
- SMS：携帯電話番号にログインコードが送られる
- WhatsApp：まずSMSをオンにしたうえで、WhatsAppからコードを受け取れるように設定する
少なくとも1つを設定する必要があります。冒頭の手口はSMSで届くコードを聞き出すものでした。鹿児島県警察は、電話番号以外にも、認証アプリを利用した2段階認証やパスキーなどの本人認証を登録するよう勧めています。SMSだけに頼らず、認証アプリも設定しておくと備えが厚くなるでしょう。
ヘルプセンターは、スマートフォンやメールアドレスを使えなくなってログインコードを取得できなくなった場合は、バックアップコードを使ってログインするとしています。バックアップコードはスマホの中だけでなく、別の場所にも控えておきましょう。Xには、バックアップコードを持っていて復旧用アドレスも使えるのに二段階認証の画面でエラーが続く、という投稿もありました。こうしたときに頼れるのが、ヘルプセンターに書かれた公式の手順です。
信頼できるデバイスの扱いにも注意が必要です。二段階認証でログインしたときに「このデバイスを信頼する」をタップすると、次回からコードの入力が不要になります。ヘルプセンターは、誰が使うか分からない公共や共有のデバイスでは、このボタンをタップしないよう注意しています。二段階認証をオンにすると、ログインリクエストの確認や信頼できるデバイスの削除もできるようになるそうです。
コードと電話番号は教えない。怪しいメッセージの見分け方
設定と同じくらい大切なのが、日ごろの習慣です。鹿児島県警察は、電話番号あてに届くSMSの内容は十分に確認し、そこに書かれた認証コードは本人しか知り得ない情報なので、安易に他人に教えないよう書いています。埼玉県警察も、DMで送られてきたリンクは開かない、認証情報や電話番号を教えたり入力したりしない、SMSで届いた番号やリンクを送らない、と挙げていました。相手が知り合いのアカウントでも、同じです。
Instagramヘルプセンターの「Instagramで詐欺に遭わないようにする」は、詐欺に引っかからないための3つのルールとして「落ち着く」「スポットチェック」「送信しない」を挙げています。緊急性を演出したり、アカウントが使えなくなると脅したりするのは詐欺のよくあるやり方なので、時間をとって考えることが大切だという内容です。注意したいサインとして、緊急事態だと訴えて友達や親戚を名乗る人物、オンラインアカウントに問題があるので急いで対応するよう求めるメッセージ、Instagramのセキュリティ担当を名乗ってユーザーネームやパスワードを聞き出そうとする人などが挙げられていました。
メールの見分け方も押さえておきましょう。ヘルプセンターによると、セキュリティに関するInstagramの公式メッセージは利用者のメールアドレスにだけ送られます。差出人は @support.facebook.com、@support.instagram.com、@facebookmail.com、@mail.instagram.com、@global.metamail.com のいずれかです。迷ったときは、メールやSMSの中のURLを使わず、公式アプリの「最近のメール」で確認します。IPAも、本物か迷った場合はメールやSMS内のURLや電話番号を使わず、公式サイトや公式アプリから確かめるよう勧めていました。
このほか、ヘルプセンターは、複数のサイトで同じパスワードを使わないこと、信頼できるウイルス対策ソフトを使い最新の状態に保つこと、ログインアラートをオンにすることを挙げています。埼玉県警察は、OSやアプリを常に最新の状態にすることも対策に入れていました。
まとめ
Instagramの乗っ取りでは、知り合いのアカウントから「投票して」などのDMが届き、電話番号とSMSの認証コードを聞き出される手口がよく見られます。コードはパスワードリセットに使われるもので、教えると登録情報まで書き換えられ、取り戻すのが難しくなります。
まだログインできるなら、パスワードを変え、「ログインの場所」で見覚えのないデバイスをログアウトさせ、電話番号とメールアドレス、連携アカウントや外部アプリを確認しましょう。ログインできない場合は、security@mail.instagram.com からの変更通知で元に戻す、「パスワードを忘れた場合」からログインリンクを請求する、サポートを依頼して本人確認を受ける、の順で試します。
あわせて、フォロワーや友人にはInstagram以外の方法で知らせ、同じパスワードを使っているサービスの変更、カード会社への連絡、記録の保存と警察への相談を検討してください。再発防止には、認証アプリを含む二段階認証とバックアップコードの控え、そしてコードや電話番号を誰にも教えないことが基本です。
