X（旧Twitter）乗っ取りの対処法｜ログインできない時の取り戻し方、連携アプリの解除、2要素認証

01この記事でわかること（3行まとめ）

• 最初に、Xにまだログインできるかを確かめます。できるなら、すぐにパスワードを変えます。Xヘルプセンターは、ログアウトしているならログイン画面の[パスワードを忘れた場合はこちら]からリセットするよう案内しています。
• パスワードを変えても、連携アプリは自動では外れません。設定の[アプリとセッション]で、覚えのないアプリの連携を取り消し、知らないセッションからログアウトします。
• リセットしてもログインできないときは、Xのサポートに問い合わせます。乗っ取られたアカウントに登録していたメールアドレス、ユーザー名、最後にアクセスした日付を伝えます。

言葉の意味はアカウント乗っ取りの用語ページで説明しています。ほかのサービスも含めて「ハッキングされたかも」と思ったときの全体の流れはハッキングのまとめページにあります。

02X乗っ取りのサイン：こんなことが起きていませんか

Xヘルプセンターの「アカウントが乗っ取られた場合のヘルプ」が挙げているサインです。1つでも当てはまれば、次の節に進んでください。

• アカウントから、心当たりのないポストがされている
• アカウントから、心当たりのないDM（ダイレクトメッセージ）が送られている
• 心当たりのないフォロー、フォロー解除、ブロックなどがされている
• 「アカウントが乗っ取られている可能性がある」という通知をXから受け取った
• 変えていないのに「アカウント情報が変更された」という通知をXから受け取った
• パスワードが使えなくなり、リセットを促すメッセージが出た

Xヘルプセンターの「アカウントのセキュリティについて」によると、不審なログインや、新しい端末から初めてログインしたときには、アプリへのプッシュ通知かメールで知らせが届きます。心当たりのないログインの知らせが来たら、まずパスワードを変えます。通知に出る場所はIPアドレスからのおおよその場所で、実際とは違うことがあります。

ただし、Xは「予期しない更新があっても、必ずしも乗っ取られたとは限らない」とも書いています。連携しているサードパーティアプリの不具合で、おかしな動きが起きることもあるためです。どちらの場合も、パスワードの変更とアプリ連携の取り消しで止められます。

03まず確かめる：いまXにログインできますか

やることは、いまログインできるかどうかで分かれます。

04ログインできるときにやる5つのこと

ログインはできるけれど、覚えのないポストやDMがある場合です。Xヘルプセンターの「アカウントが乗っ取られた場合のヘルプ」の手順に沿って進めます。

1. パスワードを変える：設定の[パスワード]から変えます。過去に使っていない、複雑なパスワードにします。Xは10文字以上で、大文字・小文字・数字・記号を組み合わせ、ほかのサイトと使い回さないことをすすめています。
2. メールアドレスが安全か確かめる：Xに登録しているメールアドレスに、自分以外がアクセスできないことを確かめます。メールアドレスを変えるときは、アプリかX.comで[ユーザー情報]の設定から変えます。メールのパスワードも、Xとは別の強いものにしてください。
3. サードパーティアプリの連携を取り消す：設定の[アプリとセッション]（[アプリ連携]）で、見覚えのないアプリのアクセス許可を取り消します。手順は次の節にあります。
4. いつも使っている外部アプリのパスワードも更新する：Xのパスワードを入れて使っている外部アプリがあれば、そちらも新しいパスワードにします。更新しないままログインに何度も失敗すると、アカウントが一時的にロックされることがあります。
5. 乗っ取られている間のポストを消し、パソコンを調べる：Xは、乗っ取られた状態で送られた不適切なポストを消すこと、パスワードを変えた後も不審な動きが続くときはウイルス対策ソフトでスキャンすること、OSやアプリを最新にすることを挙げています。

警察庁の「サイバー警察局便り」（2026年9月）も、乗っ取り被害に遭ったときは、新しいパスワードに変えること、自分以外の見覚えのない端末をすべてログアウトすること、登録情報や認証方法が変えられていないか確かめることを挙げています。2要素認証が勝手に設定・変更されていないかも見てください。

05連携アプリとセッションを解除する手順

X乗っ取りで見落としやすいのが、連携アプリとログインセッションです。Xヘルプセンターの「アカウントが乗っ取られた場合のヘルプ」は、パスワードを変えても、X for iOS・X for Androidアプリとのアカウント連携は自動では解除されないと書いています。

連携アプリを取り消す

1. ブラウザーでXにログインします。
2. [設定とプライバシー]から[アプリとセッション]（[アプリ連携]）を開きます。
3. 連携しているアプリの一覧から、見覚えのないものを選んで、アクセス許可を取り消します。

Xヘルプセンターの「サードパーティアプリとログインセッションについて」によると、連携を許したアプリは、権限によっては、ポストを見る、代わりにポストやプロフィールの更新をする、DMを使う、メールアドレスを確かめる、などができます。「フォロワーが増える」「診断」などで一度だけ使ったアプリも、残っていたら外しておきます。

知らないセッションからログアウトする

1. [設定とプライバシー]から[アプリとセッション]を開きます。
2. [セッション]の下に、いまログインしているセッションが、場所と時間つきで出ます。
3. 覚えのないものは横の[ログアウト]を押します。いま使っている端末以外を全部外すなら、一覧の上の[他のすべてのセッションからログアウト]を押します。

Xは、セッションからログアウトしても、ログイン中に端末に保存されたデータ（DMなど）は消えない可能性があると書いています。なくした端末や他人のパソコンにログインしていた場合は、そのことも覚えておいてください。

06ログインできないとき：パスワードのリセットとサポートへの問い合わせ

パスワードを変えられてログインできない場合です。

1. パスワードをリセットする

ログイン画面の[パスワードを忘れた場合はこちら]から進めます。Xヘルプセンターの「紛失したり忘れたりしたパスワードをリセットする方法」によると、リセットには、アカウントに登録している電話番号かメールアドレスの確認が必要です。携帯電話番号を登録しているなら、パスワードのリセットページで番号を入れると、ショートメール（SMS）でリセットする方法が出ます。

2. メールアドレスを変えられたら、前のメールを探す

Xヘルプセンターによると、Xに登録しているメールアドレスが変わると、前に使っていたメールアドレスに通知が届きます。乗っ取られた場合は、この通知を確かめることで、アカウントを取り戻す手順を始められます。迷惑メールのフォルダーも見てください。

3. それでもだめならサポートに問い合わせる

パスワードのリセットを試してもログインできないときは、Xヘルプセンターの乗っ取り用の問い合わせフォームから連絡します。伝えることは次の3つです。

• 乗っ取られたXアカウントに登録していたメールアドレス（ここに詳しい手順のメールが届きます）
• ユーザー名（@から始まる名前）
• そのアカウントに最後にアクセスした日付

登録したメールも電話番号も使えないとき

Xヘルプセンターの「メールアドレスへのアクセスのヘルプ」によると、登録したメールアドレスにアクセスできないときは、まずメールのサービス（Gmailなど）に問い合わせて、メールを取り戻します。取り戻せたら、そのメールでXのパスワードを設定し直せます。メールアドレスにも認証済みの電話番号にもアクセスできない場合、Xはサポートできないとしていて、新しいアカウントを作るしかないことがあります。いまのうちに、使えるメールアドレスと電話番号を登録しておくことが大切です。

07「ロックされています」と出たとき

Xヘルプセンターの「ロックまたは制限されたアカウントに関するヘルプ」によると、アカウントがロックされたり、一部の機能しか使えなくなったりした場合、乗っ取られたか、Xルールや利用規約に違反している可能性があります。まず、自分が正当な持ち主であることを確かめる手続きをします。

• 電話で確かめる：ログインして「ロックされている」というメッセージの[開始]を選び、電話番号を入れます。ショートメールか音声で届いた認証コードを入れて[送信]を押すと、ロックが解除されます（この電話番号はアカウントに結びつけられます）。
• メールで確かめる：[開始]＞[メールを送信]を選び、届いた認証コードを入れて[認証する]を押します。
• reCAPTCHA：画面の案内に従います。

ログインできない場合や、登録したメール・電話番号が使えない場合は、サポートチームに問い合わせます。ロックされている間は、プロフィールを見た人に「アカウントのアクティビティに不自然な点がある」と表示されることがあります。

08なりすまし投稿・DMへの対応と、フォロワーへの知らせ方

乗っ取られている間のポストとDM

取り戻したら、乗っ取られている間のポストを消します（Xヘルプセンターの案内）。送られたDMの相手には、個別に連絡します。乗っ取られた間のDMで、だれにどんなリンクやお願いが送られたかを見て、写真に残しておくと、後で警察やXに相談するときに役立ちます。

フォロワーへの知らせ方

警察庁の「サイバー警察局便り」は、乗っ取り・なりすまし被害に遭ったときにやることとして、交流相手に注意を呼びかけること、サービス提供会社に相談すること、警察に通報・相談することを挙げています。大阪府警察も、乗っ取ったSNSで知人になりすまし、電子マネーを買わせてカードの番号を送らせる被害が出ていると注意しています。知らせ方の例です（ここからは編集部のすすめ方です）。

• ログインできないうちは、X以外で知らせる：LINE、電話、メール、ほかのSNSなどです。乗っ取られたアカウントから「乗っ取られました」とポストしても、本人か犯人か区別がつきません。
• 取り戻したら、Xでもポストで知らせる：プロフィールに固定しておくと、後から来た人にも伝わります。
• 伝えること：「〇月〇日〜〇日に乗っ取られていました。その間のポストやDMのリンクは開かず、お金、電話番号、認証コードの頼みには応じないでください」。

なりすましアカウントを作られたとき

乗っ取りとは別に、同じ名前やアイコンの「なりすましアカウント」を作られることもあります。Xヘルプセンターの「なりすましアカウントを報告するには」によると、なりすましはXルールで禁止されていて、永久凍結されることがあります。

• 自分や自分のブランドになりすましているアカウントは、本人か正式な代理人が、Xヘルプセンターのなりすまし報告フォームから報告できます。Xアカウントがなくても報告できます。
• ほかの人になりすましているアカウントは、第三者としてそのアカウントのプロフィールから直接報告できます。
• 会社の商標やブランドを不正に使うアカウントは、Xの「商標に関するポリシー」に沿って報告します。

09なぜ乗っ取られる？Xが挙げる原因と偽メールの見分け方

Xヘルプセンターは、乗っ取りの原因として次のものを挙げています。

• 悪意のあるサードパーティアプリやウェブサイトに、ユーザー名とパスワードを入れてしまった
• 単純で推測されやすいパスワードを使っていた
• ウイルスやマルウェアに、パソコンの中のパスワードを抜き取られた
• ネットワークに不正なユーザーが入り込んだ

IPAの注意喚起「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日）も、単純なパスワードの推測、ほかのサービスから漏れたパスワードの使い回し（リスト型攻撃）、偽のメールやSMSから偽サイトに入力させるフィッシングを挙げています。IPAへの不正ログインの相談は2025年7月に144件と、それまでで最も多くなりました。

Xを名乗る偽メールの見分け方

Xヘルプセンターの「Xを装った偽メールについて」と「アカウントのセキュリティについて」によると、次のとおりです。

• Xのメールは、すべて @x.com か @e.x.com のドメインから送られます。
• Xが、添付ファイルつきのメールを送ったり、メール・DM・返信でパスワードを聞いたりすることはありません。
• パスワードを入れる画面が出たら、ブラウザーのアドレス欄が x.com になっているかを確かめます。似たページでも入力せず、X.comに自分で移動してログインします。
• 「フォロワー数を増やす」「副収入が得られる」とうたうサイトや、本人確認をうたうサイトに、ユーザー名とパスワードを入れないこと。

偽メールは、受信箱から削除し、添付ファイルは開かないよう案内されています。開いてしまったときの共通の対処は変なメールを開いてしまったときの記事にまとめています。

10会社や店の公式Xアカウントが乗っ取られたとき

会社や店の公式アカウントは、お客さんへの詐欺や、会社の信用に直結するので、個人より急ぎます。上の手順に加えて、次のことをします。

• X Proのチームのメンバーを確かめる：Xヘルプセンターは、X Proのチーム機能を使っている場合は、メンバーの一覧を確かめ、心当たりのないユーザーを削除するよう強くすすめています。
• 予約投稿や分析などの連携ツールを確かめる：[アプリとセッション]で、会社として使っていないアプリの連携を取り消します。使っているツールも、Xのパスワードを入れているなら新しいものに変えます。
• パスワードの共有をやめる：Xは、ユーザー名とパスワードを他人に教えるとアカウントを完全にコントロールされることになり、アクセスできなくなったり凍結されたりする可能性もあるとしています。担当者が変わったら、パスワードと2要素認証の端末を入れ替えます。
• 登録メールを個人のアドレスにしない：退職した人のメールのままだと、取り戻すときに使えません（編集部のすすめ）。
• お客さんに知らせる：Webサイト、ほかのSNS、メールなどで「この期間のポストやDMのリンク、キャンペーンの案内には応じないで」と知らせます。
• 会社のメールも調べる：Xの登録メールが乗っ取られていた疑いがあれば、被害にあったときの入口ページの「社員メール乗っ取り」も見てください。

お客さんの個人情報が漏れた疑いがあるときは、個人情報が漏れたときに会社がやることの記事も参考にしてください。会社のアカウント全体の守り方は乗っ取り・不正ログインの悩みのページにまとめています。

11X乗っ取りを防ぐ対策：2要素認証とパスワードリセットの保護

1. 2要素認証をオンにする：ログインのとき、パスワードに加えて、コードかセキュリティキーが必要になります。Xは、2要素認証を「不正アクセスのリスクを大幅に低減できる」極めて重要な機能だとしています。アプリでは、プロフィールアイコン＞[設定とプライバシー]＞[アカウント]＞[セキュリティ]＞[2要素認証]から、[ショートメール]、[認証アプリ]、[セキュリティキー]のどれかを選びます。設定には、登録したメールアドレスの確認が済んでいる必要があります。仕組みは多要素認証の用語ページへ。
2. バックアップコードを保管する：設定を終えると、バックアップコードの画面が出ます。スマートフォンをなくしたり電話番号を変えたりしてもログインできるように、取っておくようXはすすめています。スマートフォンとは別の場所に保管してください。
3. [パスワードリセットの保護]をオンにする：[設定とプライバシー]＞[アカウント]＞[セキュリティ]にあります。オンにすると、パスワードのリセットのリンクやコードを送るときに、メールアドレスか電話番号の入力が必要になります。頼んでいないリセットのメールがよく届く人にも向いています。
4. パスワードを使い回さない：Xのパスワードは、Xだけに使います。電話番号や誕生日、「password」のような言葉、「abcd1234」「qwerty」のような並びは使わないこと。Xはパスワード管理ソフトもすすめています（パスワード管理アプリの用語ページ、比較）。
5. 連携アプリを定期的に見直す：アプリにアクセスを許すときは、XのOAuth（Xの画面で[連携アプリを認証]を押す方法）を使い、ユーザー名とパスワードを直接求めるアプリには注意します。
6. ソフトを最新に、共有のパソコンではログアウト：ブラウザーとOSを最新にし、ウイルス対策ソフトを入れておきます。
7. ログイン情報は誰にも教えない：Xを名乗る相手にも、友だちにもです。

Xヘルプセンターの「2要素認証を使う方法」「アカウントのセキュリティについて」にある対策です。取り戻した後の立て直しにも使えます。警察庁も、複雑で推測しにくいパスワード、使い回しをしないこと、多要素認証やログイン通知の利用を挙げています。IPAはパスキー（指紋や顔、端末のロック解除でログインするやり方）もすすめています。使えるサービスではパスキーも検討してください。

12困ったときの相談先

• Xヘルプセンター：パスワードのリセットで戻せないときは、乗っ取り用の問い合わせフォームから。登録していたメールアドレス、ユーザー名、最後にアクセスした日付を伝えます。なりすましは、なりすまし報告のフォームから。
• 警察：お金を払った、電子マネーの番号を送った、脅されたときは、最寄りの警察署か、都道府県警察のサイバー犯罪相談窓口へ。警察庁の「サイバー事案に関する相談窓口」（https://www.npa.go.jp/bureau/cyber/soudan.html）から探せ、オンラインでの通報・相談もできます。緊急のときは110番です。
• IPA 情報セキュリティ安心相談窓口：技術的なことの相談先です。電話 03-5978-7509（10時〜17時、土日祝日・年末年始を除く）。
• 消費者ホットライン「188」：近くの消費生活センターにつながります（警察庁の相談窓口ページで案内）。

IPAは、無料のサービスには電話窓口がなく、ウェブのフォームからの相談になることが多いこと、返事に時間がかかる例もあることを伝えています。Xのサポートを名乗る電話番号やアカウントから「取り戻してあげる」と連絡が来ても、応じないでください。だまされたかもしれないときの全体の動き方は詐欺の悩みのページにあります。

13よくある質問