SNSアカウントの乗っ取り・端末のウイルス感染が疑われるときの復旧手順
本記事は、英国国家サイバーセキュリティセンター（NCSC）のガイダンス「Recovering a hacked account」および「How to recover an infected device」を基本的な構成・復旧手順の翻案元とし、日本での利用に必要な補足を情報処理推進機構（IPA）、警察庁、Microsoft等の公開情報および一般的なインシデント対応上の注意事項から加えたものです。英国固有の相談窓口は日本の窓口に置き換えています。本記事はNCSCやIPAが直接作成・監修したものではありません。
本記事の対象となるケース
IPAの「情報セキュリティ安心相談窓口」には、「SNSから身に覚えのない投稿が勝手に発信された」といった被害相談が寄せられています（参考：IPA 不正ログイン対策特集ページ）。
本記事は、以下に該当する方を対象としています。
- SNSやメールなどのアカウントが乗っ取られた（またはその疑いがある）
- パソコンやスマートフォンがウイルス等のマルウェアに感染した疑いがある
「ダウンロードしたファイルを実行した直後〜数日後に乗っ取りが起きた」など、アカウントと端末の双方に被害が疑われる場合は、まず「初動対応」を確認したうえで、第2章と第3章を並行して進めてください。
初動対応：端末の感染が疑われる場合
感染が疑われる端末は、直ちに有線LANケーブルを抜き、Wi-Fiをオフにしてネットワークから切り離してください。
安全が確認できるまで、その端末を使ってログインしたりパスワードを変更したりしてはいけません。マルウェアが潜んでいる端末で新たなパスワードを入力すると、その情報まで攻撃者に取得される可能性があります。また、認証セッション（ログイン状態を保持する情報）が盗まれている場合、パスワードや二要素認証だけでは不正アクセスを食い止められないケースがあります。
以降のアカウント復旧作業は、不審な操作をしていない安全な別端末（スマートフォンなど）から行ってください。 どの端末が安全か分からない場合は、この記事の「使用端末の洗い出し」から着手します。
なお、検証のために不審なファイルを再度開いたり、入手先のサイトへアクセスし直したりすることは避けてください。
1. 被害状況の確認
アカウント乗っ取りの兆候
NCSCでは、以下のような挙動を代表例として挙げています。
- アカウントから締め出され、ログインできなくなった
- 登録したセキュリティ設定や通知先が変更されている
- 身に覚えのない投稿、DM、通知が送信されている
- 普段と異なる地域・時間帯からのログイン履歴や試行がある
- 決済や送金の完了通知など、利用した覚えのない請求がある
端末感染の兆候
セキュリティ対策ソフトが感染を検出した場合や、ランサムウェアのような脅迫画面（身代金要求）が表示された場合は、端末が侵害されている可能性が高いと判断できます。
動作が極端に重い、勝手に再起動を繰り返す、不審なポップアップが出る、知人から「おかしなメッセージが届いた」と指摘される、覚えのない管理者権限（root化や脱獄）の警告が出るといった現象も感染のサインです。
補足： 情報窃盗型のマルウェアは、ユーザーに気付かれないよう潜伏して動作することがあります。スキャンですり抜ける場合もあるため、「警告が出ない＝安全」とは言い切れません。
注意：電話越しに「お使いのパソコンが感染している」と告げられた場合は、サポート詐欺を強く疑ってください。 相手の指示に従わず、すぐに通話を終了してください（参考：IPA 偽セキュリティ警告対策特集ページ）。指示に従い金銭を支払ってしまった場合は、第2章「手順9」に記載の窓口へ相談してください。
使用端末の洗い出し
普段利用しているPC、スマートフォン、タブレットを整理します。被害に遭ったアカウントでログインしている端末だけでなく、共通のメールアドレスやブラウザ同期を使っている端末も対象に含めてください。
このような情報は、相談窓口へ状況を説明する際にも役立ちます（参考：IPA 情報セキュリティ安心相談窓口）。
| 端末名 | OS | 対象アカウントの利用状況 | 不審なファイルの実行・導入履歴 | 現状のステータス |
|---|---|---|---|---|
| 自宅デスクトップPC | Windows | アプリ・ブラウザ | ○月○日、Webサイト経由でZIPを入手・展開し、Setup.exeを実行 | 感染疑い（回線切断済み） |
| ノートPC | Windows | ブラウザのみ | 心当たりなし | 念のため履歴確認 |
| スマートフォン | iOS / Android | アプリ | 不審なアプリのインストールなし | 復旧作業用の候補端末 |
リスト作成にあわせ、把握できている範囲で以下の情報もメモしておきます。
- 実行時にOSやソフトから警告が出たか（警告を無視・一時停止して続行したか）
- ブラウザ拡張機能の追加、非公式ストアからのアプリ導入、指示されたコマンドの貼り付けを行ったか
- 覚えのない投稿や不正ログイン通知が始まった正確な日時
2. アカウントの救出・復旧
※端末の感染が疑われる場合、以下の操作は必ず安全な別端末から進めてください。
手順1：サービスの公式ヘルプを確認する
公式サイトのサポートページ（「ヘルプ」「アカウントの復元」など）を開き、指定の復旧手順を実行します。検索エンジンから探す場合は、正規のドメインであることを確認してからアクセスしてください。
手順2：メールアカウントの安全確認
被害拡大を防ぐため、登録メールアドレスの「自動転送ルール」や「メール振り分け設定」を確認してください。攻撃者がパスワード再設定通知などを密かに受け取るため、不正な転送先を設定する手口があります（参考：NCSC Recovering a hacked account）。見覚えのない転送先・振り分け設定は削除します。
あわせて、復旧用の予備メールアドレスや緊急連絡先電話番号が、攻撃者のものに書き換えられていないかも確認してください。
手順3：パスワードの再設定
メールの安全を確保したのち、以下の手順でパスワードを変更します。
- 乗っ取られたアカウントのパスワードを変更する
- パスワードを使い回していた別のアカウントもすべて変更する
端末感染の恐れがある場合、マルウェアに認証情報を抜き取られている可能性があるため、パスワードの使い回しに関わらず、感染疑いのある端末で利用・保存していたアカウントは変更対象として扱うのが安全です。以下の優先度を参考に更新してください。
| 優先度 | 対象サービス | 主な例 |
|---|---|---|
| 最優先 | 他サービスの復旧起点となる基盤 | メインメール、Google、Microsoft、Apple Account |
| 高 | 金銭被害・社会的影響に直結するもの | ネットバンキング、クレジットカード・電子決済、ECサイト、社内・学校アカウント |
| 中 | ブラウザに資格情報を保存していたもの | 自動ログイン・保存済みパスワードがある各種Webサービス |
| 低〜通常 | その他の一般サービス | SNS、オンラインゲーム、ファイル共有サービス |
パスワードマネージャーを利用していた場合は、該当端末で保管庫を開いていたかを確認し、提供元のインシデント対応手順に従ってマスターパスワード変更等の対応を行ってください。
手順4：接続中セッションの強制切断・連携解除
パスワード変更後、各サービスの管理画面から次の2点を行います。
- 「すべての端末からログアウト」（または「アクティブなセッションを終了」）を実行し、侵入者を強制退出させる
- 「サードパーティ製アプリ連携（OAuth認証）」の一覧を確認し、見覚えのない連携や不要なアプリへのアクセス権限を取り消す
パスワードを変更しても、既存のセッションが自動終了しないサービスがあります。可能な場合は、管理画面から明示的にサインアウト操作を行ってください。
手順5：2段階認証・多要素認証（MFA）の有効化
メールや金融機関など、重要度の高いサービスから優先して、多要素認証やパスキー等を設定します（参考：IPA 不正ログイン対策特集ページ）。
すでにCookieなどのセッション情報が盗まれている場合、MFAを有効にするだけでは既存の不正セッションを排除できないことがあります。必ず「手順4のセッション切断」および後述する「端末の初期化」と組み合わせて対応してください。
感染端末内に保存していたバックアップコードについても、必要に応じて破棄・再生成してください。
手順6：OS・アプリのアップデート
復旧に使用している端末や日常利用の端末を、最新のOSおよびアプリバージョンに更新します。
なお、感染が疑われる端末については、アップデートのみで安全性を保証することはできません。感染の疑いが強い場合は、第3章の初期化・再インストールを検討してください。
手順7：周囲への注意喚起
SNSのフォロワーやアドレス帳の連絡先に対し、アカウントが乗っ取られた事実を伝えてください。
「直近で自分から送られたリンクや添付ファイルは開かないでほしい」と注意喚起します。ログインできない状態が続いている場合は、別の連絡手段や別プラットフォーム経由で伝達してください。
手順8：決済履歴・口座明細の確認
メールアカウントの侵害から金銭的被害へ波及することがあります。通販サイトの注文履歴や銀行口座、クレジットカード等の明細に異常がないか確認してください。
身に覚えのない決済があった場合は、各金融機関へ至急問い合わせます。連絡先は迷惑メールや不審な画面内のリンクではなく、金融機関の公式Webサイトやカード裏面等に記載された正規の窓口を利用してください。
手順9：公的機関への相談・通報
- 金銭被害が生じた場合： クレジットカード会社・銀行へ連絡して利用を停止したうえで、警察へ届け出てください（警察庁 サイバー事案に関する相談窓口）。被害が現在進行しており緊急性が高い場合は、110番への通報も検討してください。
- 技術的なトラブルの相談： ウイルス感染の対処や侵入経路の相談は、IPA 情報セキュリティ安心相談窓口で受け付けています。
アカウントの復元が困難な場合
運営側のサポートを通しても回復できなかった場合は、新しいアカウントの作成が必要になることがあります。
新アカウントを用意した後は、関係各所へ連絡先の変更を通知するとともに、旧アカウントが第三者に利用されている可能性がある旨を伝え、なりすまし被害を防止してください。公共料金や通販サイトなど、旧アカウントのメールアドレス等を登録しているサービスについても必要に応じて変更します。
3. 感染端末の復旧手順
スマートフォン・タブレットの場合
モバイル端末は、PCと同じようにセキュリティ対策ソフトで感染を除去・修復できないことがあります。NCSCは、安全性を確保するための方法として工場出荷時リセット（初期化）を案内しています。
各端末の「設定」メニュー等から端末初期化を実行してください。初期化を行っても不具合が解消しない場合は、メーカーサポートや通信キャリアの修理窓口へ相談してください。
パソコンの場合
NCSCが案内する一般的な復旧ステップは、概ね以下の通りです。
- OSやソフトウェアを最新状態にアップデートする
- 信頼できるウイルス対策ソフトでフルスキャンを実施し、検出された脅威を除去する
- ソフトで隔離・駆除が完了しない場合は、ドライブを消去してOSを再インストールする
- ブラウザ等が改ざんされて対策ソフトのダウンロードすら行えない場合は、無理をせず専門業者やサポートへ相談する
推奨方針：感染の疑いが強いPCはクリーンインストールを検討する
不審な実行ファイルを起動した直後にアカウント乗っ取りなどが発生し、端末の侵害が強く疑われる場合は、スキャン結果だけで安全と判断せず、OSの初期化・再インストールを検討してください。
IPAの相談事例でも、どのようなソフトウェアがダウンロード・実行されたのか判断できないケースでは、安全のためPCの初期化が案内されています（参考：IPA 情報セキュリティ安心相談窓口の相談状況［2026年第2四半期］）。
Windowsの場合は、Microsoft公式「インストール メディアを使用して Windows を再インストールする」を参照して進めます。
その際、以下の点に留意してください。
- 消去前に必要な最低限のデータのみ退避する（次の「バックアップデータの扱い」を参照）
- ファイルやアプリを引き継ぐ上書き修復ではなく、データを残さない再インストール方法を選ぶ
- 作業中、消去すべきドライブの判別がつかない場合は、誤消去を防ぐためその場で中断して詳しい窓口へ問い合わせる
会社や学校の支給・管理端末である場合は、個人で初期化を行わず、必ず所属組織のシステム管理者に報告してください。
自力での対応が難しい場合は、PCメーカーの修理サポート等へ「ウイルス感染が疑われるため、OSの初期化・再インストールを希望する」と相談してください。
バックアップからデータを戻す際の注意点
データ復元は、「感染する以前に取得した正常なバックアップ」から行うのが原則です。
感染後に作成したバックアップや、感染端末からそのまま吸い出したデータを使うと、再セットアップ後の環境へマルウェアや悪意あるスクリプト等を再び持ち込むリスクがあります。
過去の正常なバックアップがなく、やむを得ず感染端末からデータを救出する場合は、端末をオフラインにしたまま、新しいパスワード等の機密情報を入力しない状態で作業してください。
| データ種別 | 復元の可否・取り扱い方針 |
|---|---|
| 自作の文書・写真・画像データ | 必要なものだけを選別して救出。復元前に最新定義のウイルス対策ソフト等で確認 |
| 原因と疑われるファイル類（ZIP・EXE等） | 復旧環境へ戻さず削除 |
| インストール済みアプリ・スクリプト類 | ファイルのコピーによる引き継ぎは避け、公式配布元から再入手 |
| ブラウザのプロファイル一式 | フォルダごとの丸ごとコピーは避け、必要な設定を手動で再構築 |
| 感染後に作成したシステムフルバックアップ | マルウェアを含む可能性があるため、そのままの復元は避ける |
拡張子が画像やテキストに見えるファイルであっても、偽装されているケースがあります。入手経路が不明なファイルや、マクロ・スクリプト等の実行機能を含む文書は安易に開かないでください。
復旧完了後の運用
安全な環境を維持するため、以下の運用を習慣化してください。
- OSおよびソフトウェアの自動更新を有効化し、常に最新バージョンを維持する
- 外部メディアやクラウドストレージ等を活用し、定期的にバックアップを作成する
- 必要に応じて、端末のストレージ暗号化（BitLocker、FileVault等）を有効にする
- ウイルス対策ソフトを利用している場合は、定義ファイル等が最新の状態になっていることを確認する
復旧後は、あわせて以下も確認してください。
- 端末復旧前に「感染疑いの端末」上で変更してしまったパスワードがあれば、安全な別端末から再変更する
- ブラウザ同期を再度有効にした際、意図しない不審な拡張機能が復元されていないか確認する
- 第1章の端末一覧を見直し、同じ不審ファイルを別端末でも開いていないか再確認する
出典・参照元
翻案元（NCSC ガイダンス）
- NCSC, "Recovering a hacked account"（2018年12月17日公開、2022年8月24日改訂、Version 2.0）
- NCSC, "How to recover an infected device"（2018年12月17日公開、2021年8月9日改訂、Version 1.0）
Contains public sector information licensed under the Open Government Licence v3.0.
本記事は上記ライセンスに基づき、NCSCのガイダンスを翻訳・再構成したものです。NCSCサイト上の第三者著作物（画像等）は本記事には転載していません。
参照資料（IPA・警察庁・Microsoft）
- IPA：不正ログイン対策特集ページ
- IPA：情報セキュリティ安心相談窓口
- IPA：情報セキュリティ安心相談窓口の相談状況［2026年第2四半期］
- IPA：偽セキュリティ警告（サポート詐欺）対策特集ページ
- 警察庁：サイバー事案に関する相談窓口
- Microsoft：インストール メディアを使用して Windows を再インストールする
ライセンス・免責
本記事は、NCSCの公開ガイダンスをOpen Government Licence v3.0に基づいて翻訳・再構成し、日本国内向けの補足を加えたものです。
各サービス、OS、端末メーカーによって復旧手順は異なります。実際の作業では、利用しているサービスや端末の公式サポート情報を優先してください。