美容室のInstagramが乗っ取られたら｜予防の設定、公式ヘルプに沿った復旧手順、お客様への告知文例

結論：乗っ取りに気づいたときの初動の早見表

乗っ取りの対応は、「取り戻す」「お客様に知らせる」「広げない」の3つを同時に進めることが要点です。復旧を待ってから告知すると、その間に店の名前でお客様へ不審なDMが送られ続けます。

表のうち、店だけでできて効果が大きいのは「1時間以内の告知」です。Instagramの復旧には時間がかかることがありますが、お客様への注意喚起はその日のうちに終えられます。告知に使う文例は後半にまとめています。

よくある乗っ取りの手口 — 偽の警告DM・認証コード・パスワードの使い回し

乗っ取りの多くは、本物らしく見える警告や知人を装ったDMで、パスワードや認証コードを入力・送信させる手口か、他のサービスで漏れたパスワードの使い回しから起きます。美容室のアカウントは、お客様とのDMが多く、連絡先も公開しているため狙われやすい立場です。

Instagramの公式ヘルプも、信用できないアプリとはログイン情報を共有しないこと、メールのアカウントにアクセスできる人はInstagramのアカウントにもアクセスできる可能性があることを注意しています。表の手口に共通するのは、パスワードや認証コードを自分から入力・送信してしまう瞬間があることです。

乗っ取りを防ぐ設定 — 二段階認証・固有のパスワード・登録メールの保護

予防の基本は、二段階認証をオンにし、Instagram専用の固有のパスワードにして、登録メールと電話番号を店が管理するものにそろえることです。どれも費用はかからず、設定は短時間で終わります。

1. 二段階認証をオンにする

   設定からアカウントセンターを開き、［パスワードとセキュリティ］→［二段階認証］で方法を選びます。方法は認証アプリ（Google認証システムなど）、SMS、WhatsAppがあり、公式ヘルプは認証アプリを推奨しています。認証アプリでの設定はスマートフォンのInstagramアプリから行います。

2. バックアップコードを保管する

   スマートフォンをなくしてログインコードを受け取れなくなったときは、バックアップコードでログインします。コードは紙に控えて、店の金庫など決めた場所に保管します。

3. 他で使っていないパスワードにする

   個人情報を含むものや推測しやすいものは避け、Instagram専用のパスワードにします。覚えきれない場合はパスワード管理アプリを使います。

4. 登録メールと電話番号を確認する

   登録先が退職したスタッフのメールや、昔の携帯番号のままになっていないかを確かめます。登録メールのアカウントにも二段階認証を設定します。

5. ログイン中の端末と連携アプリを点検する

   アカウントセンターでログイン中の端末を確認し、心当たりのないものはログアウトさせます。使っていない外部アプリの連携も外します。共有の端末やパソコンでは、使い終わったら必ずログアウトします。

画面の名称や場所は変更されることがあります。設定に迷ったら、Instagramヘルプセンターの「二段階認証」「Instagramアカウントの安全を確保する」の項目で最新の手順を確認してください。顧客データ全体の守り方は顧客データを守る方法｜パスワード管理と退職時の権限整理で整理しています。

乗っ取られたときの復旧手順 — Instagram公式ヘルプに沿った流れ

Instagramの公式ヘルプが案内している復旧の順番は、「メールで取り消す」→「ログインリンク」→「サポートの依頼」→「本人確認」です。上から順に試し、うまくいかなければ次に進みます。

1. security@mail.instagram.com からのメールを確認する

   メールアドレスの変更などを知らせるメールが届いていれば、メール内の「アカウントの安全を確保」から変更を元に戻します。迷惑メールのフォルダも確認します。

2. ログインリンクを送る

   ログイン画面の［パスワードを忘れた場合］から、ユーザーネーム・メールアドレス・電話番号のいずれかを入力し、［ログインリンクを送信］を選びます。届いたメールかSMSのリンクを開いてログインします。

3. instagram.com/hacked からサポートを依頼する

   登録したメールや電話番号を書き換えられてリンクを受け取れない場合は、スマートフォンから instagram.com/hacked を開いてサポートを依頼します。本人だけが使えるメールアドレスを入力すると、次の手順がそのアドレスに届きます。

4. 本人確認に応じる

   プロフィール写真のないアカウントは、届いた自動メールに、登録したメールアドレスか電話番号と、使っている端末の種類を返信します。写真のあるアカウントは、顔をいろいろな角度から写した動画セルフィーを送ります。公式ヘルプでは、動画は本人確認にだけ使われ、30日以内に削除されると説明されています。

5. ログインできたら安全を確保する

   パスワードの変更、二段階認証の設定、登録メールと電話番号の確認をします。アカウントセンターに心当たりのないアカウントが追加されていれば外し、不審な外部アプリのアクセスも解除します。

6. 乗っ取り中の変更を元に戻す

   乗っ取りの間にされた投稿・ストーリーズ・DMを削除し、プロフィールのリンクや連絡先、店の名前が書き換えられていないかを確認します。

お客様への告知文例 — LINE・Googleビジネスプロフィール・個別の返信

告知は、気づいてから早い段階で、店が管理する別の連絡手段から「乗っ取られたこと」「DMのリンクを開かない・お金や認証コードを送らない」「正しい連絡先」の3点を伝えます。原因の推測や犯人に関する書き込みは避け、事実とお客様にしてほしいことだけを書きます。

4つの文例は、〇〇の部分を置き換えて使えます。文例①はLINE公式アカウントの友だち全員に届くため、最も早く多くのお客様に伝わる手段です。普段からLINEで連絡を取れる状態にしておくことが、Instagramが使えないときの備えにもなります。

LINE・Googleアカウントへの連鎖被害を防ぐには

Instagramと同じパスワードや登録メールを他でも使っている場合は、登録メールのアカウント、Googleアカウント、LINE公式アカウント、予約システムの順にパスワードを変え、ログインできる人と端末を確認します。登録メールが乗っ取られていると、他のサービスのパスワードも次々に再設定されてしまいます。

Googleのヘルプは、SMSで届くコードは電話番号を狙った攻撃に弱い可能性があるとして、Googleからのメッセージやセキュリティキーなども案内しています。LINE公式アカウントの権限の分け方はLINEのスタッフ権限管理を参考にしてください。

顧客情報が見られた可能性があるとき

DMでやり取りしたお客様の名前や連絡先、予約システムの顧客データに不正にアクセスされたおそれがある場合は、個人情報保護法の漏えい等の報告が必要になることがあります。不正の目的による漏えい等のおそれがある場合は人数に関係なく報告の対象で、発覚から3〜5日以内に速報、60日以内に確報を個人情報保護委員会に出します（個人情報保護委員会「漏えい等の対応」の案内）。該当するかの判断と手順は顧客情報が漏えいしたときの対応で整理しています。

他人のIDとパスワードで無断でログインすることは、不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）で禁止されています。金銭を要求された、店の名前で被害が出ているなどの場合は、都道府県警察のサイバー犯罪の相談窓口や、警察庁のオンライン受付から相談できます（警察庁「サイバー事案に関する相談窓口」）。

復旧できないときと再発防止 — 新しいアカウントへの移行と運用ルール

本人確認を経ても戻らない場合は、新しいアカウントを作って正しい連絡先を告知し、乗っ取られたアカウントはアプリから報告します。再発を防ぐには、ログインできる人・端末・パスワードの保管方法を決めた運用ルールが必要です。

新しいアカウントを作ったら、プロフィールに旧アカウントから移ったことを書き、Googleビジネスプロフィール・ホームページ・LINE公式アカウントのリッチメニューにあるInstagramのリンクを差し替えます。過去の投稿写真を出し直せるように、普段から写真の元データを店のクラウドなどに保存しておきます。保存と復元の仕組みはデータ管理とバックアップを参考にしてください。

表の中で最も漏れやすいのは、退職や委託の終了のときです。スタッフが辞めるときの手続きと一緒にパスワードの変更を済ませる流れは、スタッフ退職時の手続き一覧に入れておくと忘れません。

よくある質問

乗っ取られたアカウントから届いたDMのリンクを開いたお客様には、何を伝えればよいですか？

パスワードを入力した場合はすぐに変更し、二段階認証を設定するよう伝えます。カード番号などを入力した場合はカード会社への連絡を勧め、店からお金や認証コードを求めることはないことも伝えます。

「Instagramのサポート」を名乗るアカウントから、復旧を手伝うと連絡が来ました。応じてよいですか？

応じないでください。Instagramの復旧は、ログイン画面や instagram.com/hacked など公式の手順から行います。DMやSNSで連絡してくる相手に認証コードや代金を渡すと、被害が広がるおそれがあります。

二段階認証を設定していれば乗っ取られませんか？

大きく防げますが、完全ではありません。SMSや認証アプリのコードを相手に教えてしまうと突破されるため、コードは誰にも伝えないことをスタッフ全員で徹底します。

警察に相談したほうがよいですか？

金銭を要求された場合や被害が出ている場合は相談してください。他人のIDとパスワードで無断でログインする行為は不正アクセス禁止法で禁止されており、都道府県警察のサイバー犯罪の相談窓口や警察庁のオンライン受付で相談できます。

スタッフ全員で同じログイン情報を使ってもよいですか？

勧めません。知っている人が多いほど漏れる経路が増え、退職のたびにパスワードを変える手間も増えます。ログインできる人を最小限にし、投稿担当には店の端末だけを渡す運用にします。

出典：Instagramヘルプセンター（不正アクセスされたInstagramアカウント、Instagramアカウントの安全を確保する、二段階認証）、Googleアカウント ヘルプ（2段階認証プロセス）、Google ビジネス プロフィール ヘルプ（ユーザーの追加と削除）、不正アクセス行為の禁止等に関する法律第3条、個人情報の保護に関する法律第26条、個人情報保護委員会「漏えい等の対応」の案内、警察庁「サイバー事案に関する相談窓口」。画面の名称や手順は変更されることがあります。漏えい等の報告の要否は個人情報保護委員会に、被害の届出は都道府県警察に確認してください。

最初にやることは、今日のうちに二段階認証をオンにし、バックアップコードを紙に控えることです。あわせて、Instagramが使えなくなったときにお客様へ連絡できるよう、LINE公式アカウントの配信手順を店で共有しておきます。Instagram運用全体の見直しはSNS集客とInstagram活用術を参考にしてください。