同業のお店のインスタが乗っ取られたと聞きました。うちはパスワードを3人で共有しているんですが、大丈夫でしょうか。
3人で1つのパスワード、実はよくある形なんです。今日のうちに見直しておきましょう。
会社のSNSアカウントは、気づくと何年も同じパスワードのまま、何人もの手を渡っています。立ち上げた担当者はもう異動していて、前に頼んでいた業者のログインも残ったまま。誰が入れるのか、正確に答えられる会社は多くありません。
乗っ取りというと高度な攻撃を想像しがちですが、入口はたいてい身近なところにあります。使い回しのパスワード、本物そっくりの警告メール、辞めた人に残った権限。逆に言えば、守るべき場所もはっきりしています。
この記事では、乗っ取りの入口、二段階認証の設定、パスワードを配らずに権限で任せる方法、偽の通知の見分け方、そして人が辞めるときに外す手順を順に書きます。
この記事の要点
- 入口は使い回し・共有・偽の通知・残った権限
- 二段階認証は全員・全媒体で、受け取り先を会社側に
- 辞めた日に権限を外す手順を決めておく
乗っ取りは、どこから入られるか
会社のアカウントで起きやすい入口を並べると、次のようになります。
| 入口 | 起きること | 防ぐ手 |
|---|---|---|
| 使い回しのパスワード | 別のサービスから漏れたパスワードで入られる | SNSごとに別の長いパスワードにする |
| ログインの共有 | 誰が入ったか分からず、漏れても気づけない | 人ごとに権限を付ける |
| 偽の警告メール・DM | 「削除されます」に慌てて偽サイトに入力する | 通知はアプリから直接確かめる |
| 辞めた人・前の業者の権限 | 関係のない人がいつまでも入れる | 退職・契約終了の日に外す |
| 担当者の個人スマホ | 機種変更や紛失でログインできなくなる | 認証の受け取り先を会社でも持つ |
例えば、駅前の整骨院で受付スタッフ3人が同じパスワードでInstagramに入っているとします。1人が別のサービスでも同じパスワードを使っていれば、そこから漏れただけで店のアカウントにも入られます。3人とも「自分ではない」と言える状態は、守る側にとってはいちばん困る形です。
二段階認証は、全員・全媒体で
二段階認証は、パスワードのほかにもう1つの確認を求める仕組みです。パスワードが漏れても、それだけでは入れません。
InstagramとFacebookでは、アカウントセンターの「パスワードとセキュリティ」から設定します。確認の方法は、セキュリティキー、認証アプリ、SMSから選べ、スマホが使えないときのためのリカバリーコードも用意されています（2026年10月時点、Metaのヘルプより）。Xも認証アプリ・セキュリティキーなどで設定できます。ショートメール（SMS）はプランによって使えない場合があるため、会社のアカウントでは認証アプリかセキュリティキーにしておくと迷いません。
設定するときに気をつけたいのは、確認コードの受け取り先です。担当者個人の電話番号だけにしておくと、その人が辞めたりスマホを替えたりした日に、会社の誰もログインできなくなります。
- 認証アプリは会社の端末にも入れておく
- リカバリーコードは紙に印刷し、通帳と同じ場所にしまう
- 設定した人・日付・受け取り先を、アカウントの一覧表に書いておく
パソコンの横に付箋でパスワード…というお店、まだ見かけるんです。そこだけは今日はがしてください。
パスワードを配らず、人ごとに権限を付ける
次に見直したいのが、ログインの共有です。主な媒体には、パスワードを渡さずに人ごとの権限で作業してもらう仕組みがあります（2026年10月時点）。
| 媒体 | 仕組み | 分け方 |
|---|---|---|
| Instagram・Facebook | Metaのビジネスポートフォリオ | 全体を管理できる「フルコントロール」と、割り当てたものだけ扱える「部分的なアクセス」 |
| LINE公式アカウント | 管理画面の「権限管理」 | 人ごとに権限の種類を選んで追加（招待用のURLは発行から24時間で失効） |
| TikTok | ビジネスセンター | 全体を管理する管理者と、割り当てられたものだけ扱う標準メンバー |
権限は、その人の仕事に要る分だけにします。投稿を作る人、配信する人、数字を見る人で、必要な範囲は違います。全体を管理できる人は、社長と担当者の2人にしておくと安心です。1人だけだと、その人が辞めたときに鍵ごと持っていかれます。
運用を外部に頼む場合も、パスワードを渡すより権限を付けるほうが安全です。アカウントを自社の名義で持つ考え方は、別の記事にまとめています。
あわせて読みたいSNS運用代行に頼む前に決めておくこと。任せる範囲と業者の見極め方偽の通知に、慌てて入力しない
乗っ取りの入口として多いのが、運営を名乗る偽のメールやDMです。「著作権の侵害が報告されたため、24時間以内にアカウントを削除します」のように、急がせる文面で偽のログイン画面へ誘います。
Metaは、金銭の要求や、アカウントの削除・停止をほのめかすメッセージを信用しないこと、メッセージのリンクや添付ファイルを開かないことを呼びかけています。届いたメールの送信元が、facebookmail.com や instagram.com など、Metaが案内しているドメインかどうかも確かめどころです（2026年10月時点）。
社内の決まりは1つで足ります。通知が来たら、メールやDMのリンクは押さず、いつも使っているアプリを開いて、同じ通知が出ているかを確かめる。本物の警告なら、アプリの中にも出ています。
本物の警告だったら、無視して消されてしまいませんか？
本物なら、アプリやヘルプセンターから同じ内容にたどり着けます。慌てて押すより、数分かけて確かめるほうが安全です。
辞める人・契約が終わる業者の権限を外す
いちばん見落とされやすいのが、人が離れるときです。退職、異動、外部との契約終了。その日に外す手順を、先に決めておきます。
- 01一覧を出す媒体ごとに、管理者・権限のある人・連携しているアプリを書き出す
- 02権限を外す離れる人と前の業者の権限を、その日のうちに外す
- 03パスワードを変える共有していた期間があるなら、離れた日に変える
- 04受け取り先を変える二段階認証のコードがその人の電話に届く設定なら、会社側に移す
- 05ログイン中の端末を確かめる身に覚えのない端末やブラウザからはログアウトさせる
一覧は、アカウント名・登録したメールアドレス・管理できる人・二段階認証の受け取り先を1行ずつ書いた表で十分です。担当者が休んでも止まらない引き継ぎの形は、こちらに書いています。
あわせて読みたいSNS担当者が1人しかいない会社の回し方。ひとり運用を続ける仕組み
半年に1回、この一覧と実際の権限を見比べるだけでいいんです。知らない名前、案外出てきますよ。
SNSの運用ごと、HEART CREATIONに相談する
守りを固めたうえで、発信そのものに手が回らないときは、HEART CREATIONにご相談ください。
- 企画・撮影・編集・運用を同じチームで引き受け、担当者さんの手を空ける
- 社内で続けられるよう、企画の型・撮影手順・編集ルール・数字の見方を3〜6か月で渡していく
- SNSの先で増やしたい数字（予約・来店・問い合わせなど）を最初に一緒に決める
初回のご相談は無料で、オンライン60分でも対応しています。「何から確かめればいいか分からない」という段階でも構いません。ご相談はこちらからどうぞ。
管理者が誰か分からないアカウントがあったら、まずそこから一緒に確かめましょう。お気軽にどうぞ。
よくある質問
会社のSNSが乗っ取られたら、まず何をすればいいですか？
ログインできるなら、すぐにパスワードを変え、身に覚えのない端末をログアウトさせます。ログインできない場合は、各SNSのヘルプセンターにある、乗っ取られたアカウントの回復の窓口から手続きします。あわせて、ほかの媒体やサイトで「不審なDMに注意してください」とお客さんに知らせます。
二段階認証は、SMSと認証アプリのどちらがいいですか？
会社のアカウントなら、認証アプリを会社の端末にも入れておく形が扱いやすいです。SMSは特定の電話番号に届くため、担当者が替わると受け取れなくなることがあります。どちらを選んでも、リカバリーコードは別に保管しておきます。
SNSのパスワードを社内で共有してもいいですか？
共有すると、誰がログインしたか分からず、漏れても気づけません。InstagramやTikTok、LINE公式アカウントには人ごとに権限を付ける仕組みがあるので、そちらに切り替えるのがおすすめです。
退職した社員がまだSNSの管理者になっていたら、どうすればいいですか？
気づいた時点で権限を外し、共有していたパスワードがあれば変更します。二段階認証のコードがその人の電話に届く設定になっていないかも確かめます。全体を管理できる人が、その人だけになっていないかも見直してください。
