X・Instagramアカウント乗っ取りのリスク|誰が責任と損失を負うのかを行政書士が解説

Lillie / SNS Account Recovery — Risk

乗っ取りのリスクは、
誰が負うことになっているのか。

「乗っ取られたら、どんなリスクがありますか」——相談の初期に、必ず出る問いです。ただ、この問いは二段構えで考える必要があります。どんな損失が生じるかと、その損失を最終的に誰が負担することになっているかは、別の話だからです。本稿は、後者——リスクの法的な配分構造——を正面から論じます。

リスクの全体像何を失い、誰が最終的に負担するのか六類型
なぜ名義人に集中するのか法的観点からの四つの理由本稿の中心
リスクは移転できるか保険・補償・契約による分配移せる/移せない
どうすればよいか配分を動かす三つの層実務への含意
専門家への相談いつ・何を・何をしてもらうか筆者の見解
PROBLEM

序論 ── 「リスク」を二段に分ける

問いの立て方を、先に整理します。

「乗っ取りのリスク」という言葉は、通常「何が起きるか」という意味で使われます。アカウントが使えなくなる、知人に詐欺のメッセージが送られる、売上が止まる。これは損失の内容の話です。

しかし実務で重いのは、その次にある問いです。その損失を、最終的に誰が負担することになっているのか。誰かに転嫁できるのか、それとも自分のところで止まるのか。これが「リスクの配分」の問題です。

そして本稿の主張は、次の一点に尽きます。

乗っ取りのリスクは、法的に名義人へ集中するように配分されている。
それは偶然でも、事業者の悪意でもなく、四つの制度的な理由による帰結である。

この構造を理解しておくことには、実務的な意味があります。配分が固定されたものではなく、いくつかの点で動かせるからです。どこが動かせて、どこが動かせないのかを知らなければ、労力を配る先を誤ります。

本稿の位置づけと、関連する既稿

本稿は、弊所がこれまで公開してきた乗っ取り関連の記事を、「リスクの配分」という一つの軸で束ね直したものです。個別の論点は各稿で詳しく扱っていますので、本稿では構造の提示に重点を置きます。

法令および官公庁その他公的機関の公表資料に基づく一般的な整理であり、特定の事案に対する法的判断ではありません。また、公表裁判例を確認できなかったという記述は、弊所の調査範囲におけるものです。

OVERVIEW Ⅰ

リスクの全体像 ── 何を失い、誰が負担するのか

失われるものを六つに分け、それぞれについて最終的な負担者転嫁の可否を示します。

失われるもの
内容
最終的な負担者
転嫁の可否
RISK 01利用できる地位
ログインできない状態そのもの。復旧するかどうかは事業者の判断に委ねられる。
名義人
できない
RISK 02蓄積された関係
フォロワー、DMの履歴、取引の証跡。作るのに要した時間は、金銭で戻らない。
名義人
できない
RISK 03財産的な損失
紐づいた決済手段の不正利用、広告アカウントの悪用、有料プランの課金。
一部は転嫁しうる
カード会社の補償等
RISK 04事業上の逸失利益
予約・受注・問い合わせの停止。告知手段の喪失。事業ほど大きくなる。
名義人
立証が壁
RISK 05第三者に対する責任
自分の名義で送られた連絡により、知人や取引先が被害を受けた場合の責任。
名義人に向きうる
先例がない
RISK 06手続への巻き込まれ
説明、申立て、届出、証拠の収集。金銭では測れない時間と負担が生じる。
名義人
できない
表から読めること
六つのうち、他へ転嫁しうるのは RISK 03 だけです。それも全部ではなく、カード会社の補償など、契約に基づく限定的な経路によります。
残る五つは、制度上、名義人のところで止まります。とくに RISK 05 は、被害者であるはずの名義人に責任が向かいうるという点で、他と性質が異なります。損失が自分に留まるだけでなく、他人の損失まで背負う可能性がある。

RELATED

  • RISK 05 の詳細は、別稿「乗っ取りで奪われたのは権利で、残されたのは責任だった」で、二次被害の六類型と責任の分岐として扱っています。
  • RISK 03 の補償制度については、別稿「Xを乗っ取られた。刑事告訴はできるのか」の後半で、60日ルールと対象外事由を整理しています。
WHY Ⅱ

なぜ、名義人に集中するのか

配分がこうなっているのには、四つの制度的な理由があります。順に見ます。

理由 01物権的な保護がない ── 取り返す足場がない
民法206条以下(所有権)/同法200条(占有回収の訴え)/利用規約上の譲渡禁止条項

アカウントは、所有権の対象となる有体物ではありません。したがって、「返せ」という請求の型が使えません。所有権に基づく返還請求も、占有回収の訴えも、対象が「物」であることを前提としているためです。

使えるのは、利用契約に基づく役務提供請求権という構成です。しかしこれは、事業者に対して「契約どおり使わせろ」と求めるものであり、犯人から取り返すための権利ではありません。

帰結
奪われても、奪った相手に対して「返せ」と言う法的な型がない。これが第一の理由です。損失は発生するのに、それを巻き戻す請求権が用意されていない。
刑法の側でも同じ構造が現れます。アカウントは「財物」ではないため、窃盗罪も器物損壊罪も成立しません。特別法である不正アクセス禁止法が別に用意されているのは、既存の枠組みに収まらなかったからです。
理由 02規約が、リスクを利用者側に配分している
民法548条の2(定型約款)/同条2項(不当条項)/消費者契約法8条・10条

ほぼすべての利用規約に、二種類の条項が置かれています。

第一に、ID管理条項。「ID・パスワードの管理責任は利用者が負い、それらを用いて行われた行為は利用者本人の行為とみなす」という趣旨のものです。第二に、免責条項。「本サービスの利用により生じた損害について責任を負わない」という趣旨のものです。

この二つが組み合わさると、リスクは契約の設計として利用者側へ配分されます。これは違法な仕組みというより、大量の利用者を相手にする定型的な契約において、一般的に採られている配分です。

配分を動かしうる主張
  • 事業者の損害賠償責任の全部を免除する条項は、消費者契約法8条1項により無効とされ、差止めを命じた確定判決がある
  • 民法548条の2第2項は定型約款一般の規律であり、相手方が消費者かどうかを問わない
  • ID管理条項は事業者との関係を定めるものであり、第三者からの請求の根拠にはならない
それでも残る限界
  • 免責条項が無効になっても、それは壁が一枚外れるだけで、責任が発生するわけではない
  • 義務の内容、違反、因果関係、損害額は、いずれも別途立証が要る
  • 責任の一部を制限する条項(上限額の設定など)は、全部免責とは扱いが異なる
理由 03帰責の構造が、非対称になっている
民法709条(不法行為)/不正アクセス行為の禁止等に関する法律8条(アクセス管理者による防御措置)/経済産業省「電子商取引及び情報財取引等に関する準則」I-3-1

ここが、四つのうちもっとも見えにくい理由です。利用者側の落ち度と、事業者側の落ち度が、同じ重さでは扱われていません。

図1 ── 帰責の非対称
USER ── 名義人側
  • パスワードの管理は、帰責性の評価対象になる
  • 経済産業省の準則は、ID・パスワードを冒用された本人への効果帰属を、表見代理法理を基礎として整理している
  • 二要素認証の未設定、使い回し、通知の放置。いずれも過失として持ち出されうる
  • 公表資料でも、識別符号の入手方法として「パスワードの設定・管理の甘さ」が最多とされている
ASYMMETRY
PLATFORM ── 事業者側
  • アクセス管理者の防御措置は、不正アクセス禁止法8条により努力義務とされている
  • 同条に罰則はなく、個々の利用者に対する具体的な履行請求権も予定されていない
  • 復旧を義務づける規定は、現行法上見当たらない
  • 通知や本人確認の水準も、事業者の自主的な設計に委ねられている
同じ「管理の不備」でありながら、利用者側のそれは過失として評価されうる一方、事業者側のそれは努力義務の範囲にとどまる。この非対称が、リスクを名義人側へ押し戻す力として働きます。公的な統計が「パスワードの設定・管理の甘さ」を最多の入手方法として挙げていることは、この文脈では両義的です。予防の指針であると同時に、帰責を根拠づける材料にもなりうるからです。
理由 04救済の制度が、この要求に向いていない
刑事訴訟法(捜査・公訴)/情報流通プラットフォーム対処法/特定デジタルプラットフォームの透明性及び公正性の向上に関する法律/民事訴訟法・民事保全法

制度が存在しないわけではありません。ただ、それぞれが別の方向を向いています。

制度
向いている方向
この要求とのずれ
ROUTE 01刑事
犯人の処罰。捜査機関による事実の解明。
アカウントの復旧を命じる仕組みではない。国外犯では特定と身柄が壁になる。
ROUTE 02行政
事業者の運用全体の透明性。基準の策定と公表、年次の運用状況公表。
個別の措置の当否を判断し、復旧を命じる権限を持つ機関はない。
ROUTE 03民事
契約上の地位の確認、役務提供請求、損害賠償。
時間の単位が合わない。事業が持つのは数か月、手続は年単位で動く。
ROUTE 04事業者への申立て
唯一、直接に復旧へ繋がりうる経路。
判断権限が相手方にある。基準も期間も公表されていないことが多い。
帰結
被害者の要求は「いま奪われているアカウントを、いま戻す」という一点にあります。しかし、この要求に正面から応える制度は、実質的には ROUTE 04 しかありません。そしてそこは、相手方の裁量の中です。
結果として、制度の隙間に落ちた損失は、名義人のところに留まります。これが第四の理由です。

RELATED

  • 理由01・02の詳細は、別稿「乗っ取りで奪われたのは権利で、残されたのは責任だった」で扱っています。
  • 理由03の準則と帰責の議論は、同稿の「外観への信頼」の項に対応します。
  • 理由04の各経路については、「Xを乗っ取られた。刑事告訴はできるのか」および凍結関連の各稿で詳述しています。
TRANSFER Ⅲ

リスクは、移転できるか

配分が固定的に見えても、いくつかの経路では移転が可能です。移せるものと移せないものを、分けて確認します。

移転しうるもの

01カード会社の補償
  • 不正利用された分の請求が取り消される仕組み。根拠は法律ではなく会員規約であり、条件も範囲も契約によります
  • 多くの会社で、届出日から遡って60日前までが対象とされています。明細を見ていない期間は、そのまま補償されない期間になります
  • 暗証番号が使用された場合、家族・同居人による利用などは、対象外とされることがあります
02保険による填補
  • 個人向け・法人向けに、サイバー関連の損害を対象とする保険商品が存在します
  • 対象範囲は商品によって大きく異なります。アカウントの喪失そのものを対象とするか、第三者への賠償責任を含むか、事業中断を含むか
  • 法人であれば、加入している保険の約款を先に確認する価値があります。事故が起きてから探すのでは間に合いません
03契約による分配
  • 運用を外部に委託している場合、委託契約で責任の分界点を定めておくことができます
  • アカウントの管理主体は誰か、権限を持つのは何人か、契約終了時に権限をどう落とすか
  • 定めていなければ、事故が起きた時点で責任の所在も決まっていません。これは法人で最も多い落とし穴です
04事業者への転嫁(限定的)
  • 通知を受けながら対応しなかった場合、その後に拡大した部分については、対応義務の違反として主張しうる余地があります
  • ただし公表裁判例は確認できておらず、予測可能性はありません
  • 実務上は、通知の記録を残しておくことが前提になります

移転できないもの

構造的に残る部分
① 時間。復旧までの期間、説明に費やす労力、手続への巻き込まれ。これを他へ移す仕組みは存在しません。
② 関係。フォロワーとの繋がり、DMに残っていた履歴、失われた信用。金銭で填補されたとしても、同じものは戻りません。
③ 説明する立場。名義は本人に貼りついたまま残ります。知人や取引先に説明するのは、常に被害者自身です。代理人を立てても、この立場は移りません。
これらが、本稿でいう「動かせない配分」です。そして実際に相談者を最も消耗させるのは、金額ではなくこちら側です。
ACTION Ⅳ

どうすればよいか ── 配分を動かす三つの層

以上を踏まえると、対策は「防ぐ/防げない」の二分法ではなく、配分の操作として整理できます。三つの層に分かれます。

LAYER 01リスクの発生確率を下げる
  • 回復経路の点検。「パスワードを忘れた」の導線が、いまも自分が管理している宛先に繋がっているか。使っていないアドレスや解約済みの番号が残っていないか
  • フィッシング耐性のある認証。パスキーが使えるなら、それを。使えなければ認証アプリによる二要素認証を
  • サービスごとに固有のパスワード。複雑であることより、固有であることのほうが効きます
  • 連携アプリとログイン中の端末の棚卸し。一度やれば当面は持ちます
LAYER 02転嫁できる形にしておく
  • カードの利用通知を有効にする。60日という期間は、猶予ではなく回復できる範囲の上限を決めている線です
  • 加入している保険の対象範囲を、事前に確認する。法人であれば、アカウントの喪失と第三者責任が含まれるか
  • 委託先との契約に、管理主体と権限の分界点を書く。事故後に交渉するのと、事前に定めておくのとでは、まったく別の作業です
  • 記録をアカウントの外に置く。転嫁を主張するにも、立証がなければ何も残りません
LAYER 03移転できない部分を、小さくしておく
  • 連絡手段を分散させる。そのSNSでしか繋がっていない相手がいる状態は、告知の経路がないという意味でもあります
  • 告知の準備。別アカウント、公式サイト、メール。「本物はこちら」と示せる場所を、平時に用意しておく
  • 説明の負担を減らす設計。取引先には、緊急時の連絡手段を別途伝えておく。これだけで、説明する立場の重さが変わります
  • そして、早く動くこと。移転できない部分は、時間に比例して大きくなります

重心は LAYER 01 と 02 にあります

三つの層のうち、事後に動かせるのは LAYER 03 の一部だけです。LAYER 01 は事故前にしか実行できず、LAYER 02 も、通知設定や契約の整備は事前の作業です。

本稿の分析が示しているのは、リスクの配分は、事故が起きた後にはほとんど動かせないという事実です。動かせる時点は、まだ何も起きていない今しかありません。そしてそのための作業は、いずれも数十分で終わります。

CONSULT Ⅴ

専門家に、どう相談するか ── 筆者の見解

ここからは、制度の分析ではなく、実務にあたる者としての見解です。相談の受け手の側から見て、どう相談されると結果が変わるのかを書きます。自分の事務所に有利な話にならないよう、判断の基準として述べます。

いつ、誰に

遅すぎることはあっても、早すぎることはありません。方針が固まっていなくてかまいません。この段階で決めるのは「争うかどうか」ではなく、「後で争える状態にしておくかどうか」だからです。争わない選択をした場合でも、記録が残っていて損をすることはありません。

目安は最初の72時間のうちに一度です。理由は、専門家が何かを取り戻せるからではなく、その時点でしか作れない記録があり、その時点でしか間に合わない告知があるからです。

書面の段階なら
  • 相手が事業者だけで、まだ申立てと告知の段階
  • 事実関係と証拠の整理、申告書面・通知書面・告知文の作成
  • 刑事手続に用いる書類の作成
  • 行政書士の業務範囲です
代理が要る段階なら
  • 第三者から実際に請求が来た
  • 事業者や相手方との交渉、示談
  • 発信者情報開示、仮処分、訴訟
  • 弁護士の業務です

何を相談するか ── 問いを分ける

「どうすればいいですか」と尋ねると、漠然とした答えしか返りません。これは相談者の落ち度ではなく、問いの粒度の問題です。筆者の見解として、次の四つに分けて尋ねることをお勧めします。

問い 01いま止めるべきものは何か
  • 被害の拡大を止める作業には、順序があります。メールが先か、SNSが先か。決済は止まっているか
  • ここを間違えると、何度対処しても巻き戻されます。最初の数時間で最も価値が出る問いです
問い 02いま残すべき記録は何か
  • 後から作れない記録が、必ずあります。通知メール、ログイン履歴、事故前の数字
  • 「いつ届いたか」と「いつ気づいたか」を分けて記録する必要があるかどうかも、ここで確認できます
  • この問いに具体的に答えられない相手であれば、依頼は見送ってよいと考えます
問い 03この案件は、何が分かれ目になるか
  • 「戻りますか」ではなく、「何によって結果が変わりますか」と尋ねる
  • メールアドレスが変更されているか、有償利用か、本人性を示す資料が揃うか。分かれ目は案件ごとに違います
  • 確約は誰にもできません。しかし分かれ目を言葉にすることはできます
問い 04自分が負いうる責任は何か
  • 本稿でいうリスクの配分です。復旧の話に集中していると、この確認が抜けます
  • 二次被害が出ているなら、告知が先です。復旧より優先すべき場面があります
  • 法人であれば、報告義務の要否も同時に走ります

何をしてもらうべきか

相談の成果として、手元に何が残るべきか。筆者は次の四つだと考えています。

持ち帰るべきもの
① 優先順位。いま何を、どの順でやるのか。やらなくてよいことは何か。やることの一覧ではなく、順序が示されているかを見てください。
② 記録の設計。何を、どの形式で、どこに残すのか。この局面での専門家の中心的な役割は、記録の設計です。書面の作成より前に、ここが来ます。
③ 見通しの言語化。結果の確約ではなく、何が分かれ目かの説明。「やってみないと分からない」で終わる説明は、見通しではありません。
④ 業務範囲の線引き。その相手が何をでき、何をできないのか。これを自分から言うかどうかは、判断材料になります。

依頼先を選ぶときに、筆者が見ている点

信頼できる兆候
  • できないことを、自分から言う。業務範囲と、引き継ぎ先を明示する
  • 記録の話を先にする。受任の話より、いま残すべきものの話が先に来る
  • 結果ではなく、分かれ目を説明する
  • 費用の体系と、追加費用が生じる条件が事前に示される
慎重になるべき兆候
  • 結果を確約する。復旧の可否を決めるのは事業者であり、代理人ではありません
  • 成功率を数字で示す。根拠となる母数と定義を尋ねてみてください
  • 急がせる一方で、いま自分でやるべきことを教えない
  • 業務範囲について尋ねても、明確な答えが返らない

相談は、依頼と同じではありません

見通しだけを聞いて、自分で進める判断も十分にありえます。本稿で述べた対策の多くは、専門家に依頼しなくても実行できるものです。回復経路の点検も、告知も、記録の保存も、自分の手で終わります。

専門家に依頼する価値が出るのは、①順序と優先順位の判断がつかないとき ②書面の形式が結果を左右する段階に入ったとき ③第三者への責任が現実化しそうなとき——この三つだと考えています。そうでなければ、相談だけで足りることもあります。そう言ってくれる相手を選んでください。

PRACTICE

弊所の見解 ── 配分を知ることの意味

ここからは、これまでの実務を踏まえた所見です。件数を集計したものではなく、経験の範囲での見解として述べます。

相談者が知りたいのは、多くの場合「配分」のほう

「どんなリスクがありますか」と尋ねられるとき、求められているのは損失の一覧ではありません。それは本人がすでに実感しています。求められているのは、この先どこまで自分が背負うことになるのかという見通しです。

弊所の経験では、この見通しが立たない状態が、最も相談者を消耗させます。底が見えない不安は、確定した損失より重い。だから初回の面談では、まず配分の全体像をお示しするようにしています。悪い知らせであっても、輪郭が見えるほうが動けるからです。

「自分のせいだ」という受け止めについて

もう一つ、繰り返し直面してきたことがあります。リスクが自分に集中していると知ると、多くの方が「それは自分の管理が悪かったからだ」と受け取られます。

しかし本稿で示したとおり、集中しているのは制度の設計によるものです。物権的な保護がなく、規約が利用者側に配分し、帰責の構造が非対称で、救済制度が別の方向を向いている。個々人の注意力の問題ではありません。

弊所が法的な観点から構造を整理して示すようにしているのは、対策のためだけではありません。自責と、制度上の帰結とを、分けて受け取っていただくためでもあります。この区別がつくと、多くの方の動きが変わります。

それでも、動かせる範囲はある

配分は固定されているように見えて、いくつかの点で確かに動きます。回復経路を点検すれば発生確率が下がり、通知設定を有効にすれば転嫁できる範囲が広がり、連絡手段を分散させれば移転できない部分が小さくなる。
そして重要なのは、そのどれもが事故の前にしか実行できないということです。本稿を「対処法」ではなく「配分の構造」として書いたのは、そのためです。何が起きるかを知っても行動は変わりませんが、誰が負うのかを知ると、行動は変わります。
乗っ取りは、起きた後にできることが構造的に少ない類型です。だからこそ、まだ何も起きていない時点で読まれることに、この記事の価値があると考えています。

出典

法令および官公庁その他公的機関の公表資料に限っています。

  1. 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」(令和8年3月12日公表)
    https://www.npsc.go.jp/policy/list/260313.pdf
  2. 警察庁「不正アクセス行為の禁止等に関する法律の解説」
    https://www.npa.go.jp/bureau/cyber/pdf/1_kaisetsu.pdf
  3. 経済産業省「電子商取引及び情報財取引等に関する準則」(令和7年2月/I-3-1「なりすましによる意思表示のなりすまされた本人への効果帰属」)
    https://www.meti.go.jp/policy/it_policy/ec/20250212003-1.pdf
  4. 消費者庁「埼玉消費者被害をなくす会と株式会社ディー・エヌ・エーとの間の訴訟に関する控訴審判決の確定について」(令和3年1月6日)
    https://www.caa.go.jp/notice/assets/consumer_system_cms203_210106_06.pdf
  5. 総務省「インターネット上の違法・有害情報に対する対応(情報流通プラットフォーム対処法)」
    https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/ihoyugai.html
  6. 伊勢市消費生活センター「クレジットカードの不正利用」(補償期間および調査に要する期間について)
    https://www.city.ise.mie.jp/kurashi/soudan/syouhiseikatsu/1011011/1016581.html
  7. 裁判所ウェブサイト 裁判例検索
    https://www.courts.go.jp/hanrei/search1/index.html
  8. e-Gov法令検索(民法200条・206条・548条の2・709条・715条、消費者契約法8条・10条、不正アクセス行為の禁止等に関する法律3条・8条・11条、刑法235条・246条、民事保全法23条2項)
    https://laws.e-gov.go.jp/

本稿における「公表裁判例を確認できなかった」という記述は、弊所の調査範囲におけるものであり、未公表の判決・決定の存在を否定するものではありません。保険およびカード会社の補償は、いずれも商品・契約ごとに条件が異なります。実際の適用については、加入されている約款をご確認ください。