個人情報の漏えいが続くとSNSの乗っ取りが増える　Xの審査が遅れる理由と、混み合う時期の申立て

企業や団体からの個人情報の漏えいが報じられると、しばらくしてSNSの乗っ取りのご相談が続くことがあります。漏えいした情報の中にIDとパスワードが含まれていて、それが他のサービスでも使われていたために、SNSのアカウントにまで被害が広がるからです。

乗っ取りの被害が増えれば、プラットフォームへの問い合わせや申立ても増えます。弊所へのお問い合わせも、紹介を含めて多い日には1日20件近くになります。そして申立てが一度に集中すれば、Xの審査が遅れることは十分に起こり得ます。

リーリエ行政書士事務所は、システムインテグレーターの法務として不正アクセスのインシデント対応にあたり、その後、事業会社の側で凍結や利用停止に関する書面を受け取って対応方針を検討する審査業務にも関わってきました。この記事では、その両方の経験をもとに、漏えいから乗っ取り、そして審査の遅れまでのつながりと、混み合う時期でも伝わる申立ての出し方をご説明します。

1　個人情報の漏えいがSNSの乗っ取りにつながる仕組み

漏えいした個人情報が、なぜSNSの乗っ取りにまで及ぶのか。その鍵になるのが、総務省が「リスト型アカウントハッキング」と呼んでいる手口です。何らかの手段で入手した他人のIDとパスワードを一覧のように使い、さまざまなサイトに次々とログインを試みる攻撃をいいます。

段階	起きていること
① 漏えい	通販サイトや会員サービスなどから、メールアドレスとパスワードを含む情報が流出する
② リスト化	流出したIDとパスワードの組み合わせが、攻撃に使う一覧として出回る
③ 使い回し先へのログイン	同じ組み合わせでSNSにログインが試みられ、使い回していたアカウントに入られる
④ 乗っ取り	登録メールアドレスやパスワードが書き換えられ、ご本人がログインできなくなる

つまり、SNSそのものから情報が漏れていなくても、別のサービスで漏えいが起きれば、パスワードを使い回していたSNSが狙われます。漏えいの規模が大きいほど、同じ時期に乗っ取られるアカウントの数も増えることになります。

一方で、漏えいにはご本人に知らせる仕組みもあります。令和4年4月1日から、事業者が保有する個人データについて、不正アクセスなど不正の目的による漏えいが起きたときは、個人情報保護委員会への報告と本人への通知が義務になっています（個人情報保護法26条）。この通知が、5章と6章でご説明するとおり、乗っ取りへの備えにも、乗っ取られた後の申立てにも役立ちます。

2　乗っ取りが増えると、申立ても集中する

IPA（情報処理推進機構）が公表している「情報セキュリティ安心相談窓口」の相談状況を見ると、2026年7月から9月までの3か月に寄せられた不正ログインの相談は395件でした。FacebookやInstagramなどに不正ログインされて自分ではログインできなくなったという相談が多く、増加傾向にあるとされています。

乗っ取られた方の多くは、まずプラットフォームに問い合わせ、アカウントを取り戻すための申立てを送ります。乗っ取りの被害が同じ時期に増えれば、プラットフォームの窓口にも、同じ種類の申立てが一度に届くことになります。弊所に届くご相談も同じで、乗っ取りのご相談が続く時期には、問い合わせの件数そのものが増えます。

3　審査が遅れる理由

漏えいをきっかけにした乗っ取りで審査が遅れやすいのは、次のような事情が重なるからです。

理由	何が起きているか
申立ての集中	同じ時期に同じ種類の申立てが大量に届き、一件あたりの処理に時間がかかる
本人確認の難しさ	登録メールアドレスや電話番号が書き換えられ、正当な所有者であることを示す手がかりが減っている
違反の切り分け	乗っ取った第三者がスパムなどを投稿していると、アカウントに違反の記録が残り、ご本人の行為ではないことを確かめる必要がある
申立ての重複	返事を待てずに同じ申立てを繰り返すと、窓口がさらに混み合い、順番が後ろに回ることがある

このうち申立ての集中は、ご本人の側では変えられません。けれども、混み合っている時期だからこそ、一度で伝わる申立てを出せるかどうかで、その後の進み方に差が出ます。

4　混み合う時期に、審査する側は何を見るか

弊所が事業会社の側で、凍結や利用停止に関する書面を受け取って対応方針を検討していたとき、一度に多くの書面が届く時期がありました。そうした時期にすぐ判断できたのは、文章の上手さや熱意がある書面ではなく、確かめたいことに、そのまま答えている書面でした。判断がつかない書面は、確認を重ねるぶん、どうしても後回しになります。

判断しやすい書面	判断がつかない書面
起きたことと、推測していることが分けて書かれている	「たぶん」「おそらく」と事実が混ざり、どこまでが確かなのかわからない
一つひとつの説明に、どの資料が対応するのかが示されている	資料が添付されていても、何を示すためのものかが書かれていない
出来事の順番が、一つの表で見渡せる	経緯が長い文章に埋もれ、読む側が自分で並べ直さなければならない
なぜ乗っ取られたのか、経路が説明されている	「身に覚えがない」とだけ書かれ、被害の申告なのか責任逃れなのか見分けられない

最後の点が、漏えいをきっかけにした乗っ取りでは特に大切です。「乗っ取られた」という説明は、違反をした本人が責任を逃れるための言い分としても使われ得るため、審査する側はそのまま受け入れることができません。どこから漏れたIDとパスワードで、いつ入られたのかが示されていれば、被害の申告として受け止めやすくなります。その材料になるのが、次の章でご説明する漏えいの通知です。

5　漏えいの通知が届いたら、乗っ取られる前にすること

利用しているサービスから漏えいの通知が届いたら、まだSNSに異変がなくても、すぐに次のことを確かめてください。申立てが混み合う時期に巻き込まれないためには、乗っ取られる前に手を打つのがいちばんの近道です。

最後の保管は見落とされがちですが、万一乗っ取られたとき、この通知が流出の経路を示すいちばん確かな資料になります。

6　乗っ取られたら、漏えいの通知を申立ての起点にする

乗っ取られてしまった場合は、漏えいの通知を起点に、出来事を日時の順に一つの表へ並べます。これは、企業の不正アクセスのインシデント対応で、最初にログを時刻順に並べて「いつ、どこから、何が起きたか」を確定させる作業と同じ考え方です。原因の推測や責任の議論は、その表ができてから始まります。

弊所が申立書面を作成するときも、本文を書く前に必ずこの表をつくります。表の右の列には、その出来事を裏づける記録を書いておきます。次の表は、ご相談の傾向をもとに再構成した例です。

時系列表の例

日時	出来事	手元に残る記録
9月2日	利用していた通販サイトから、メールアドレスとパスワードを含む個人情報が漏えいしたとの通知が届く	通販サイトからの漏えい通知メール
9月14日 23:41	Xから、ご本人が使っていない端末でのログインを知らせるメールが届く	Xからのログイン通知メール
9月14日 23:48	登録メールアドレスの変更を知らせるメールが届く	Xからのメールアドレス変更通知メール
9月14日 23:55	ご本人がログインを試みるが、パスワードが違うと表示される	ログインできなかったときの画面のスクリーンショット
9月15日 10:20	警察に不正アクセスの被害を相談する	警察に相談した日時と相談先のメモ
9月16日 14:05	乗っ取った第三者のスパム投稿を理由に、アカウントが凍結される	Xからの凍結通知メール

＊ご相談の傾向をもとに再構成した例です

この表が示しているのは、漏えいしたIDとパスワードで第三者がログインし、23:48にアカウントの支配が移り、その後に違反とされる投稿が行われたという経路と順序です。4章の「なぜ乗っ取られたのか」と「出来事の順番」に、一つの表で答えることができます。実際の申立てでは、右の列の記録を添付し、添付する順に番号を振っておきます。本文では、この表の順序をなぞりながら、どの説明がどの記録に支えられているのかを番号で示します。審査する側が説明と記録をすぐに照らし合わせられるようにするためです。

Xからの通知メールは、乗っ取りの後で削除されていることもあります。迷惑メールのフォルダやゴミ箱、同じメールアドレスで受け取っている他の端末も確かめてみてください。

警察への相談も表の一行になる

他人のIDとパスワードを使ってSNSにログインし、本人になりすまして書き込む行為は、不正アクセス禁止法で禁止されている行為の例として、警視庁も挙げているものです。相談は最寄りの警察署のほか、警察庁が設けているサイバー事案のオンライン窓口からも行えます。相談した日時と相談先を記録しておけば、被害を第三者の機関に申告していることを示す一行として、時系列表に加えられます。

7　弊所でお手伝いできること

漏えいをきっかけにした乗っ取りでは、手元にある通知やメールを、審査する側が判断しやすい形に組み直すことが求められます。弊所では次の業務をお引き受けしています。

なお、漏えいを起こした事業者や相手方との交渉、発信者情報開示請求、告訴状の提出の代理は弁護士の業務で、弊所ではお引き受けできません。こうした手続が必要になる場合は、その旨をご説明したうえで、弁護士へのご相談をおすすめしています。

まとめ

個人情報の漏えいでIDとパスワードが流出すると、使い回していたSNSが乗っ取られ、同じ時期にプラットフォームへの申立てが集中します。その結果、Xの審査が遅れることは十分に起こり得ます。

混み合う時期でも先に進むのは、流出の経路と乗っ取りの順序を、資料とともに一つの表で示した申立てです。漏えいの通知が届いたら、まずパスワードの変更と通知の保管を。乗っ取られてしまったときは、その通知と手元のメールをそのままお送りください。時系列表づくりから一緒に整理します。

参考資料

漏えい等報告・本人への通知の義務化について（個人情報保護委員会）
リスト型アカウントハッキングによる不正ログインへの対応方策について（総務省）
情報セキュリティ安心相談窓口の相談状況［2026年第3四半期（7月～9月）］（独立行政法人情報処理推進機構）
あなたのアカウント狙われています（不正アクセス）（警視庁）
サイバー事案に関する相談窓口（警察庁）