会社のInstagramが乗っ取られたら｜社長がすぐやることと日頃の備え

会社のInstagramを担当者に任せきりにしている会社は少なくありません。そのアカウントにログインできなくなったり、見覚えのない投稿が出たりすると、社長としては大きな不安を感じるものです。

ただ、慌てて対応すると、かえって状況が悪くなることもあります。この記事では、落ち着いて進められるように、順番と判断の軸を整理しました。

なお、Instagramの画面や手続きの名前は、予告なく変わることがあります。この記事では細かい画面操作を最小限にしています。実際の手順は、必ずInstagramの公式ヘルプで最新の内容をご確認ください。

1. 会社のInstagramが乗っ取られるとは｜どんな状態を指すのか

「乗っ取り」とは、第三者が本来の持ち主になりすまして、アカウントにログインしたり、設定を変えたりしてしまう状態を指します。投稿が勝手に増える、プロフィールが書き換わる、といった形で表に出ます。

1-1. こんな兆候があれば疑います

• ログインしようとすると「パスワードが違う」と表示され、入れなくなった
• 登録しているメールアドレスや電話番号が、知らないものに変わっている
• 身に覚えのない投稿・ストーリーズ・フォローが増えている
• お客様から「変なダイレクトメッセージ（DM）が届いた」と連絡があった
• 「新しい端末からログインがありました」という通知メールが届いた

一つだけで断定はできません。たとえば、担当者がパスワードを変え忘れて混乱しているだけ、ということもあります。まずは事実を確認する姿勢が大切です。

1-2. 会社のアカウントで特に起きやすい理由

個人のアカウントと違い、会社のアカウントには「複数人が関わる」「担当者が入れ替わる」という特徴があります。そこに弱点が生まれやすくなります。

以下は、あくまで架空の例です。従業員20名ほどの小売店で、Instagramを一人の担当者が自分のスマホで運用していたとします。その担当者が退職し、数か月後に「ログインできない」と気づいた、という流れです。このとき会社側には、誰がどこまで権限を持っていたのかを示す記録がありませんでした。

こうした状況は、悪意のある第三者だけでなく、単なる引き継ぎ漏れでも起こります。つまり「乗っ取り対策」と「退職時の引き継ぎ」は、ほぼ同じ話なのです。

2. 気づいたらまずやること｜最初の1日の初動

結論として、最初の1日でやることは「証拠を残す」「公式の手続きを始める」「周知する」の順です。ここでは社長の役割と、担当者の役割を分けて説明します。

2-1. 社長が最初にすること

1. 担当者から「いつ・何が起きたか」を聞き、メモに残す（時刻が大切です）
2. 担当者に、画面のスクリーンショット（撮影した画面）を残すよう指示する
3. 対応の責任者を一人決める（原則として社長か、社長が指名した人）
4. お客様・取引先への周知文を準備するよう指示する（第4章参照）

2-2. 担当者に頼むこと

• 見覚えのない投稿やプロフィールの画面を撮影する
• Instagramから届いたメール（ログイン通知・変更通知）を消さずに残す
• 登録メールアドレスの受信箱で、Instagramからの通知を探す
• 同じパスワードを使っている他のサービスがないか、洗い出す

もう一つ大切なのは、ホームページなど他の窓口も一緒に確認することです。Instagramが狙われた場合、ホームページの管理画面も同じパスワードで入れてしまうことがあります。ホームページ側の確認は、ホームページが改ざん・乗っ取りされたときの対処の記事が参考になります。

3. Instagramの回復手続きの流れ｜概要だけ押さえる

ここでは、手続きの「だいたいの流れ」だけを説明します。手続きの名称、画面、必要な書類は変わることがあるため、断定は避けます。最新の手順は、Instagramのヘルプセンターで確認してください。

3-1. 状況別の考え方

3-2. 本人確認で求められることがある内容

本人確認の方法は、状況によって異なると案内されています。たとえば、登録していたメールアドレスへの確認、身分証明書の提出、ご本人の顔を撮影した動画の提出などを求められることがあるとされています。

どれを求められるかは、Instagram側が判断します。会社側でコントロールできないため、「必ずこの方法で復旧できる」とは言えません。復旧までにかかる期間も一定ではなく、数日で済む場合もあれば、時間がかかる場合もあります。

3-3. 状況が重いときの相談先

お客様の個人情報が流出した可能性がある、金銭の被害が出た、脅迫を受けたなど、重い状況の場合は、Instagramへの手続きだけでは足りません。警察の相談窓口、顧問の専門家、契約している保険会社などへの相談も検討します。

ここは会社の事情によって対応が大きく変わります。判断に迷う場合は、社内で抱え込まず、早めに専門家へ相談してください。

4. 取引先・お客様への周知とDM（ダイレクトメッセージ）なりすまし対策

乗っ取られたアカウントは、お客様へのなりすましDMに使われることがあります。信頼を守るために、早めに別の手段でお知らせします。

4-1. 周知の手段と優先順位

4-2. お知らせ文の例（架空の会社名）

以下は、そのまま使える形にした文例です。会社名や日付は差し替えてください。

文面で気をつけたいのは、原因を断定しないことです。「乗っ取られました」と言い切るより、「可能性があることを確認しました」と書くほうが、後で事実が変わったときに訂正しやすくなります。

4-3. なりすましDMへの注意喚起のコツ

• 「当社からお願いすること」「お願いしないこと」を一文ずつ具体的に書く
• お客様に「怪しいと思ったら返信せず、電話で確認してください」と伝える
• 注意喚起の文面にはリンクを貼らず、公式ホームページに案内する
• 従業員にも同じ内容を共有し、お客様から問い合わせがあったときの答え方をそろえる

5. 日頃の備え｜2段階認証・管理者の複数化・権限管理

乗っ取りへの備えは、特別な技術よりも「会社として管理しているか」が決め手になります。社長は次の3つを担当者に確認してください。

5-1. 2段階認証（ログイン時に追加の確認を行う仕組み）

2段階認証とは、パスワードに加えて、スマホに届く番号などで二重に確認する仕組みです。パスワードが漏れても、すぐには入られにくくなります。

設定にかかる時間は、スマホ操作に慣れた担当者なら、1アカウントあたり10〜20分程度が目安です。ただし、画面の構成により前後します。方式の名称や選べる範囲は変わることがあるため、公式ヘルプで確認してください。

5-2. 管理者を複数にする

管理者を一人だけにすると、その人が退職・病気・紛失に見舞われたときに、会社が何もできなくなります。最低でも2人、うち1人は社長または総務の方にすることをおすすめします。

同じ理由は、ホームページの管理画面でも当てはまります。詳しくはホームページの管理画面にログインできないときの記事で触れています。Googleビジネスプロフィールも同様で、前任者が登録していた場合の取り戻し方で、オーナーを複数にする考え方を紹介しています。

5-3. Metaのビジネス管理で権限を整理する

Instagramを運営しているMeta社には、ビジネス向けの管理機能があります。代表的なものが、Meta Business Suite（投稿の予約や問い合わせの管理に使う画面）と、ビジネスポートフォリオ（会社の資産と、関わる人の権限をまとめて管理する場所）です。

機能の名称や、できることの範囲は、Meta社の更新で変わることがあります。導入するかどうかは、会社の運用規模によります。投稿頻度が低く担当者も一人の場合は、まず2段階認証と管理者の複数化を優先すれば十分なことが多いでしょう。

5-4. パスワードと連絡先の管理

• パスワードは他のサービスと使い回さない（長く、推測されにくいものにする）
• パスワードの保管は、会社が管理する方法に統一する（付箋やチャットの履歴は避ける）
• 登録メールアドレスは、担当者個人ではなく、会社の共用アドレスにする
• 怪しいメールやDMのリンクは押さない、というルールを全員で共有する

6. 退職時のパスワード変更と引き継ぎ

乗っ取りと並んで多いのが、退職者のログイン情報が残ったままになるケースです。悪意がなくても、管理が及ばない状態は避けたいところです。

6-1. 退職時にやること

パスワードを変えるだけでは不十分な場合があります。ログイン状態のまま残っている端末を、ログアウトさせる必要があるためです。この点は、担当者に「他の端末からログアウトする機能があるか、公式ヘルプで確認してください」と伝えれば足ります。

担当者の退職全般については、Web担当者が辞めたときに社長がやることの記事に、確認リストを載せています。あわせてご覧ください。

6-2. 円満退職でも見直す理由

退職者を疑うための作業ではありません。「誰が何に入れるのか」を毎回リセットする習慣にすることで、会社と本人の双方を守れます。万一、後で問題が起きたときにも、退職日にすべて確認済みという記録が残ります。

7. 担当者に渡すチェックリスト

ここからは、社長が担当者にそのまま渡せるチェックリストです。画面の名前は変わることがあるため、迷ったら公式ヘルプを検索して最新の内容に従ってください。

7-1. 乗っ取りかもしれないと気づいたとき

• □ 気づいた日時と、何が起きたかをメモした
• □ 見覚えのない投稿・設定の画面を撮影した
• □ Instagramから届いたメールを消さずに残した
• □ 登録メールの受信箱と迷惑メールフォルダを確認した
• □ Instagramの公式ヘルプの案内から手続きを始めた（偽サイトでない）
• □ 同じパスワードを使う他サービスのパスワードを変更した
• □ 社長に状況を報告し、周知文の準備を始めた

7-2. 備えのチェック（半年に1回）

• □ 2段階認証が有効になっている
• □ 2段階認証の連絡先が会社のもの（個人の番号でない）
• □ バックアップコードを会社の決めた場所に保管している
• □ 管理者が2人以上いて、うち1人は社長または総務
• □ 登録メールアドレスが会社の共用アドレスになっている
• □ 退職者・異動者の権限が残っていない
• □ ログイン情報の一覧表を最新にしている

7-3. 退職者が出るとき

• □ 退職者が持つ権限と、運用中のアカウントの一覧を作った
• □ 後任者または社長を管理者に追加した
• □ 退職日に権限を外した
• □ パスワードを変更し、他の端末からログアウトした
• □ 退職後1週間、不審なログインがないか確認した

このチェックリストの一覧表（誰が・いつ・何を確認したか）を、紙でも共有ファイルでもよいので1枚にまとめて保管してください。社長が見ればすぐに状況が分かる形が理想です。

8. 自社でやること・任せること｜判断軸の表

すべてを社長が抱える必要はありません。次の表を目安に、役割を分けてください。

費用と手間の目安についても触れておきます。社内で対応する場合、備えの初期設定は担当者の作業時間でおよそ半日から1日程度を見込むのが無難です。前提は、アカウントが1〜2つで、担当者がスマホ操作に慣れている場合です。アカウントが多い、拠点が複数ある、といった場合は、この数字より大きくなります。

パスワードの保管に専用のサービスを使う場合は、月額の費用がかかります。料金は製品ごとに異なるため、導入前に公式サイトで確認してください。無理に導入せず、会社が管理する台帳と鍵のかかる保管場所で始めることもできます。

9. やってはいけない5つ（NOT TO DO）

慌てた状況では、良かれと思った行動が裏目に出ることがあります。次の5つは避けてください。

10. AIの活用｜下書きは任せ、判断は人が行う

AIは、乗っ取り対策の「下書き」づくりに役立ちます。ただし、完全な自動化ではなく、人が確認する半自動化にとどめるのが安全です。

11. よくある質問（FAQ）

12. まとめと関連記事

会社のInstagramの乗っ取りは、特別な会社だけに起こることではありません。担当者の入れ替わりや、個人スマホでの運用といった、よくある状況が弱点になります。

起きたときは、証拠を残し、公式ヘルプで手続きを進め、別の窓口で周知します。起きる前には、会社を所有者にし、管理者を2人以上にし、2段階認証と退職時の見直しを習慣にします。

どれも、社長が操作を覚える必要はありません。判断と確認に集中し、実作業は担当者に任せる形で進めてください。

関連記事

• ホームページが改ざん・乗っ取りされたときの対処｜社長が最初の1日でやること
• Web担当者が辞めたときに社長がやること｜引き継ぎ漏れを防ぐ確認リスト
• Googleビジネスプロフィールのオーナー確認ができないとき
• 中小企業にSNSは必要か｜社長が始める前に決める目的と続けられる量
• Instagram集客のやり方｜向き不向きから来店・予約への導線まで