Xアカウントの乗っ取りを防ぐには、パスワードの使い回しをやめることに加えて、2段階認証・ログイン中のセッション・連携アプリを確認することが大切です。
ログイン時の認証を強くしても、以前に許可したアプリが自分の代わりに投稿できる状態なら、そこも見直す必要があります。
すでに身に覚えのない投資リンクが投稿されていたり、スパムDMが送信されていたりする場合は、予防設定だけで済ませず、先に「乗っ取りが疑われるときの対処」へ進んでください。
ここではXの公式情報をもとに、普段の予防と異常に気づいた場合の対応を分けて説明します。
勝手な投稿やDMは、乗っ取りを疑う手がかり
アカウントの操作には、端末からのログインのほか、許可した外部アプリを通じた投稿などもあります。
普段は閲覧が中心でも、送信済みの投稿やDMと、許可しているアクセスを確認することが、異常を見つける手がかりになります。
Xが乗っ取りの可能性を確認する手がかりとして挙げているのは、次のような変化です。
- 自分が投稿していないポストがある。
- 送った覚えのないDMが送信されている。
- 心当たりのないフォロー、フォロー解除、ブロックがある。
- 自分で変更していないアカウント情報の変更通知が届く。
- これまでのパスワードでログインできなくなる。
たとえば投資サイトへの誘導が突然投稿された場合、問題なのは「投資の話題だから」ではなく、本人が行なっていない操作がアカウント上で起きていることです。
一方、知らない相手からスパムDMを受信しただけでは、自分のアカウントが乗っ取られた証拠にはなりません。
受信と、自分からの送信を区別して確認しましょう。
予約投稿や、意図して利用している投稿管理サービスの動作にも心当たりがなければ、不審な操作として対処してください。
投稿を消しただけでは、操作を行う経路まで止められるとは限りません。
パスワードをX専用のものに変更する
変更を始める前に、登録メールを受信できるか確かめます。
パスワードを忘れている場合や本人確認を求められた場合に、受け取った案内が必要になるためです。
登録先のメール自体にも、Xとは異なるパスワードと利用できる追加認証を用意してください。
ほかのサービスと同じパスワードをXでも使っていると、別の場所で知られたログイン情報を使われるおそれがあります。
Xのために、ほかでは使っていない長く推測されにくいパスワードを設定します。
名前や誕生日、ユーザー名を組み合わせただけのもの、以前のパスワードの末尾だけを変えたものは避けます。
複数のパスワードを覚えるのが難しければ、信頼できるパスワード管理機能を使って、異なるものを管理する方法があります。
複数のXアカウントを使っている場合も、すべて同じものにそろえるより、アカウントごとに分けて管理します。
変更するときは、対象のユーザー名を先に確かめると、別アカウントの設定を取り違えずに済みます。
変更画面で保存し、対象アカウントを確認する
公式アプリで対象のユーザー名を確かめ、「設定とプライバシー」→「アカウント」→「パスワードを変更する」へ進みます。
現在のパスワードを入力し、新しいパスワードと確認用の入力をそろえて、完了・保存の操作まで進めてください。
メニュー名が異なる版では、アカウント設定内のパスワード変更項目を探します。
現在のパスワードを思い出せない場合は、公式のパスワード再設定へ切り替えます。
変更後は保存完了の表示を確認し、パスワード管理機能に控える場合も、対象のユーザー名と新しい内容が対応しているかを確かめます。
認証手段やバックアップコードを用意する前に、ログイン中の端末をすべて手放さないようにしましょう。
2段階認証は、認証アプリなどで追加する
Xの設定画面では、2段階認証に相当する機能を「2要素認証」と表記しています。
パスワードに加え、認証アプリのコードやセキュリティキーなどを使って本人であることを確認する仕組みです。
| 方法 | 使うもの | 選ぶ前に確認すること |
|---|---|---|
| 認証アプリ | アプリが表示する認証コード | 機種変更や紛失時の復旧方法を用意する |
| セキュリティキー | 対応する物理的なキー | 端末への対応とキー自体の管理方法 |
| SMS | 電話番号に届くコード | X Premium加入者向け。国・通信事業者による条件もある |
無料で使っているアカウントでも、SMS以外の方法を検討できます。
SMSが使えないことを理由に、追加の認証そのものを諦める必要はありません。
セキュリティキーは、Xの契約条件とは別に、機器の購入費がかかる場合があります。
認証アプリを登録する流れ
ブラウザ版では、次の順で設定を開きます。
アプリの版や端末によって入口の見え方が異なる場合は、画面に表示される案内に沿って進めてください。
- Xの「設定とプライバシー」を開く。
- 「セキュリティとアカウントアクセス」から「セキュリティ」を選ぶ。
- 「2要素認証」で「認証アプリ」を選び、表示される案内を確認する。
- 認証アプリにXの認証情報を登録する。
QRコードの読み取りなど、画面に提示される方法を使う。 - 認証アプリに表示されたコードをXの設定画面へ入力し、登録を完了する。
設定後は2要素認証の画面へ戻り、認証アプリが有効になっているかを確認します。
アプリを入れただけで終えず、X側でコードの認証と登録完了まで進んだかを見ることが大切です。
Xの案内では、登録時に確認済みのメールアドレスも必要です。
表示された追加の確認がある場合は、それも完了させます。
コードは時間とともに変わるため、期限が過ぎたら認証アプリの新しいコードを使います。
認証コードや登録用のQRコードを、DMで相手に送らないでください。
認証のために使う情報を渡してしまうと、設定を追加した意味が損なわれます。
バックアップコードまで保存して完了
認証アプリを入れたスマートフォンをなくすと、普段のコードを確認できなくなる場合があります。
Xが用意するバックアップコードは、通常の認証が使えないときのために保管するものです。
バックアップコードは、自分だけが取り出せる安全な場所に保管してください。
紙なら鍵のかかる引き出し、デジタルならパスワード管理ツールの保護された保管庫などが選択肢です。
スマートフォンを失った場合にも取り出せる保存先を選びます。
機種変更前には、新しい端末で認証情報を使えるか、またはバックアップコードを使えるかを確認してから、古い端末の初期化を進めます。
認証方法を失ったままログアウトすると、再び入るための手続きが必要になります。
バックアップコードを使うときは、公式のログイン画面で通常のユーザー名とパスワードを入力した後、2要素認証の画面からバックアップコードを入力する方法へ進みます。
認証アプリも有効なバックアップコードも使えず、ログアウト済みなら、後半で案内する公式サポートへ相談します。
復旧用コードも、他人へ渡す認証情報ではありません。
セッションと連携アプリは、役割を分けて確認する
追加の認証は、新しくログインする場面を守る仕組みです。
すでにログインしている端末や、許可済みの外部アプリについても確認します。
セッションは、ログインしている状態の記録です。
連携アプリは、外部のサービスに与えているアクセス許可です。
片方を見直しただけで、もう片方まで確認したことにはなりません。
セッション：使っていないログイン状態を終了する
「設定とプライバシー」から「セキュリティとアカウントアクセス」の「アプリとセッション」を開き、セッションの一覧を確認します。
表示される端末、場所、日時を、自分の利用と照らし合わせてください。
使い終えた共用パソコンなど、残す必要のないセッションはログアウトします。
Xの公式案内では、個別のセッションを終了する方法に加え、ほかのすべてのセッションを終了する方法も用意されています。
終了後は一覧を開き直し、対象のセッションが残っていないか確かめます。
一覧に出る位置情報だけを根拠に即断せず、端末や利用時刻も合わせて確認します。
自分の利用と合わないセッションがあり、不審な投稿なども起きている場合は、ログアウトさせたうえで、後述の対処を進めます。
なお、セッションの終了は、そのログイン状態からの今後の操作を止めるためのものです。
相手の端末にすでに保存されたDMなどのデータまで削除できるとは限りません。
連携アプリ：許可した操作を確認する
「アプリとセッション」では、連携しているアプリの一覧も確認します。
見覚えのないものや、使わなくなったサービスのアクセス許可は取り消してください。
外部アプリができることは、与えた権限によって異なります。
閲覧だけのものもあれば、本人に代わって投稿するものや、DMにアクセスできるものもあります。
サービス名を覚えているかだけでなく、何を許可しているかを読みます。
たとえば以前に使った分析サービスが残っていたら、今も必要なのか、利用目的に対して許可の範囲が広すぎないかを確認します。
許可を取り消すと、その連携に依存した機能は使えなくなることがあるため、日常的に使うサービスは用途を確かめて判断します。
取り消す際は、対象のアプリを開き、表示される権限とサービス名を確かめて「アクセス権を取り消す」に進みます。
操作後は一覧や詳細画面で、許可が残っていないかを見直してください。
仕事などで継続して使うサービスを誤って外した場合は、そのサービスの正規の連携画面から、必要な権限を読み直して再接続します。
不審なアプリを、動かなくなったからという理由で再許可しないことが重要です。
Xのパスワードを外部サービスへ直接渡していた場合は、連携の取り消しに加えてパスワードも変更します。
連携サービスだからといって、ログイン情報をそのまま教えてよいわけではありません。
パスキーも選択肢。2段階認証との違いを知る
パスキーは、従来のパスワードの代わりに使えるログイン方法です。
パスワードを入力し、さらにコードを入力する2段階認証と、同じものとして扱わないようにします。
Xは、パスキーについて、通常のパスワードと比べてフィッシングや不正アクセスの影響を受けにくい仕組みと説明しています。
偽のログイン画面にパスワードを入力してしまう危険を減らす選択肢ですが、端末の管理や、不審な連携の確認も引き続き必要です。
2026年11月5日に確認した英語版の公式案内では、iOSとAndroidの両方で利用可能とされています。
一方、日本語版にはiOSのみという記載が残っています。
対応案内に差があるため、使っているXアプリにパスキーの項目が表示されるかも確認してください。
設定項目がある場合は、「設定とプライバシー」→「セキュリティとアカウントアクセス」→「セキュリティ」から、追加のパスワード保護にある「パスキー」を選びます。
パスワードを確認し、「パスキーの追加」から端末の案内に従います。
登録を終えたら、設定画面でパスキーが登録されていることを確認します。
新しい端末で使う予定がある場合は、その端末で公式のログインを完了できるかも確かめてから、古い端末を初期化します。
端末の保存・同期の条件も関わるため、登録したことと別端末で利用できることを分けて確認してください。
パスキーはログインに必須ではありません。
使う場合も、端末を失った際の認証方法と登録メールの受信手段を残します。
セッションや連携アプリの点検も、引き続き必要です。
不審なDMのリンクからログインしない
「規約違反を解除してください」「アカウントが停止されます」といった通知が届いても、DMのリンクからそのままログインしないでください。
普段使っているXアプリや、自分で開いた公式サイトからアカウントの状態を確認します。
差出人の名前やプロフィール画像が公式らしく見えることだけでは、本物と判断できません。
知り合いのアカウントから届いたリンクも、その相手のアカウント自体が不正利用されている場合があります。
「フォロワーを増やす」などのサービスにも、Xのユーザー名とパスワードを直接渡さないでください。
ログイン情報を渡すと、本人に代わる操作を許すだけでなく、自分がアカウントに入れなくなる危険もあります。
アプリやOSの更新も続けます。
認証設定を追加することと、端末の不具合や脆弱性に対処することは、どちらか一つで済む作業ではありません。
乗っ取りが疑われるときの対処
すでに勝手な投稿やDMがある場合は、「あとで2段階認証を設定しよう」と先延ばしにせず、今のアクセスを見直します。
ログインできる場合と、入れない場合で進め方が異なります。
まだログインできる場合
- Xの公式アプリや公式サイトから、使い回していない新しいパスワードへ変更する。
- 「アプリとセッション」で、不審なログイン状態を終了し、見覚えのない連携アプリの許可を取り消す。
- ユーザー名や登録メールアドレスなど、自分のアカウント情報が変更されていないか確認する。
- 不審な投稿などの内容や時刻を控えたうえで、自分が投稿していないポストを削除する。
- 2段階認証とバックアップコードを整え、異常な操作が続いていないか確認する。
パスワードを変更しただけで、XのiOS・Androidアプリとの連携が自動的に解除されるとは限りません。
セッションとアプリの許可も別に確認してください。
送信したDMは、こちらの画面で削除しても相手側のコピーまで消えるとは限りません。
パスワード変更後も不審な動作が続く場合は、端末のマルウェア対策や更新を確認し、Xのサポートへ相談します。
アカウントに登録しているメールアドレスを本人が利用できるかも、復旧に備えて確認しておきます。
ログインできない場合
自分で開いたXのログイン画面の「パスワードを忘れた場合はこちら」から再設定を始めます。
ユーザー名・登録メール・電話番号など画面で求められた情報を入力し、利用できる受信先を選びます。
届いたコードを公式の再設定画面に入力して、新しいパスワードの保存まで進めてください。
その後、Xへログインできるかを確認します。
パスワードの再設定と、2要素認証を通過するためのコードは別の確認なので、認証アプリ等が使えない場合はバックアップコードやサポートの案内へ進みます。
再設定しても入れない場合は、X公式の乗っ取り対応ページからサポートへの問い合わせを進めてください。
問い合わせに備えて、ユーザー名、登録していたメールアドレス、最後にアクセスできた日付を整理します。
検索やDMで見つけた「復旧代行」を名乗る相手に、パスワードや認証コードを渡さないでください。
復旧を保証することはできませんが、公式の手続きを使うことで、被害を広げる情報の受け渡しを避けられます。
相談した後は、登録先の受信箱と迷惑メールフォルダーを確認し、Xから追加の確認が届いたら、その案内に沿って対応します。
問い合わせを送った時点と、アカウントを回復できた時点を区別し、入れるようになったら登録情報・連携・投稿履歴をもう一度確認してください。
まとめ
Xの乗っ取り防止は、専用のパスワードと2段階認証に加え、セッションと連携アプリを見直すところまでが一組です。
パスキーを使う場合も、許可済みのアクセスは別に確認します。
まだ異常がないなら、まず2要素認証の設定とバックアップコードを確認してください。
勝手な投稿や送信DMがあるなら、予防だけで終わらせず、パスワード変更と不審なアクセスの取り消しを進めましょう。
関連記事
- 日本郵便の詐欺メールの見分け方｜偽SMS・再配達通知を安全に確認する手順 — 通知の見た目だけに頼らず、公式の入口で確かめる方法を解説しています。
参考資料
- Xヘルプセンター「アカウントのセキュリティのヒント」 — パスワード、認証、不審なリンクへの対策。
- Xヘルプセンター「2要素認証を使用する方法」 — 認証アプリの登録とバックアップコード。
- X Help Center「How to use two-factor authentication」 — SMS認証のX Premium条件。
- X Help Center「Connect or revoke access to third-party apps」 — セッションの終了、アプリの権限と連携解除。
- X Help Center「How to use passkey」 — iOS・Androidの対応案内と設定方法。
- Xヘルプセンター「パスキーの使い方」 — 日本語の設定案内。
対応端末の記載は英語版と異なります。 - Xヘルプセンター「アカウントが乗っ取られた場合の対処」 — 兆候、パスワード変更、アクセス許可、サポートへの相談。
- X Help Center「How to reset a lost or forgotten password」 — 変更・再設定の手順と登録先の受信。
- Xヘルプセンター「2要素認証に関するヘルプ」 — バックアップコードの利用と、手段を失った場合の相談。
情報確認日：2026年11月5日
