WhatsAppやTelegramのアカウントが乗っ取られたら？取り戻し方と守り方

WhatsAppのアカウントが乗っ取られたらどうすればよいですか？

WhatsAppのヘルプセンターは、自分の番号のSIMカードがまだ手元にあることを条件に、侵害されたアカウントの復旧方法を1つ示しています^[1]。

1. WhatsAppを開き、再ログイン、続行の順にタップします。求められた場合は、国番号を含む電話番号を入力します^[1]。
2. SMSまたは電話で届いた6桁のコードを入力します。このコードで再登録すると、アカウントにログインしているすべての端末が自動的にログアウトされます^[1]。
3. 自分の知らない2段階認証のPINを求められた場合は、侵入者が設定した可能性があります。WhatsAppは7日間待ってから再試行するよう案内しています。SMSのコードを入力した時点で、アカウントを使っている人物はログアウトされたままになります^[1]。
4. 侵入者がチャットやグループであなたになりすます可能性があるため、家族や友人に知らせます^[1]。
5. アカウントを取り戻したら、セキュリティ機能を有効にし、アカウントにリンクされている端末を確認します^[1]。

効果のない対処法は何ですか？

パスワードを変更しても、他人をアカウントから排除することはできません。WhatsAppによると、パスワードと2段階認証はまだアクセスできるアカウントを守るためのものであり、侵入者を排除する唯一の方法は6桁のコードで再登録することです^[1]。またWhatsAppは、取り戻そうとしている侵害されたアカウントを報告すると、そのアカウントが利用停止になってアクセスを失う可能性があるため、まず復旧を優先するよう勧めています^[1]。

侵入者は過去のチャットを読めますか？

WhatsAppによると、メッセージはエンドツーエンドで暗号化されて端末に保存されているため、新しい端末でアカウントを再登録した人物が過去の会話を読むことはできません^[1]。ただし、アカウントを掌握している間は、新しいメッセージを受け取ったり、連絡先にメッセージを送ったりすることができます。

WhatsAppやTelegramのアカウントはどのように乗っ取られるのですか？

詐欺対策機関やセキュリティ研究者が説明する以下の乗っ取りの手口は、暗号を破るものではありません。アカウントの所有者や、所有者が契約する携帯電話会社をだまして、ログインの手段を渡させるものです^[7][8][9]。

「間違えてコードを送ってしまった」詐欺

英国の全国的な詐欺通報センターであるAction Fraudは、2023年にこの手口を次のように説明しました。犯罪者はまず、あなたを連絡先に登録しているWhatsAppのアカウントを乗っ取り、その友人になりすましてあなたにメッセージを送ります^[7]。同時に、犯罪者があなたの番号でログインしようとしているため、あなたのもとにはWhatsAppから6桁のコードが記載されたテキストが届きます。犯罪者は誤ってコードをあなたに送ってしまったと言い、それを転送するよう頼むのです^[7]。コードを手に入れると、犯罪者はログインしてあなたを締め出し、今度はあなたの連絡先に同じ手口を繰り返します^[7]。当時、Action Fraudにはこの詐欺について60件を超える通報が寄せられていました^[7]。

SIMスワップ

SIMスワップでは、犯罪者が携帯電話会社を説得したり買収したりして、あなたの番号を自分たちが持つSIMカードに移させます。その後は、ワンタイムコードを含む通話やテキストが犯罪者の端末に届くようになります^[9]。FBIのインターネット犯罪苦情センターは2021年に1,611件のSIMスワップの苦情を受理し、調整後の損失額は6800万米ドルを超えました^[9]。

悪意あるQRコードとリンク済みの端末

どちらのアプリも、パソコンなど他の端末でアカウントを使えるようにしています。2024年11月、Microsoftは、同社がStar Blizzardと呼ぶロシア国家とつながりのあるグループが、標的にWhatsAppグループへの招待メールを送っているのを確認しました。誘導先のページにあるQRコードは、実際には被害者のアカウントを攻撃者が管理する端末にリンクさせるもので、攻撃者はWhatsApp Webを通じてメッセージを読み、エクスポートできるようになっていました^[8]。Microsoftは、このキャンペーンは限定的なもので、2024年11月末に終了したとみられるとしています^[8]。

その他の経路

WhatsAppは、誰にもボイスメールにアクセスされないよう推測されにくいボイスメールのパスワードを設定することと、登録コードを含む身に覚えのないメールのリンクをクリックしないことを勧めています。そうしたメールは、誰かがあなたの番号を登録しようとしていることを意味している可能性があります^[2]。Telegramは、どのボットも見知らぬ人として扱い、パスワードやTelegramのコードを決して渡さないよう利用者に警告しています^[6]。

乗っ取られたTelegramのアカウントはどのように取り戻しますか？

Telegramによると、現在同社が利用者を識別する方法は電話番号だけです。番号を持っている人がアカウントを持っていることになり、番号か、いずれかの端末上のTelegramにアクセスできない限り、同社は手助けできません^[6]。スマートフォンを盗まれた場合の同社の助言は、どのような乗っ取りにも最良の指針となります^[6]。

1. 別の端末でまだログインしている場合：［設定］、［プライバシーとセキュリティ］の順に進み、2段階認証を有効にします。これで電話番号だけではログインできなくなります^[6]。
2. ［設定］、［端末］（または［プライバシーとセキュリティ］、［アクティブなセッション］）の順に進み、見覚えのないセッションを終了します。パスワードがなければ、その端末は再びログインできません^[6]。
3. どの端末からもアクセスできない場合：携帯電話会社に連絡して古いSIMを停止してもらい、同じ番号で新しいSIMを発行してもらいます。その後ログインし、見覚えのないセッションを終了します^[6]。

Telegramで誰かがあなたになりすましている場合は、@NoToScamに連絡するようFAQで案内されています^[6]。Telegram自体のログインコードは「Telegram」という名前の認証済みのサービスチャットに届き、他のサービスやアプリを含め、誰とも共有してはいけません^[6]。

Telegramでは何が危険にさらされるのですか？

Telegramはクラウドチャットを保存しているため、どの端末からでもアクセスでき、ログインしたすべての端末に即座に同期されます^[6]。クラウドチャットはサーバー・クライアント間の暗号化を使い、シークレットチャットはさらにエンドツーエンド暗号化を加えたもので、Telegramのクラウドには含まれず、作成元の端末でしかアクセスできません^[6]。つまり実際には、侵入者が開いたセッションからはクラウドチャットは見えてもシークレットチャットは見えません。だからこそ、見覚えのないセッションをすぐに終了することが重要なのです。

WhatsAppとTelegramのアカウントを守る設定はどれですか？

どちらのアプリにも、盗まれたコードや電話番号だけでは不十分にする何層もの保護機能があります。WhatsAppは、これらの機能はまだアクセスできるアカウントでのみ有効であり、失ったアクセスを回復したり、すでに侵入している人物を排除したりすることはできないと強調しています^[2]。

• 2段階認証。WhatsAppでは、［設定］、［アカウント］、［2段階認証］の順に進んで有効にし、強力なパスワードを作成し、必要に応じてメールアドレスを追加します^[3]。WhatsAppは、2段階認証で使う6桁のPINをパスワードに切り替えているとしています^[3]。Telegramでは、2段階認証は［設定］、［プライバシーとセキュリティ］にあります。有効にすると、ログインにはSMSのコードとパスワードの両方が必要になります^[6]。
• 復旧用のメールアドレス。WhatsAppによると、登録時にメールアドレスを追加しておけば、SMSや電話を使わずにアカウントを復旧できます^[2]。Telegramでは、パスワードを忘れた場合に備えて復旧用のメールアドレスを設定でき、そのメールアカウントも強力なパスワードと2段階認証で保護するよう勧めています^[6]。
• パスキー。パスキーは、端末の画面ロック、指紋、顔に結び付いたログイン方法です。パスキーを設定すると、WhatsAppはアカウントを端末のセキュリティシステムに結び付けます^[4]。Telegramは、パスキーはSMSのコードより安全であり、iCloudキーチェーンやGoogleパスワードマネージャーなどのパスワードマネージャーにバックアップできるとしています^[6]。
• アプリとチャットのロック。WhatsAppにはアプリロックとチャットロックがあり^[2]、Telegramはアプリをロックするパスコードを勧めています^[6]。
• 高リスクの人向けの選択肢。WhatsAppの厳格なアカウント設定は、同社の最も厳しいプライバシーとセキュリティの管理を適用するもので、標的にされるおそれがあると考える人を対象としています^[2]。Telegramは、身の安全を心配する人に対し、公式アプリまたは検証可能なオープンソースのアプリでシークレットチャットを使うよう勧めています^[6]。

リンク済みの端末やアクティブなセッションはどのように確認しますか？

見覚えのないリンク済みの端末やセッションは乗っ取りのよくある兆候であり、前述のQRコードによる攻撃は完全にそれを通じて行われます^[8]。

• WhatsApp：メニューを開いて［リンク済みデバイス］をタップするとすべての端末を確認でき、端末をタップして［ログアウト］を選ぶと削除できます^[2]。WhatsAppは、リンク済みの端末を定期的に確認することが重要であり、スマートフォンからすべてのWhatsApp Webのセッションをログアウトできるとしています^[5]。
• WhatsApp Web：QRコードを読み取る前に「このブラウザでログインしたままにする」のチェックを外しておけば、タブやブラウザーを閉じたときにセッションが終了します^[5]。
• Telegram：［設定］、［端末］（または［プライバシーとセキュリティ］、［アクティブなセッション］）に、終了できるセッションが一覧表示されます^[6]。パスキーは［設定］、［プライバシーとセキュリティ］、［パスキー］で、作成日と最終使用日とともに確認できます^[6]。

WhatsAppやTelegramのQRコードは、自分で開いた公式アプリまたは公式ウェブサイトのものだけを読み取ってください。「グループに参加する」手段としてメールやメッセージで送られてきたQRコードは、リンクと同じように疑ってかかるべきです。Microsoftは、そうしたメールについては、以前から使っている既知のアドレスを使って送信者とされる人物に連絡するよう助言しています^[8]。

WhatsAppはさらに、誰がいつどこからアカウントにアクセスしたかを利用者に伝えることはできないとしています^[5]。

パスキーと2段階認証が推奨されるのはなぜですか？

SMSで送られるコードが証明するのは、誰かがその番号宛てのテキストを受け取れるということだけです。犯罪者があなたをだましてコードを転送させたり、番号を自分のSIMに移したりすれば、そのコードは犯罪者にとって有効になります^[7][9]。2つ目の秘密情報や端末に結び付いたパスキーがあれば、それを防げます。

FBIは、生体認証、物理的なセキュリティトークン、独立した認証アプリなどの強力な多要素認証を勧めており、パスワードやPINを尋ねてくる電話の相手に携帯電話のアカウント情報を決して教えないよう助言しています^[9]。Telegramは、SMSのコードは届かないことが多く、傍受される可能性もあるとしています^[6]。

2026年10月、英国のReport Fraudは、メールとソーシャルメディアのアカウントのハッキングによる被害額が前年の120万ポンドから2025/26年度には630万ポンドに増加し、この種のアカウント乗っ取りの通報件数が34%増えたと報告したうえで、パスキーへの切り替えを呼びかけるキャンペーンを開始しました^[10]。Report Fraudによると、犯罪者が乗っ取ったアカウントを使う最も一般的な方法の1つは、家族や友人へのなりすましです^[10]。

イランの利用者が知っておくべきことは何ですか？

イランでは、どちらのアプリへのアクセスも政府によるブロックに左右されてきました。フリーダム・ハウスによると、Telegramは2018年4月に恒久的にフィルタリングされ、WhatsAppとInstagramは2022年の「女性、命、自由」抗議運動のさなかにブロックされました^[11]。2024年12月、イランの国営通信社IRNAは、WhatsAppとGoogle Playに対する制限を解除する決定が採択されたと報じました^[12]。

フリーダム・ハウスはまた、Bale、Rubika、Soroushなど人気アプリのイラン版が政府から多額の資金援助を受けていること、そしてイスラム革命防衛隊とつながりのあるハッキンググループが、ジャーナリストや人権活動家になりすまして批判者をフィッシング作戦に誘い込んでいたことを指摘しています^[11]。SIMカードの購入には、パスポートや身分証明書による実名登録が必要です^[11]。

各プラットフォーム自身の案内から導かれる実践的なポイントは次のとおりです。Telegramは機密性の高いチャットには公式アプリまたは検証可能なオープンソースのアプリを勧めているため、アプリは公式の入手先からのみインストールすること^[6]。相手が誰であっても、ログインコードは決して共有しないこと^[2][6]。そして、電話番号を握られただけではアカウントを奪われないよう、2段階認証を有効にしておくことです^[6]。

復旧しても解決できないことは何ですか？

復旧によって管理権は取り戻せますが、あらかじめ知っておくべき限界があります。

• 同じ電話番号のSIMカードがなければ、WhatsAppのアカウントは復旧できません^[1]。
• WhatsAppは、他人のアカウントを無効にしたり、利用者に代わって連絡先をブロックまたはブロック解除したり、誰がアカウントにアクセスしたかを伝えたりすることはできません^[1]。
• 新しいSIMに移っても古いWhatsAppのアカウントを使い続ける場合は、電話番号の変更機能を使う必要があり、そうしないとアクセスを永久に失う可能性があります^[1]。Telegramも同様に、アカウントが自分の管理する番号に結び付いていなければ、アクセスを永遠に失うおそれがあると警告しています^[6]。
• 復旧しても、侵入者がすでに送信したものは取り消せません。侵入者がチャットやグループであなたになりすます可能性があるため、WhatsAppは家族や友人に知らせるよう助言しています^[1]。

あなたの名前でお金が奪われたり要求されたりした場合は、警察またはお住まいの国の詐欺通報窓口に報告してください。英国ではAction Fraudがその窓口で、普段と違う依頼を受けたときは友人や親族に電話して確認するよう勧めています^[7]。