SNS Account Takeover · Response Playbook
「友人を装って確認コードを聞き出し、WhatsApp経由で二段階認証を乗っ取る」連鎖型の手口に対する、初動から復旧・再発防止までの実践手順。Instagram / Facebook / WhatsApp の連携乗っ取りを想定し、スマホ・PCの両操作に対応しています。
THE NON-NEGOTIABLE RULES
この乗っ取りは 1人を落とすと、その友人へ次々に連鎖する 構造を持っています。あなたに届いた「コード送って」のメッセージは、すでに乗っ取られた友人のアカウントから自動的に送られているものです。
さらに近年は、確認コードの送信先をWhatsAppに切り替える手口が増えています。攻撃者はあなたのInstagramの二段階認証(2FA)を自分のWhatsAppに向けることで、あなたがパスワードを直しても2FAを外せない「固められた」状態を作ります。本手順書の STEP 4〜5 はこの解除に対応しています。
実例の再現 ── Reconstructed from a real case
「アンバサダーに投票して」→「電話番号を教えて」→「確認コードを送る」という流れは、あなたのアカウントにパスワードリセットを仕掛け、届いたコードを横取りする典型手口です。投票・コインプレゼント・本人確認など名目はさまざまですが、電話番号や確認コードを求められた時点で100%詐欺（鉄則①）。不在着信や「今すぐ」という急かし（鉄則②）も常套手段です。
次のいずれかに心当たりがあれば、本手順の初動に進んでください。
まず「自分でログインできるか」「連絡先(メール・電話)が自分のままか」で進む道が分かれます。下の図で自分の位置を確認してから、該当する手順へ進んでください。
各ステップに「📱 スマホ操作」「💻 PC操作（ブラウザ）」の導線を併記しています。チップは タップ／クリックの順序 を表します。基本はこの番号順に進めてください。
SNSの復旧コードはすべて登録メールに届きます。メール(Gmail等)が乗っ取られていると後の手順がすべて無効化されるため、一番先にメールのパスワード変更と2FAを済ませます。
パスワード変更は2FAコードがなくても、現在のパスワードだけで実行できることがほとんどです。これで相手は新パスワードを知らず、新規ログインができなくなります。
2FAが相手のWhatsApp等に向いている場合、今のログインセッションは切らないこと。ログアウトすると再ログイン時のコードが相手に届き、自分も入れなくなります。
2FAは新規ログインを止めるだけで、すでにログイン中の相手は残ります。「ログインの場所」で相手の端末を強制ログアウトします。
2FAコードが相手のWhatsAppに飛んで外せない時は、まずWhatsAppを自分の管理下に取り戻し、6桁PINで固定します。取り返しは、自分の電話番号での再登録、または連携済みのFacebookアカウントでの承認で行えます。
同じ番号のWhatsAppは1台でしか本登録できないため、取り返した時点で相手は自動的に弾き出されています。リンク済みデバイスが空でも正常です。
▸ 相手がPINを設定していて再登録できない場合
SMS認証（番号の所有確認）は通るのに、その先の6桁PINで止められるのは、相手が回復阻止のためにWhatsApp側の二段階認証PINを勝手に設定したサインです。次の2ルートで越えられます。
PIN入力画面の「PINをお忘れですか?」をタップ。リンクされたメールが自分のものなら、リセットリンクが即届きます。メール内のリンク→「確認」→新しいPINを設定。
※ 送信先が相手のメール／無しの場合は使えないので、ルートBへ。
メールが使えなくても詰みません。SMSコードは自分の電話番号＝自分の端末に届くため、6桁SMSコードを入力して7日待てば、PINなしで再登録できます。相手はあなたの番号のSMSを受け取れないので妨害不可。
手順: 自分の番号を入力 → SMSコード入力 → PINを求められたら「忘れた場合」→（メール不可なら）7日間の待機が開始 → 7日後に同じ番号で再登録するとPIN不要で完了。
PINを当てずっぽうで連打しない。5回連続で12時間ロック、10回で72時間制限がかかり、待機がさらに延びます。
Instagramの2FAをすでに認証アプリ＋SMSに付け替え済みなら、相手がWhatsApp PINを握っていてもInstagramには影響しません。Instagram側の2FAから「WhatsApp方式」を削除しておけば、この7日待機の間も安全です。WhatsAppは焦らず取り返せます。
相手が仕込んだ2FA手段を残さないため、一度すべてオフにしてから、自分の認証アプリで設定し直すのが最も確実です。これにより古いバックアップコードも無効化されます。
コード入力画面で「別の方法を試す」を押すと、SMS・メール・バックアップコードなど別手段に切り替えられます。自分のメール・電話が残っていればここから通せます。
2FA再設定で新しく発行されたバックアップコードを、安全な場所に保管します。
すでに締め出され、連絡先まで書き換えられている場合は公式の本人確認フローに進みます。ユーザー名(カスタムURL)を覚えていると、メール・電話が変えられてもアカウントを特定できて有利です。
乗っ取り中は、あなたの名前で友人へ同じ詐欺が送られます。別の連絡手段(別SNS・電話)で下記を流して被害拡大を防ぎます。