この記事を読むとわかること
- Facebook乗っ取りを防ぐために最低限やるべき対策
- 二要素認証や登録情報を確認するときのポイント
- 乗っ取られた疑いがあるときに真っ先にする対応
私はFacebookを、ここ数年ほとんど使っていませんでした。
使っていないのだから、まあ大丈夫だろう。
そう思っていたのですが、ふと「もし乗っ取られたら、何が起こるんだろう？」と気になりました。
そこで今回、自分のFacebookを久しぶりに開き、公式情報を調べながら対策を確認してみました。
全部を完璧にするのではなく、「最低限これくらいはやっておこう」という話です。
Facebook乗っ取りを防ぐために、最低限やっておきたいこと
先に結論から書きます。セキュリティの設定を全部理解する必要はありません。
私自身が調べて、まず確認しておきたいと思ったのは次の3つです。
- 二要素認証を設定する
- 登録メールアドレス・電話番号が今も使えるか確認する
- 重要なサービスと同じパスワードを使っていないか見直す
すでに「乗っ取られたかもしれない」という方は、予防より先に対応が必要です。
→ Facebookを乗っ取られたかもしれないときに真っ先にやること
まずはFacebookの二要素認証を設定する
私が今回、いちばん優先したのが二要素認証です。
名前は難しそうですが、細かな仕組みまで覚える必要はありません。
この記事では、
「パスワードだけで本人確認を終わらせないための仕組み」
くらいに考えてください。
Facebookでも二要素認証が用意されています。
IPAも不正ログインへの対策として多要素認証を推奨しており、IDとパスワードを不正利用されても、それだけではログインできないことから、不正ログイン防止に効果があると説明しています。
Facebookで二要素認証を設定する
Facebookの画面は変更されることがありますが、現在は「アカウントセンター」内の「パスワードとセキュリティ」から二要素認証の設定を確認できます。
Facebookを開いたら、設定画面からアカウントセンターへ進みます。
- Facebookの「設定とプライバシー」を開く
- 「設定」を開く
- 「アカウントセンター」を開く
- 「パスワードとセキュリティ」を開く
- 「二段階認証」を選ぶ
- 対象となるFacebookアカウントを選ぶ
- 画面の案内に従って認証方法を設定する
画面の表記や手順は、端末やFacebookの更新によって変わる可能性があります。
場所が見つからなければ、無理にこの記事の手順だけを頼りにせず、Facebook公式ヘルプで「二要素認証」を確認してください。
パスキーが出てきても、いったん慌てなくていい
私が設定していて迷ったのが、パスキーでした。
「二要素認証を設定しようとしているのに、なぜパスキー？」
と思ったのですが、ここはいったん別のものとして考えたほうが分かりやすいです。
Metaはパスキーについて、指紋、顔、端末のPINなどを使ってFacebookへログインできる、従来のパスワードに代わる認証方法として案内しています。
一方、Facebookでは二要素認証も提供されています。
そのため、初心者としては、
「パスキー」と「二要素認証という設定」をいったん分けて考える。
私はそのくらいの理解からでいいと思います。
すべての認証方式を理解することが目的ではありません。
登録メールアドレス・電話番号も確認する
二要素認証を確認するついでに、Facebookへ登録しているメールアドレスや電話番号も見ておきます。
特に、Facebookを何年も使っていない人は確認しておきたいところです。
昔のメールアドレス。
もう使っていない電話番号。
そのままになっていないでしょうか。
いざアカウントを取り戻そうとしたときに、確認に必要な連絡先が使えないと困ります。
何も起きていない今なら、落ち着いて確認できます。
パスワードの使い回しも、できるところから見直す
IPAは、不正ログイン対策としてパスワードをできるだけ長く、複雑にして、複数サービスで使い回さないことを推奨しています。
理屈は分かります。
一つのサービスから認証情報が漏れた場合、同じパスワードを使っている別のサービスへの不正ログインに利用される可能性があるからです。
ただ、利用者としては、こうも思います。
「いったい何個のパスワードを覚えればいいんだろう」
Facebook、Google、通販サイト、銀行、仕事関係、たまにしか使わないWebサービス。
全部を長く複雑な別々のパスワードにして、すべて頭で覚える。
私は、あまり現実的ではないと思っています。
だからといって、全部同じでいいという話でもありません。
まずはFacebookとメール、金融サービスなど、特に重要なサービスでまったく同じパスワードを使っていないか確認する。
そこからでいいと思います。
現在は、パスワード管理機能やパスキーなど、人間の記憶だけに頼らない方法もあります。
「全部暗記できないから無理」で終わらせず、自分が続けられる管理方法を考えるほうが現実的です。
数年放置していた私も、実際に設定を確認してみた
ここからは、私自身がFacebookを確認したときの話です。
対策だけ知りたい方は、ここを読み飛ばしても問題ありません。
ただ、実際に設定してみると、思ったより迷うところがありました。
二要素認証は設定していなかった
私がFacebookを作ったのは、ある社会人コミュニティに参加したことがきっかけでした。
そのコミュニティに関わらなくなってから、Facebookを使う機会もほとんどなくなりました。
そのまま数年。
今回、久しぶりにFacebookへログインしてみると、普通に入れました。
登録しているメールアドレスも、現在使えるものでした。
では、二要素認証はどうか。
確認してみると、
設定されていませんでした。
Webアプリケーション開発に20年以上携わっているのに、と言われるかもしれません。
でも、使わなくなったサービスの設定というのは、案外こんなものではないでしょうか。
普段困っていないから、見直さない。
何も起きていないから、そのままにする。
私も人のことは言えません。
二要素認証の設定場所が、正直分かりづらかった
実際に設定してみて最初に思ったのは、
「どこにあるんだ？」
でした。
設定を開き、セキュリティ関連の項目を探して、アカウントセンターへ移動して……。
ようやく二要素認証へたどり着きました。
Facebookを普段使っていない私には、あまり直感的ではありませんでした。
20年以上Webアプリケーション開発をやっていても、初めて触るサービスの設定場所まで分かるわけではありません。
まして、普段ITに詳しくない人なら、途中で面倒になっても不思議ではないと思います。
設定したのに、再ログインで追加認証が出ない
二要素認証を設定したら、本当に動くのか試したくなりました。
そこでFacebookからログアウトし、もう一度ログインしてみます。
ところが、
追加の認証が出ません。
「あれ？」
「本当に設定できている？」
少し不安になりました。
その後、ブラウザに残っていたFacebookのプロフィールを削除して、もう一度ログインしてみました。
すると、今度は追加の認証が表示されました。
ただし、ここは注意してください。
「ブラウザからプロフィールを削除しないと二要素認証が働かない」という意味ではありません。
私が実際に確認できたのは、
- 二要素認証を設定した
- ログアウトして再ログインした
- そのときは追加認証が出なかった
- ブラウザに残っていたFacebookのプロフィールを削除した
- もう一度ログインすると追加認証が表示された
ここまでです。
Facebook側で端末やブラウザがどのように認識されていたのかなど、原因までは私には確認できません。
分からないことを、分かったようには書かないことにします。
追加認証でパスキーが出てきて、さらに迷った
追加認証が出て、これで確認できると思ったのですが、今度は私が想像していた認証アプリのコードではありませんでした。
パスキーによる認証が先に表示されました。
「パスキーも設定するの？」
「認証アプリはそのあと？」
「いくつ設定すればいいんだ？」
……正直、分かりづらい。
調べてみると、パスキーはパスワードの代わりに指紋、顔、端末PINなどを使ってログインできる仕組みです。
二要素認証とは、いったん分けて考えたほうが理解しやすいと分かりました。
こういうところも、実際に設定してみなければ気づかなかったところです。
ログイン履歴まで確認しようと思ったけれど、やめた
本当なら、見覚えのないログインがないかも確認したほうがいいでしょう。
私も見ようと思いました。
ただ、どこにあるのかすぐには分かりませんでした。
そして正直、
「探してまで見るのは面倒だな」
と思って、今回はそこまで確認していません。
セキュリティの記事を書いているのに、それでいいのかと思われるかもしれません。
でも、私はこの「面倒」という感覚も大事だと思っています。
Facebookを使う目的は、セキュリティ設定を極めることではありません。
全部やろうとして何もしなくなるくらいなら、まず最低限。
二要素認証を設定する。
登録情報を確認する。
重要なサービスとのパスワード使い回しを見直す。
私は、そのくらいからでいいと思います。
Facebookを乗っ取られたかもしれないときに真っ先にやること
ここまでは予防の話でした。
では、すでに身に覚えのない投稿やログインがある、パスワードが変わっているなど、「乗っ取られたかもしれない」という場合はどうするのか。初動だけ整理しておきます。
まだFacebookにログインできる場合
まだ自分でFacebookへログインできるなら、まずパスワードを変更します。
続いて、登録されているメールアドレスや電話番号に、自分のものではない情報が追加されていないか確認します。
見覚えのないログインや端末が確認できる場合は、それらをログアウトします。
二要素認証を設定していない場合は、アカウントを取り戻したあとに設定しておきます。
IPAも、不正ログイン後にまだ自分でログインできる場合、速やかなパスワード変更、登録情報の確認、多要素認証の設定を推奨しています。
Facebookにログインできない場合
自分でログインできなくなっている場合は、Facebook公式のアカウント復旧手続きを確認します。
こういうときは焦ると思います。
だからこそ、検索で見つけた「必ず復旧できます」といった非公式サービスへ飛びつく前に、まずFacebook自身が用意している手続きを確認します。
自分になりすまして知人へ連絡されていた場合
私が乗っ取りで特に怖いと思うのは、自分以外の人を巻き込むことです。
自分になりすましたメッセージが友人や知人へ送られていることが分かったら、必要に応じて別の連絡手段から、
「私から届いた不審なメッセージやリンクには反応しないでください」
と伝えます。
自分のアカウントを取り戻すことだけでなく、周囲への影響も確認します。
金銭的な被害がある場合
身に覚えのない決済など、実際の金銭被害が確認された場合は、Facebookを取り戻して終わりではありません。
被害に関係するカード会社、金融機関、サービス提供者などへ連絡します。
必要に応じて警察のサイバー犯罪相談窓口などへの相談も検討します。
Facebook乗っ取りとアカウント停止は分けて考える
Facebookへログインできなくなると「乗っ取られてアカウントを停止されたのでは？」と考えたくなります。
ただ、トラブルのときほど原因を先に決めつけないほうがいいと思います。
「ログインできない＝乗っ取り」ではない
Facebookにログインできない。
これは確認できた事実です。
Facebookを乗っ取られた。
こちらは、まだ推測かもしれません。
パスワードを忘れているのか。
登録情報が変更されているのか。
第三者による不正アクセスなのか。
Facebook側でアカウントが停止されているのか。
一つずつ切り分けます。
システムのトラブル対応と同じです。
原因を想像する前に、確認できる事実を見る。
地味ですが、そのほうが遠回りしません。
アカウント停止の場合は、画面に表示される公式案内を確認する
Facebook側からアカウント停止に関するメッセージが表示されている場合は、その内容を確認します。
異議申し立てなど利用可能な手続きが表示されている場合は、Facebook公式の案内に従います。
検索で見つけた古い記事と現在の画面が違う場合は、実際に自分のアカウントへ表示されている案内を優先します。
できれば、表示内容や日時をスクリーンショットなどで残しておくと、あとから経過を確認しやすくなります。
FAQ｜Facebook乗っ取りについて私も気になったこと
最後に、今回私自身が疑問に思ったことも含めて、Facebookの乗っ取りや二要素認証について簡単に整理します。
Q．Facebookを数年使っていなくても乗っ取り対策は必要ですか？
私は、一度は確認しておいたほうがいいと思いました。
使っていないからこそ、異変があっても気づくのが遅れる可能性があります。
私自身、数年ぶりに確認して初めて、二要素認証を設定していなかったことに気づきました。
Q．Facebookの二要素認証は設定したほうがいいですか？
Facebook自身がアカウント保護のために提供しており、IPAも不正ログイン対策として多要素認証を推奨しています。
私も今回、全部のセキュリティ設定を確認するのは面倒でも、二要素認証くらいは設定しておこうと考えました。
Q．パスキーと二要素認証は同じですか？
同じものとして考えないほうが分かりやすいです。
パスキーは、パスワードの代わりに指紋、顔、端末PINなどを利用してログインする認証方法です。
Facebookでは、それとは別に二要素認証も提供されています。
Q．二要素認証を設定したのに、再ログインで追加認証が出ませんでした。設定失敗ですか？
それだけで設定失敗とは断定できません。
私の場合も、普通にログアウトして再ログインしたときには追加認証が表示されませんでした。
ブラウザに残っていたFacebookのプロフィールを削除したあとに再度試すと、追加認証が表示されました。
ただし、プロフィール削除が必要な仕様だという意味ではありません。
端末やブラウザがFacebook側でどのように認識されていたかなど、私には原因を確認できないためです。
Q．Facebookのパスワードは全部のサービスと違うものにする必要がありますか？
IPAは、サービスごとにパスワードを使い回さないことを推奨しています。
一方で、すべての長く複雑なパスワードを頭だけで覚えるのは、私は現実的ではないと思っています。
パスワード管理機能やパスキーなども含めて、自分が継続できる方法を考えます。
少なくとも、Facebookとメールや金融サービスなど重要なサービスで、まったく同じパスワードを使っていないかは確認しておきたいところです。
Q．Facebookにログインできなければ乗っ取られたということですか？
ログインできないというだけでは、乗っ取りとは断定できません。
パスワード、登録情報、Facebook側のアカウント状態などを確認します。
Q．Facebookを乗っ取られたら最初に何をすればいいですか？
まだログインできるなら、まずパスワードを変更し、登録情報や見覚えのない端末を確認します。
ログインできない場合は、Facebook公式の乗っ取りアカウント向け復旧手続きを確認します。
Q．Facebook乗っ取りとアカウント停止は同じですか？
同じものではありません。
第三者にアカウントへ不正アクセスされている状態と、Facebook側でアカウントが停止されている状態は分けて確認します。
まとめ｜全部やらなくてもいい。まず二要素認証くらいはやっておく
私はFacebookを数年間、ほぼ放置していました。
正直、
「使っていないし、大丈夫だろう」
と思っていました。
でも、もし乗っ取られて自分になりすました誰かが友人へ連絡したら。
あるいは、自分自身が金銭的な被害を受けたら。
使っていないから関係ない、とは言えません。
そこで久しぶりにFacebookを確認してみました。
ログインはできた。
登録メールアドレスも使えた。
でも、二要素認証は設定していませんでした。
実際に設定してみると、場所が分かりづらい。
設定したあとに再ログインしても追加認証が出ない。
さらにパスキーまで出てきて、「結局どれを設定すればいいんだ？」と迷いました。
ログイン履歴まで見ようと思いましたが、場所がすぐ分からなくて面倒になり、そこまでは確認していません。
そんなものだと思います。
Webエンジニアだからといって、すべてのサービスのセキュリティ設定を完璧に理解しているわけではありません。
そして、Facebookを使うためにセキュリティの専門家になる必要もないと思っています。
全部理解してから対策しようとすると、何もしないまま終わってしまう。
それなら、まず一つ。
二要素認証くらいは設定しておく。
ついでに、登録メールアドレスや電話番号が今も使えるか確認する。
重要なサービスとまったく同じパスワードを使っているなら、そこだけでも見直してみる。
そのくらいからでいいのではないでしょうか。
そして、もし本当に乗っ取られたら、焦って怪しい復旧方法を探すのではなく、まずFacebook公式の手続きを確認する。
何が起こるか分からないからこそ、何も起きていない今のうちに一つだけ備えておく。
完璧を目指すより、できることを一つずつ。
私も今回、そこから始めました。
情報ソース・引用元
- Facebook Help Center：二要素認証について
- Facebook：乗っ取られたアカウントの復旧
- Meta：Introducing Passkeys on Facebook for an Easier Sign-In
- IPA：不正ログイン対策特集ページ
- IPA：インターネットサービスへの不正ログインによる被害が増加中
- IPA：不正ログイン被害の原因となるパスワードの使い回しはNG
- 警察庁：サイバー警察局
Facebookの画面、メニュー名、二要素認証・パスキーの設定方法、アカウント復旧手続きなどは変更される可能性があります。
実際に操作する際は、Facebook / Metaの最新の公式情報も確認してください。
また、本記事に記載した「二要素認証を設定後、通常の再ログインでは追加認証が表示されなかった」「ブラウザに残っていたFacebookのプロフィールを削除したあとに追加認証が表示された」といった内容は、私自身の環境で確認した結果です。
すべての利用者や端末で同じ挙動になることを示すものではありません。
この記事のまとめ
- 放置中のFacebookも乗っ取り対策を！
- まずは二要素認証と登録情報を確認
- パスワードの使い回しもできる範囲で見直す
- 乗っ取られたらFacebook公式の復旧手続きへ
- 完璧を目指さず、最低限の対策から始めよう！
