Xで勝手に投稿・DM送信されたら？不正ログインと連携アプリの確認方法

01まずログインできるか、不審な操作が続いているかを確認する

最初に、Xの公式アプリか、自分で開いたx.comからログインできるかを確かめます。メールやDMに届いた「アカウントを確認してください」というリンクは、偽サイトの可能性があるため、そこからログインしないでください。

• ログインできる：次の「02 ログインできる場合の保護手順」へ進みます。
• ログインできない：「04 ログインできない場合の復旧」を参照します。
• 今も勝手な操作が続く：調査を長引かせず、できる範囲で保護や連携解除を優先します。

何が変わったかを短く記録する

身に覚えのないポストや返信、DM、リポスト、フォロー、プロフィール変更などを確認します。必要な記録は、発覚日時、内容の概要、ポストのURL、分かる範囲の送信先です。削除前に画面を保存できれば役立ちますが、証拠集めのために不審な操作の停止を遅らせる必要はありません。

怪しいリンクを引用ポストで広めたり、DMに含まれるURLを開いて内容を確かめたりしないでください。詳細な記録は、この記事の状況記録テンプレートで後から整理できます。

予約投稿や担当者に心当たりがあるかも確認する

自分が設定した予約投稿、外部の投稿管理サービス、共同運用の担当者が行った操作なら、必ずしも乗っ取りとは限りません。一方、正規ツールに心当たりがあっても、内容や送信時刻が説明できないなら安全とは判断しないでください。X公式も、予期しない投稿などは乗っ取りの兆候である一方、サードパーティーアプリの不具合でも起こり得ると案内しています。

根拠：X公式「アカウントが乗っ取られた場合の対処」

02ログインできる場合は、パスワードとセッションを保護する

ログインできる場合は、パスワード変更、ログインセッションの確認、登録メールと2要素認証の点検を行います。これらは役割が異なります。パスワード変更だけで、すべてのアプリ連携が解除されるとは限りません。

1．Xのパスワードを変更する

1. 公式Xアプリかx.comで「設定とプライバシー」を開きます。
2. 「アカウント」内の「パスワードを変更する」などの項目へ進みます。
3. 過去に使っていない、他のサービスと重複しないパスワードに変更します。
4. 現在のパスワードが分からない場合は、X公式のパスワード再設定案内から手続きを確認します。

同じパスワードをメールや他のサービスでも使っていた場合は、それらのアカウントも影響を受けていないか確認し、必要に応じて変更します。

根拠：X公式「Xパスワードをリセットする方法」

2．ログイン中のセッションを確認し、不要なものを終了する

1. 「設定とプライバシー」から「アプリとセッション」を探し、「セッション」を開きます。
2. ログイン場所、時間、接続中の端末などを確認します。
3. 身に覚えのないセッションは「ログアウト」で終了します。必要なら「他のすべてのセッションからログアウト」を使います。

場所の表示はIPアドレスなどに基づく概算で、実際の所在地と異なることがあります。場所が違うという理由だけで不正ログインとは断定できません。一方、セッションの終了後も、その端末に一時保存されたDMなどが消えるとは限りません。

根拠：X公式「サードパーティアプリとログインセッションへの権限の付与および取り消し」

3．登録メールアドレスと2要素認証を確認する

Xに登録しているメールアドレスが自分の管理下にあり、見覚えのない変更通知や再設定メールが届いていないかを確認します。メールアカウント自体に不審なログインがある場合は、そちらも保護してください。登録メールがGmailなら、Googleアカウントに不審なログイン通知が来たときの対処も参考になります。

次に「設定とプライバシー」の「セキュリティ」から2要素認証を確認します。設定可能な認証方法やバックアップコードの扱いは、公式画面とXの2要素認証の案内に従ってください。設定済みでも、第三者が追加した覚えのない認証方法がないか注意します。

注意「復旧を手伝う」と言われても、パスワードや認証コードを渡さないでください。偽のXログイン画面に入力した心当たりがあるなら、フィッシングのリンクを開いた後の対処も確認します。

根拠：X公式「アカウントを安全に保つためのヒント」／X公式「2要素認証を使用する方法」

03連携アプリ・予約投稿・共同運用の権限を見直す

ログインセッションと連携アプリの許可は別の確認対象です。外部アプリには、許可の内容によって、本人に代わってポストを投稿したりDMを扱ったりできるものがあります。パスワードを変更しても、この権限の点検を省かないでください。

連携アプリの「書き込み」「DM」の許可を確認する

1. Xの「設定とプライバシー」から「アプリとセッション」を開きます。
2. 連携中のアプリを見て、名前・使用目的・許可された操作を確認します。
3. 見覚えのないアプリ、不要になったツール、許可範囲に納得できないものは、Xの画面からアクセス許可を取り消します。
4. 同じアプリを再び使う場合も、原因が分からないまま再許可しないでください。

読み取り専用の許可と、投稿・プロフィール変更などができる書き込み権限、DMを扱える権限は同じではありません。権限の表示内容が分からない場合は、まずX公式の権限の説明を参照してください。

予約投稿・自動投稿ツール側にも予定が残っていないか確認する

Xの予約投稿、X Pro、外部の投稿管理サービスなどを使っている場合は、それぞれの管理画面で予約日時と内容を確認します。必要のない予約は、管理画面の操作に従って停止・削除してください。

外部ツールへの連携を取り消しても、そのツール内に保存した予約設定や下書きまで削除されたとは限りません。安全性を確認できた後に、必要な運用だけを再開します。業務アカウントでは、停止した予約投稿が仕事に与える影響も運用担当者と共有しましょう。

共同運用の場合はX Proのチームメンバーも確認する

X Proのチーム機能を使っている場合は、パスワードを共有せずに別の担当者が操作できるため、チームの権限も確認します。公式案内では、X Proの「Accounts」から対象アカウントを選び、「Manage team」でメンバーや権限を確認できます。心当たりのないメンバーがいれば、管理権限を持つ人が削除を検討します。

チーム機能を使っていない場合、この項目は不要です。メンバーの操作だったと分かっても、不審な連携アプリやセッションが残っていないかは別に確認してください。

根拠：X公式「アプリ・セッションの権限管理」／X公式「X Proのチーム機能」

04Xにログインできない場合は公式の復旧手順へ進む

パスワードが通らない、登録情報を変更された可能性があるなど、ログインできない場合は、Xの公式案内を使います。復旧できるかどうかは登録情報や本人確認の状況によって変わるため、成功を保証することはできません。

まずパスワード再設定と登録メールを確認する

1. X公式のパスワード再設定案内を開き、案内された方法で再設定を試みます。
2. 自分が登録していたメールアドレスの受信トレイと迷惑メールフォルダを確認します。必要に応じて、登録済みの電話番号による手順も確かめます。
3. ログインを取り戻せたら、そこで終わらず、02のセッション・メール・2要素認証と03の連携アプリを点検します。

メールアカウントにもアクセスできないときは、そのメールの公式復旧方法も確認してください。Xとメールの両方で使っていたパスワードが同じなら、両方の保護が必要です。

再設定できないときは公式サポートに状況を伝える

X公式の乗っ取り時のヘルプに従い、必要ならお問い合わせの「アカウントへのアクセスに関する問題」から進みます。ユーザー名、登録に使っていたメールアドレス、最後に正常にアクセスできた日、不審な変更の概要などを整理しておくと、問い合わせ時に説明しやすくなります。

本人確認書類などを求められた場合は、正規の案内と提出先を確認し、公開ポストや第三者へのDMで送らないでください。「有料で取り戻す」「認証コードを送れば復旧できる」などの連絡も信用しないでください。

根拠：X公式「アカウントがハッキングされた場合のヘルプ」／X公式「お問い合わせ」

05不正な投稿・DMの影響を整理し、必要な相手に伝える

アカウントの保護が済んだら、すでに公開・送信されたものへ対応します。消せるものと、相手側に残る可能性があるものを分けて考えることが大切です。

不正なポストは必要な記録を残して削除する

ポストのURL、日時、内容の概要を必要な範囲で残し、本人の意図しないポストを削除します。Xでは自分のポストを削除でき、不審なリポストも取り消せます。ただし、他の人がコピーしたポスト、引用ポスト、外部のキャッシュなどは残り得ます。

詐欺サイトのURLが含まれている場合、注意喚起のためでもそのURLをそのまま再掲載しないようにします。保護前で不正な操作が続いているなら、記録を優先して長時間放置しないでください。

根拠：X公式「ポストを削除する方法」

DMの削除と「送信取り消し」は同じ操作ではない

通常のDMでは、メッセージや会話を削除しても、基本的に削除されるのは自分のアカウント側だけです。相手は引き続き閲覧できる場合があります。

一方、Xの暗号化されたチャットには、対象メッセージを受信者の受信トレイから取り除く「送信取り消し」があります。これは暗号化されたメッセージに対する機能です。単に会話を削除する操作と混同しないでください。

注意削除や送信取り消しをしても、相手がすでに保存・撮影・転送した情報までは回収できません。特に、個人情報や不審なURLが送られた場合は、必要な相手への注意喚起も検討します。

根拠：X公式「ダイレクトメッセージ（DM）」／X公式「チャットについて」

送信先には事実と注意点だけを伝える

不審なリンクや送金依頼などを含むDMが送られていた場合は、可能な範囲で受信者に連絡します。Xのアカウントを安全に使えるか不明な間は、メールなど別の連絡手段も検討してください。誤解や二次拡散を防ぐため、危険なリンクや相手の個人情報を転載する必要はありません。

伝え方の例：「私のXアカウントから、私が送っていないDMが送信されていました。リンクや添付ファイルは開かず、送金や認証コードの入力をしないでください。現在、アカウントの保護と確認を進めています。」

必要な連絡をした後は、新たな投稿・DM・設定変更が発生していないか確認します。不審な動作が続く場合は、実施済みの保護手順と発生日時をまとめ、公式サポートへ追加で相談してください。X公式は、問題が続く場合に端末のマルウェア対策やソフトウェア更新も案内しています。

公式サポート用に、実施した対処を一つのメモにまとめる

記録は必要な項目だけで十分です。パスワード、認証コード、バックアップコード、DM内の個人情報は、このメモに書き込まないでください。

Xのユーザー名（@）：
発覚日時：
最後に正常にログインできた日時：
身に覚えのない投稿・DM・その他の操作：
現在ログインできるか：
パスワード変更・セッション対応：
連携アプリ・予約投稿・共同運用の確認結果：
登録メール・2要素認証の確認結果：
削除・注意喚起の実施状況：
現在も続いている不審な操作：
公式サポートへ伝えたいこと：

06Xで勝手に投稿・DM送信されたときのよくある質問