ネット問題弁護士監修済
Q.会社のSNS公式アカウントや業務用アカウントが乗っ取られました。法的にどう対処すればよいですか？不正アクセス禁止法と個人情報の漏えい報告を企業向けに解説
A.
他人のID・パスワードで無断ログインする乗っ取りは不正アクセス禁止法違反（3年以下の拘禁刑または100万円以下の罰金）です。アカウント回復・多要素認証・証拠保存・警察への相談を急ぎ、個人データが漏えいしたおそれがあれば個人情報保護委員会への報告と本人通知を検討します。
詳しく見る ▶
他人のID・パスワードを無断で使ってアカウントにログインする行為は、不正アクセス禁止法が禁じる「不正アクセス行為」に当たり、3年以下の拘禁刑または100万円以下の罰金の対象です（不正アクセス禁止法3条・11条）。会社のアカウントが乗っ取られたら、まずアカウントの回復と被害拡大の防止を急ぎ、証拠を残したうえで警察に相談します。乗っ取られたアカウントで顧客の個人データが見られた・送られたおそれがあるときは、個人情報保護委員会への報告と本人への通知が必要になる場合があります（個人情報保護法26条）。報告には期限があるため、早い段階で社内の担当を決めて動くことが大切です。
こんな場面で問題になります
・会社のSNS公式アカウントが乗っ取られ、投資の勧誘や偽キャンペーンの投稿が出ている。
・担当者のメールアカウントに不正ログインがあり、取引先に偽の振込先を伝えるメールが送られた。
・ECサイトや会員サイトの管理画面に海外からログインされ、顧客情報が閲覧された形跡がある。
・退職した担当者がパスワードを知ったままで、退職後もアカウントにログインしていた。
1. 乗っ取りに当たる犯罪
アクセス制御機能（ID・パスワードなどでの認証）のあるサービスに、他人のID・パスワードを無断で入力してログインする行為は、不正アクセス行為として禁止されています（不正アクセス禁止法3条）。罰則は3年以下の拘禁刑または100万円以下の罰金です（同法11条）。
ログインの前段階の行為も処罰の対象です。不正アクセスに使う目的で他人のID・パスワードを取得すること（同法4条）、不正に取得されたID・パスワードを保管すること（同法6条）、サービス運営者を装って偽サイトや偽メールでID・パスワードの入力を求めること（いわゆるフィッシング、同法7条）は、いずれも1年以下の拘禁刑または50万円以下の罰金です（同法12条）。業務その他正当な理由なく他人のID・パスワードを第三者に教えることも禁止されています（同法5条・12条2号・13条）。
退職者や元の委託先が、会社の許諾なく業務用アカウントにログインした場合も、不正アクセス行為に当たり得ます。「パスワードを知っていた」ことは許諾の代わりになりません。
2. 乗っ取られた直後に会社がすべきこと
最初の数時間の対応が、被害の広がりを左右します。
・プラットフォームのアカウント回復手続きを行い、パスワードを変更する。同じパスワードを使っている他のサービスもすべて変更する。
・多要素認証（パスワードに加えて別の要素で本人確認する仕組み）を設定し、連携アプリやログイン中の端末を確認して不要なものを解除する。
・乗っ取り後の投稿・送信メッセージ・設定変更の画面を、日時とURLが分かる形で保存する。ログインの通知メールやアクセス履歴も保存する。
・公式サイトや別のアカウントで、乗っ取りの事実と「不審な投稿・DMのリンクを開かないでほしい」旨を知らせる。
・警察（都道府県警察のサイバー犯罪相談窓口）に相談し、被害届の提出を検討する。
3. 個人データが漏えいしたおそれがあるときの報告と通知
乗っ取られたアカウントで、顧客とのDM履歴や会員情報などの個人データが閲覧・送信されたおそれがある場合は、個人情報保護法の漏えい等報告を検討します。
個人情報取扱事業者は、個人の権利利益を害するおそれが大きい漏えい等が生じたときは、個人情報保護委員会に報告し、本人に通知しなければなりません（個人情報保護法26条1項・2項）。報告の対象には、不正の目的をもって行われたおそれがある行為による個人データの漏えい等が含まれ、この場合は人数が少なくても対象になります（同法施行規則7条3号）。財産的被害が生じるおそれがある個人データ（クレジットカード番号など）の漏えい等や、本人の数が1,000人を超える漏えい等も対象です（同条2号・4号）。
報告は2段階です。事態を知った後、速やかに把握している事項を報告し（同規則8条1項）、知った日から30日以内、不正の目的によるおそれがある場合は60日以内に、全体の内容を報告します（同条2項）。本人への通知も、状況に応じて速やかに行う必要があります（同規則10条）。「漏えいした」と確定していなくても、「おそれ」の段階で対象になる点に注意が必要です。
4. 会社の側の管理の問題
不正アクセス禁止法は、ID・パスワードを管理するアクセス管理者に、適正な管理や防御措置に努めることを求めています（同法8条）。会社が自社の会員サイトや社内システムを運営している場合、会社自身がアクセス管理者に当たります。
個人情報保護委員会は、2026年10月29日、ガイドライン（通則編）等のうち安全管理措置の部分の改正案について意見募集を始めました（締切は11月27日）。改正案は、同一のID・パスワードの使い回しの原則禁止や多要素認証などを、安全管理措置の手法の例示に加える内容です。案の段階ですが、社内のアカウント管理を見直す際の手がかりになります。
5. 犯人に対する責任追及
乗っ取りの犯人が分かれば、損害賠償を請求できます（民法709条）。偽の投稿で会社の評判が傷ついた、偽キャンペーンの対応に費用がかかった、といった損害が考えられます。
犯人が分からない場合、SNSの運営会社などに発信者情報の開示を請求する手続きがあります（特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律〈情報流通プラットフォーム対処法〉5条）。ただし、開示には権利侵害が明らかであることなどの要件があり、ログの保存期間の問題もあるため、早めに動く必要があります。
今すぐできること
・会社が使っているSNS・メール・クラウド・管理画面のアカウントを一覧にし、管理者と権限を確認する。
・すべての業務用アカウントで多要素認証を設定し、パスワードの使い回しをやめる。
・担当者の異動・退職時に、パスワード変更と権限削除を必ず行う手順を作る。
・乗っ取り時の連絡先（広報・情報システム・法務・経営層）と初動の手順を1枚にまとめておく。
・個人データの漏えい等が起きたときの、報告の判断と期限を担当者間で共有しておく。
弁護士に相談すべきタイミング
・乗っ取られたアカウントで、顧客や取引先の個人データが見られた・送られたおそれがある。
・偽の振込先の案内などで、取引先や顧客に金銭的な被害が出た、または出そうである。
・退職者や元の委託先による無断ログインが疑われ、責任追及を考えている。
・偽の投稿で会社の評判が傷つき、犯人の特定や損害賠償を検討している。
よくあるご質問
Q. 会社のアカウントが乗っ取られた場合、被害届は誰が出すのですか？
アカウントを利用する権限を持つ会社として、警察に相談・被害届の提出を検討できます。乗っ取りの時期や手口を示す画面の保存やログイン履歴を用意しておくと、相談がスムーズです。
Q. 乗っ取られたアカウントから顧客にDMが送られました。個人情報保護委員会への報告は必要ですか？
DM履歴などの個人データが不正の目的で閲覧・取得されたおそれがあれば、人数が少なくても報告の対象になり得ます（個人情報保護法施行規則7条3号）。速報は速やかに、確報はこの場合60日以内です。
Q. 退職した社員が、退職後に業務用アカウントにログインしていました。問題になりますか？
会社の許諾なくログインしていれば、不正アクセス行為に当たり得ます（不正アクセス禁止法3条）。在職中にパスワードを知っていたことは、許諾の代わりになりません。退職時の権限削除の手順も見直してください。
Q. 乗っ取られたアカウントの偽投稿で第三者が被害を受けた場合、会社は責任を負いますか？
投稿したのは犯人であり、会社が直ちに責任を負うとは限りません。ただし、気づいた後に注意喚起をしなかった、明らかに不十分なパスワード管理をしていた、といった事情は問題にされるおそれがあります。早めの周知と記録が大切です。
FREE CONSULTATION
ネット問題のご相談は、初回30分無料です
- ・日本・ニューヨーク州の弁護士 阿部祐介が担当します
- ・オンライン（Zoom等）・来所（東京・大手町）どちらも可
- ・日本語・英語のどちらでもご相談いただけます
※ 本記事は法律の一般的な知識を提供するものであり、個別の法律相談に代わるものではありません。具体的な法的問題については、弁護士にご相談ください。
