Instagramアカウントを保護する方法：9ステップチェックリスト

Instagramアカウントの乗っ取りは、めずらしい手口であることはほとんどありません。原因は、脆弱だった、あるいは他のどこかで流出済みのパスワード、気づかないうちにログインされたデバイス、公式のように見えて実は偽物だったメッセージ、認証情報を渡したまま忘れているアプリなどに尽きます。

以下の9つのステップは、それぞれそうした侵入口を塞ぐもので、リスクを最も減らせる順に並べています。

このページの情報源について。 以下の設定、経路、ルールはInstagramヘルプセンターとMeta公式ニュースルームに基づいており、各セクションに正確な出典ページへのリンクがあります。Meta以外の情報源は2つあり、該当箇所に明記しています。Instagramがどの程度なりすまし被害に遭っているかについてはCheck Point Research、パスワードマネージャーが実際に何をするかについてはマサリク大学のサイバーセキュリティチームです。SocialGuardianは自社製品であり、登場箇所はプロモーションとして明記し、その機能はコンテンツのバックアップのみです。

30秒でわかる要点

• 2段階認証をオンにして、バックアップコードを保存する。
• Instagramのパスワードは長く、他で使っていない独自のものにする。
• 現在ログインしているすべてのデバイスを確認し、心当たりのないものはログアウトさせる。
• おかしいと感じたら「セキュリティチェック」を実行する。
• アカウントに関するDMはすべて詐欺だと思ってください。InstagramはそのようなDMを送りません。
• 信頼できないサードパーティアプリのアクセスを取り消す。
• Instagramから締め出されてもいいように、コンテンツのコピーを別の場所に保存しておく。

Instagramアカウントが乗っ取られる本当の原因

Instagram自身は、次の3つの状況でアカウントにリスクがあると警告します。パスワードが脆弱である、パスワードが外部ソースによって漏えい・侵害された可能性がある、またはアカウントが許可していないサードパーティアプリと同期している、という場合です。よくあるのはパスワードの使い回しです。別のサイトで同じパスワードを使っていて、そのサイトが情報漏えいを起こしたケースです（Instagramによる説明）。

もう一つの大きな侵入口がフィッシングです。個人情報を求める不審なメッセージやリンクで、対応しないとアカウントが停止・削除されると偽ることが多いものです（Instagramの解説）。

これは仮定の話ではありません。Check Point Researchの2024年第2四半期ブランドフィッシングレポートによると、Instagramは2022年以来初めて、フィッシング攻撃で最もなりすまされるブランドのトップ10に再ランクインしました（第10位、ブランドフィッシング全体の0.7%）。研究者は、認証情報を盗むために作られた偽のInstagramログインページを確認しています。

ステップ1 — 2段階認証をオンにする

Instagramは2段階認証を「ハッカーからアカウントを守るための最も効果的なステップ」と呼び、クリエイターアカウントではデフォルトで2FAをオンにしたとしています。自分がクリエイターアカウントをお持ちなら、途中でオフにしていないか確認してください（Instagramのセキュリティガイダンス）。

ここが誤解されがちなポイントです。2FAはアプリを開くたびにコードを求めるわけではありません。Instagramが認識しないデバイスからのログイン試行があった場合にコードが必要になります（Instagramヘルプセンター）。ふだん自分が使うスマホでは、ほとんど気にならないでしょう。

設定方法は次のとおりです。その他 → 設定 → アカウントセンターでさらに見る → パスワードとセキュリティ → 2段階認証。

設定画面からは見えにくい2つ目の利点もあります。2FAをオンにすると、Instagramが認識しないデバイスやWebブラウザからログインしようとしたとき、アラートが届きます。そのアラートには、どのデバイスがどこから試みたかが表示され、すでにログイン済みのデバイスからリクエストを承認または拒否できます（Metaの説明）。つまり、乗っ取りの試みは、ワンタップで消せる通知になるのです。

2FAはどの方式を選ぶべき？

2段階認証を設定する際、Instagramは3つのセキュリティ方式から1つを選ぶよう求めます。メールはその選択肢に含まれません（Instagramによる説明）。

特にこだわりがなければ、Instagram自身の推奨に従って認証アプリを使いましょう。

ステップ2 — バックアップコードを保存する

スマホやメールアドレスにアクセスできなくなり、ログインコードを受け取れない場合、バックアップコードがあればアカウントに戻れます（Instagramの説明）。2FAを有効化したときに発行し、保護対象のスマホとは別の場所に保存してください。

ステップ3 — パスワードを修正する

Instagramが公表しているパスワードのルールは具体的なので、装飾なしでそのまま紹介します。パスワードは6文字以上でなければなりませんが、Instagramはより高い安全性のため、数字・英字・特殊文字を組み合わせた8文字以上を推奨しています。メールや銀行口座など他のアカウントで使っているパスワードとは異なるものにし、誕生日や電話番号など推測されやすい情報は避けるべきです（これがInstagram自身のガイダンスです）。

Instagramのセキュリティページにはさらに2つのルールがあります。少なくとも6つの数字・英字・特殊文字（例：!$@%）を組み合わせ、繰り返しを避けること、そして知らない相手や信頼できない相手にパスワードを決して教えないことです。また、同じヘルプ記事の中で、サードパーティ製のパスワードマネージャーとしてLastPassと1Passwordを挙げて推奨しています（同じヘルプ記事）。

パスワードマネージャーがなぜ役立つかというと、ログイン情報を保存・暗号化してくれるため、強力なマスターパスワードを1つ覚えるだけで済みます。さらに安全なパスワードを生成し、ログイン時に自動入力してくれます（マサリク大学サイバーセキュリティチーム、Instagram外部の情報源）。これは、そもそもアカウントが警告される原因であるパスワード使い回しへの現実的な対処法です。

ステップ4 — ログイン中の端末を確認する

Instagramアカウントに最近ログインしたデバイスの一覧は、いつでも確認できます。心当たりのないログインがあった場合は、その場所またはデバイスからログアウトし、自分ではないとInstagramに報告できます（ヘルプセンターの説明）。

同じ一覧への行き方は2つあります。

• 設定 → アカウントセンター → パスワードとセキュリティ → 「ログイン中の端末」
• 設定 → ログインアクティビティ

各ログインについて、「自分です」 を確認するか、「自分ではありません」 を選択できます。「自分ではありません」とマークするとパスワードのリセットが実行されます。また、どのデバイスからもリモートでログアウトできます。パスワードを変更する前にこの確認を行い、何が表示されているのかを把握しておきましょう。

ステップ5 — Instagramの「セキュリティチェック」を実行する

「セキュリティチェック」は、ハッキングされた可能性があるアカウント向けの専用フローです。2021年7月に開始され、ログインアクティビティの確認、プロフィール情報の確認、ログイン情報を共有しているアカウントの確認、電話番号やメールなどのアカウント復旧用連絡先の更新を順に案内します（Metaニュースルーム）。

すでに何か起こったかもしれないと感じた場合、ステップ1、4、6を一気に確認できる最速の方法です。

ステップ6 — 本物のInstagramからのメッセージを見分ける

このページで最も役立つのは次の一点です。これを知っていれば、ほとんどのフィッシングは見た瞬間に見破れます。

InstagramがあなたのアカウントについてDMを送ることは決してありません。 アカウントが停止されるとか、ポリシー違反だというメッセージは詐欺です。Instagramがアカウントについて連絡する場合、設定内の 「Instagramからのメール」 タブを通じて行います。これがアプリ内でInstagramから直接届く正規の連絡を見られる唯一の場所です（Metaによる説明）。

これで、不審なメッセージを受け取ったときの確認は1ステップです。設定を開き、「Instagramからのメール」タブを確認して、そのメッセージがそこにあるかどうかを確かめます。なければ、Instagramからのものではありません。

メールの場合、送信者アドレスに[email protected]、[email protected]、@fb.com、@meta.com、@account.meta.comなどが含まれていれば、Meta関連の送信元であることを確認できます。お金を要求するメッセージ、贈り物を提供するメッセージ、アカウントを削除・停止すると脅すメッセージは信じないでください。不審なリンクをクリックしたり、パスワード、社会保障番号、クレジットカード情報を返信したりしてはいけません（Instagramのフィッシングガイダンスにすべて記載されています）。

すでにフィッシング被害にあった場合は、パスワードをリセットし、自分のものではないデバイスからログアウトして、不審なメールを[email protected]に報告してください。

ステップ7 — 信頼できないサードパーティアプリのアクセスを取り消す

サードパーティアプリを認証するときは慎重になり、信頼できないアプリにログイン情報を共有してはいけません。アクセストークンであれ、ユーザー名とパスワードを渡すことであれ、アプリにログイン情報を渡すと、そのアプリがあなたのアカウントへの完全なアクセス権を得る可能性があります（Instagramの警告）。

心当たりのないアプリを整理するには、instagram.com/accounts/manage_access で不審なサードパーティアプリへのアクセスを取り消してください。これはInstagramがハッキングされたアカウントやリスクのあるアカウントに対して案内している方法です。

ステップ8 — 共有デバイスではログアウトする

他の人と共有しているパソコンやスマホでInstagramを使うときはログアウトしましょう。公共のパソコンからログインするときは「ログイン状態を保持」にチェックを入れないでください。ブラウザのウィンドウを閉じた後もログイン状態が続きます（Instagramの説明）。

ステップ9 — コンテンツのコピーをInstagramの外に保存する

ステップ1から8は、アカウントへのアクセスを守るものです。しかし、あなたが何年もかけて作ってきたコンテンツそのものを守るものは、どれもありません。

Instagramでもデータを持ち出すことは可能です。アカウントセンター → 自分の情報と権限 → 自分の情報をエクスポート に進み、デバイスまたは外部サービスに書き出します。エクスポートはパスワードで保護されたプロセスで、Instagramからエクスポートリンクがメールで届くまで最大30日かかる場合があります（Instagramによる説明）。

最大30日かかるのは、計画的にアーカイブする分には問題ありません。しかし、ログインできなくなった当日の復旧手段としては役に立ちません。エクスポートのリクエストは、アクセスを失った後にしかできないからです。つまり、まさにそれができない状況なのです。

すでにアカウントを乗っ取られた場合

パソコンまたはモバイルブラウザで instagram.com/hacked にアクセスしてアカウントを保護しましょう。メールアカウントの安全も確認してください。メールを読める人は、おそらくInstagramアカウントにもアクセスできるからです（Instagramによる説明）。

そこから先は、Instagramの復旧ガイダンスにいくつかの方法が示されています。必要になる前に、すべて把握しておく価値があります。

• [email protected] からのメールを確認する。 攻撃者がアカウントのメールアドレスを変更した場合、そのメールから変更を取り消せる可能性があります。
• ログインリンクをリクエストする。 「パスワードを忘れた場合」から、メールアドレスまたは電話番号にログインリンクを送ってもらい、Instagramにアカウントの所有者であることを確認してもらいます。
• セキュリティコードまたはサポートをリクエストする。 ログインリンクが届かない場合に利用します。
• ビデオ自撮りで本人確認を行う。 あなたの写真が含まれるアカウントのサポートをリクエストすると、頭をさまざまな方向に向けるビデオ自撮りの撮影を求められます。この動画がInstagram上で公開されることはなく、30日以内に削除されます。

まだログインできる場合は、同じ情報源による次のリストを実行してください。

• パスワードを変更するか、パスワードリセットメールを自分宛てに送信する（instagram.com/accounts/password/change/）。
• 2段階認証をオンにする。
• アカウント設定の電話番号とメールアドレスが正しいことを確認する。
• アカウントセンターを確認し、心当たりのないリンク済みアカウントを削除する。
• 不審なサードパーティアプリへのアクセスを取り消す。

リスクの高いアカウント：Instagramのアドバンスドプロテクション

一部のInstagramアカウントは、詐欺やハッキングの試みに対して特に脆弱であると見なされます。Meta Verifiedの登録者、ビジネスオーナー、政治家、ジャーナリスト、広告主などです。これらのアカウントでは、2段階認証は任意ではありません。Instagramのアドバンスドプロテクション（高度な保護）により必須となり、指定された猶予期間内に登録しないと、登録が完了するまでアカウントがロックされます（Instagramによる説明）。利用できる方式は同じ3つです。認証アプリ（推奨）、SMS、WhatsAppです。

これらのカテゴリに該当する人は、ロックされてから気づくのではなく、猶予期間が切れる前に登録しましょう。

クイックリファレンス：各設定の場所

続ける価値のある習慣

セキュリティ設定は一度きりの作業ではなく、年に2回は再確認しましょう。2FAがオンのままか、ログインリストに見知らぬデバイスがないか、身に覚えのないサードパーティアプリがないか、パスワードがInstagram専用のままか、を確認します。

バックアップは、自動で動き続けるようにしておく必要があります。必要になる日は、設定ができない日だからです。