X（旧Twitter）乗っ取りでメールアドレスを変更され「所有者であることを確認できませんでした」と拒否｜日米X社へ書面を送り約2週間半で取り戻した成功事例

X（旧Twitter）に、ある日突然ログインできなくなりました。パスワードは「誤っている」と表示され、リセットしようとすると、認証コードの送信先は登録した覚えのないメールアドレスに書き換えられていました。第三者による乗っ取りです。ご依頼人はすぐにXのサポートへ申請を重ねましたが、6日間で6回申請しても、返ってきたのは「所有者であることを確認できませんでした」として、これ以上は対応できない、新しいアカウントを作ってほしいという趣旨の定型文でした。本記事では、乗っ取りの経緯と、サポートの回答とXヘルプセンターの案内との食い違いを書面で整理し、日本のX社へ内容証明郵便、米国のX社へ米国内からの書留郵便で送付した結果、書面の発送から約2週間半でX社からパスワード再設定のメールが届き、アカウントを取り戻した成功事例をご紹介します。

ご相談の概要

今回ご相談いただいたのは、個人で大切に使ってきたXアカウントが、第三者に乗っ取られたケースです。アカウントには、亡くなった愛犬の写真や旅行の記録、趣味の感想など、ご依頼人にとって二度と取り戻せない個人的な記録が積み重なっていました。

ある日の昼、ご依頼人はいつもどおりスマートフォンのアプリからXを利用していました。ところが同じ日の夕方、ログイン状態が解除されていることに気づきます。設定していたパスワードを入力しても「誤っている」と表示され、パスワードをリセットしようとすると、認証コードの送信先として表示されたのは、登録した覚えのない伏せ字のメールアドレスでした。アカウントの登録メールアドレスが、何者かによって書き換えられていたのです。電話番号を登録していたかどうかもはっきりせず、自分でパスワードをリセットする手段はありませんでした。

ご依頼人はその日からXのサポートへ申請を重ね、アカウントが自分のものであることを示す画像や、アカウント開設の記念日が表示された画像も添えて事情を説明しました。しかし、6日間で6回申請したうち4回は、「所有者であることを確認できませんでした」とする、ほぼ同じ内容の定型文で拒否されました。その後、登録メールアドレスの受信箱を見返したところ、数か月前から身に覚えのない通知が届いていたことが分かり、当事務所へご相談いただきました。

本件は、Xのルール違反を理由とする「凍結」ではなく、第三者による不正アクセスで登録情報を書き換えられた「乗っ取り」の事案です。ご依頼人は登録していたメールアドレスを今も問題なく使えており、Xのヘルプセンターが問い合わせの際に伝えるよう案内している情報（登録メールアドレス・ユーザー名・最後にアクセスした日付）もそろっていました。それでも定型文の拒否が繰り返されたことから、申請が個別に審査されず、自動的に処理されていた可能性がうかがわれました。

乗っ取りの発覚から取り戻すまでの経緯

ご相談から解決までの流れを時系列で整理すると、おおむね次のとおりです（日付は一部一般化しています）。

・4月〜7月中旬：登録メールアドレスに、パスワードの変更通知、パスワードリセットの認証コード、新しい端末からのログイン通知が届いていた（後日判明）

・7月中旬（1日目の昼）：いつもどおりアプリからログインして利用

・同日の夕方：ログアウトされ、パスワードも通らない。リセットを試みると、認証コードの送信先が登録した覚えのないメールアドレスになっていた

・同日から6日間：Xのサポートへ6回申請。うち4回は「所有者であることを確認できませんでした」とする定型文で拒否され、英語で同じ趣旨の回答が届いたこともあった

・発覚から9日後：登録メールアドレスの受信箱を確認し、数か月前から不審な通知が届いていたことを知る

・その2日後：当事務所へご相談。翌日、料金と必要事項をご案内

・ご相談から3日後：日本のX社宛と米国のX社宛の「日米同時ダブル送付」で正式にご依頼。ご入金を確認し、同日中に作成に着手

・翌営業日：乗っ取りの経緯、サポートの回答の問題点、ヘルプセンターの案内との食い違いを整理した申立書の原案をお届け

・その翌日：ご確認をいただいたその日のうちに、X Corp. Japan株式会社宛に内容証明郵便で発送

・その2日後：英訳版のご確認を経て、当事務所独自のノウハウに基づく送付経路で、米国内からの書留郵便（配達記録付き）により米国のX社宛に発送

・8月中旬：米国側への配達が完了。日本側の控え（謄本）と米国側の配達記録をPDFでお届け

・同じ頃：乗っ取った第三者が投資関連の投稿を始め、ご依頼人がヘルプセンターから改めて乗っ取り被害を申請

・その約1週間後：X社からパスワード再設定のメールが届き、アカウントを取り戻す（日本のX社への発送から17日後、米国側への配達完了から10日後）

後から見つかった「乗っ取りのサイン」

ご依頼人がアカウントを失った後に登録メールアドレスの受信箱を見返すと、Xから次のような通知が届いていました。いずれも、ご依頼人には心当たりのないものです。

・4月：パスワードが変更されたことを知らせる通知（変更した記憶はない）

・5月下旬：パスワードリセット用の認証コード（リセットを求めていない）

・6月下旬〜7月中旬：新しい端末からのログインを知らせる通知が計4回（うち1回は、その日に訪れていない都市からのログイン）

・7月中旬以降：通知は届いていない。登録メールアドレスの変更を知らせる通知も見当たらなかった

これらの通知からは、遅くともアカウントを失う2週間ほど前には、第三者がアカウントに入り込んでいたことがうかがえます。4月のパスワード変更の通知まで含めると、さらに前から狙われていた可能性もあります。

注意したいのは、Xのヘルプセンターによれば、パスワードを変更しても、スマートフォンのXアプリのログイン状態は自動的には解除されないことです。アプリを普段どおりに使えていても、それだけで安心はできません。「パスワードを変更しました」「新しい端末からログインがありました」といった通知に心当たりがないときは、ログインできるうちにすぐ対処することが何より大切です。

また、Xのヘルプセンターは、登録メールアドレスが変更されると、以前のメールアドレスに通知を送ると説明しています。ところが本件では、その通知が見当たりませんでした。この点も書面で指摘しています。

「所有者であることを確認できませんでした」という回答の問題点

本件では、Xのサポートからの回答は、件名に「Regain access - Hacked or compromised」と入ったメールで届きました。回答は、次のような趣旨の定型文でした。

・アカウントの所有者であることを確認できなかったため、このアカウントへのアクセスについてこれ以上のサポートはできない

・登録したメールアドレスや電話番号が分かっていても、それらを現在使えない場合は、メールのプロバイダーや電話会社に問い合わせてほしい

・プライバシー保護のため、登録メールアドレスや電話番号に関する情報は提供できない

・新しいアカウントを作成して、Xを使ってほしい

添付した画像をどう評価したのか、確認のために何が足りないのかといった説明は一切なく、申請のたびにほぼ同じ文面が返ってくる状態でした。本件の事実関係から見ると、この回答には次のような問題がありました。

第一に、回答が本件の事実関係に合っていません。「メールのプロバイダーや電話会社に問い合わせる」という案内は、利用者が自分のメールアカウントにログインできなくなった場合を想定したものです。本件のご依頼人は、登録していたメールアドレスを今も問題なく使えていました。使えなくなっているのは、第三者に書き換えられたX側の登録情報です。

第二に、ご依頼人はヘルプセンターの案内どおりの情報を伝えていました。Xのヘルプセンターは、パスワードをリセットしてもログインできない場合、乗っ取られたアカウントに登録していたメールアドレスをサポートに知らせ、あわせてユーザー名と最後にアクセスした日付も伝えるよう案内しています。それでも所有者であることを確認できないとされるのであれば、公表されている案内と実際の運用が食い違っていることになります。

第三に、X社は旧メールアドレスとアカウントの結び付きを把握していると考えられます。Xのヘルプセンターは、登録メールアドレスが変更されると以前のメールアドレスに通知が送られること、以前のメールアドレスは引き続き保存され、安全とセキュリティ上の目的で使われることを説明しています。実際、パスワードリセットの画面でご依頼人の旧メールアドレスを入力すると、乗っ取られたアカウントが見つかり、送信先として書き換え後のメールアドレスが伏せ字で表示されました。

第四に、「新しいアカウントを作成してほしい」という案内は乗っ取りの解決になりません。凍結と違い、乗っ取りでは元のアカウントを第三者が使い続けます。新しいアカウントに移ってしまえば、乗っ取った者の支配を事実上認める結果になり、なりすましの投稿やダイレクトメッセージによって、フォロワーなど周囲の人にまで被害が広がるおそれがあります。実際に本件でも、その後、アカウントで投資に関する投稿が始まっていました。

書面で整理した主張と、日米のX社への送付

当事務所では、ご依頼人からお送りいただいた通知メールやサポートとのやり取りの画像をもとに事実関係を時系列で整理し、「Xアカウント不正アクセス被害に関する申立書」として、主に次の点をまとめました。

・乗っ取りの経緯を、通知メールの日時と内容で具体的に示したこと

・サポートの回答が本件の事実関係に合っておらず、自動的な処理や定型応答による誤った判定の可能性が高いこと

・ヘルプセンターが案内する情報（登録メールアドレス・ユーザー名・最後にアクセスした日付）をすべて伝えていること

・X社が旧メールアドレスとアカウントの結び付きを保持しており、登録メールアドレスの変更通知が届いていないこと自体が不自然であること

・正当な利用者でなければ知り得ない事項への回答や、本人確認書類の提出にいつでも応じること

・新しいアカウントの作成を勧める対応は、乗っ取りの被害を放置することになり適切でないこと

・他人のログイン情報を無断で使って登録情報を書き換える行為は、不正アクセス禁止法が禁止する不正アクセス行為に当たり得ること

・担当者による個別の審査を行い、登録メールアドレスを復旧してパスワードを再設定できるようにしてほしいこと

書面の末尾には、ユーザー名、不正に変更される前の登録メールアドレス、現在表示される伏せ字のメールアドレス、最後にアクセスした日、これまでにサポートから付与された問い合わせ番号をすべて記載し、X社の側で照合しやすくしています。

書面は日本語版と英訳版を用意し、日本のX Corp. Japan株式会社宛には内容証明郵便で、米国のX社宛には、日本からの国際郵便ではなく米国内から配達記録の残る書留郵便で発送しました。米国のX社宛の書面は、当事務所が受任実績から積み上げてきた運用ノウハウに基づく送付経路で届けています。送付経路の詳細は当事務所の実務ノウハウの中核にあたるため、記載は控えさせていただきます。なお、日本の内容証明郵便は国内専用の制度のため、米国宛には利用できません。

今回の結果：書面の到着後に改めて申請し、パスワード再設定メールが届いた

当事務所では、ご依頼の際に、X社から何らかの反応がある場合でも1〜3か月程度かかることが多いとご案内していました。あわせて、書面の到着後にあらためて申請を行ったところ解決に至った例があることもお伝えしていました。

米国側への配達が完了した頃、乗っ取った第三者がアカウントで投資に関する投稿を始めていることが分かりました。ご依頼人がヘルプセンターから改めて乗っ取り被害を申請したところ、その約1週間後、それまで申請を拒否してきたX社から、パスワード再設定のメールが届きました。ご依頼人は無事にパスワードを再設定し、アカウントを取り戻すことができました。アカウントを失ってから約5週間、日本のX社への発送から17日後の解決です。

その日のうちに、ご依頼人から「あれだけ以前申請拒否されたX社からアカウントのパスワード再設定メールが届きまして、無事取り戻すことができました」とご報告をいただきました。

定型文による拒否が続いていた状況から、書面の到着後の申請でパスワード再設定の案内が届いたという経過からは、事実関係と根拠を整理した書面を日米両方のX社へ届けたことが、個別の審査につながった一因と考えています。なお、解決までの期間や結果は個々のケースによって大きく異なり、必ず同じ結果・同じ期間になるとは限りません。

アカウントを取り戻したら、過去に使っていない推測されにくいパスワードへの変更、登録メールアドレスと電話番号の確認、見覚えのない端末のログインや連携アプリの解除、2要素認証の設定、乗っ取られている間の投稿の確認と削除を、できるだけ早く行いましょう。

Xアカウントの乗っ取りに備えて、今できること

・Xに登録するメールアドレスは普段から確認しているものにし、心当たりのない通知が届いたらすぐに確認する

・心当たりのない通知が届いたら、ログインできるうちにパスワードを変更し、設定の「アプリとセッション」などでログイン中の端末や連携アプリを確認する

・認証アプリやセキュリティキーなどによる2要素認証と、パスワードリセットの際にメールアドレスまたは電話番号の入力を必須にする設定を使う

・ユーザー名、登録メールアドレス、電話番号、アカウントの開設時期などを日頃から記録しておく

・乗っ取られたら、通知メールを削除せずに残し、パスワードリセットの画面やサポートからの回答、問い合わせ番号を保存する

・ほかのSNSや連絡手段でフォロワーや知人に乗っ取り被害を知らせ、被害の状況によっては警察（各都道府県警察のサイバー犯罪相談窓口）への相談も検討する

ご相談について

SG行政書士法務事務所では、X（旧Twitter）・Instagram・FacebookなどSNS凍結解除の内容証明郵便・国際郵便の作成発送代行を年間数百件規模で承っております。登録メールアドレスを変更されてログインできないケースや、サポートから「所有者であることを確認できませんでした」と回答されたケースも、通知メールやサポートとのやり取りの内容をもとに、対応の可否や進め方を確認のうえでご案内いたします。Xの乗っ取りや凍結でお困りの方は、ココナラの出品サービスよりお気軽にご相談ください。

※本記事は一般的な情報提供を目的としており、個別の法的助言を構成するものではありません。掲載した事例は実際のご相談をもとに、個人が特定されないよう内容を一般化して再構成したものです。アカウントの回復を保証するものではなく、結果は個々の状況により異なります。当事務所は書類の作成・発送代行を行うものであり、相手方との交渉・代理は行いません。