公式Xアカウントの乗っ取りと仮想通貨詐欺｜企業・プロジェクトが今やるべき対策と発生時の広報

公式Xを運用している担当者にとって、最も避けたい事態のひとつが乗っ取りです。しかも近年は、乗っ取られたアカウントがほぼ決まって暗号資産の詐欺に使われます。

2026年8月28日には、ポケモンの公式Xアカウントが乗っ取られ、「$POKEMON」という偽のトークンが宣伝されました。Web3企業だけの話ではありません。フォロワーの多い企業アカウントであれば、どこでも標的になりえます。

この記事では、乗っ取りが詐欺に変わる仕組みと、今日からできる防御策、そして万一のときの広報の手順を整理します。

この記事でわかること

• 公式アカウントの乗っ取りが暗号資産詐欺に使われる仕組み

• 2025〜2026年の主な事例と、狙われる理由

• アカウントを守るための設定と運用ルール

• 乗っ取られたときに最初の数時間でやるべきこと

結論：乗っ取りは「信用」を盗む詐欺。守りと広報の両方を準備する

攻撃者が欲しいのはアカウントそのものではなく、そのアカウントが持つ信用です。公式の投稿なら、フォロワーはリンクを疑わずに開き、表示されたトークンを買ってしまいます。

• 典型パターン：偽トークンのコントラクトアドレスを投稿し、買わせたうえで売り抜ける

• もう一つの型：エアドロップや緊急アップデートを装い、ウォレットの資金を抜くサイトに誘導する

• 被害の広がり：数十分で拡散し、削除後もスクリーンショットで出回る

だからこそ、乗っ取られない設定と、乗っ取られたときの告知手順の両方を、事前に用意しておく必要があります。

2025〜2026年の主な事例

代表的なケースを並べます。暗号資産の業界かどうかを問わず、起きていることが分かります。

セキュリティ企業や金融当局でさえ被害に遭っています。「うちは大丈夫」と言える組織はない、と考えるべきでしょう。

（出典：AUTOMATON（2026年8月28日）ほか各社の発表・報道）

なぜ企業アカウントが狙われるのか

暗号資産の詐欺は、短時間で大きな金額を動かせます。そこに必要なのは「信じてもらえる発信者」です。

• フォロワー数：一度の投稿で数十万〜数百万人に届く

• 認証バッジ：公式マークが、リンクの安全性を保証しているように見える

• 話題性：有名ブランドの「新プロジェクト」は、それだけでニュースになる

Web3と無関係のブランドほど、フォロワー側に暗号資産の詐欺を見抜く知識がありません。被害が大きくなりやすいのはそのためです。

乗っ取りの主な入口

アカウントが奪われる経路は、パスワードの総当たりよりも「人をだます」ものが中心です。

• 偽の通知メール：「著作権侵害の申し立て」「アカウント凍結の警告」を装い、ログイン情報を入力させる

• 連携アプリ：過去に許可した外部アプリの権限を悪用される

• ログイン用メールの乗っ取り：Xではなく、登録しているメールアカウントが先に奪われる

• 担当者の端末：マルウェアでブラウザのセッション情報を盗まれる

特に多いのが、偽の通知メールです。運用担当者は日々多くの通知を受け取るため、本物らしいメールに反応しやすいのです。

今日からできる防御策

設定でできること

1. ログインをパスキーまたはセキュリティキーにする：SMSの認証コードは、電話番号の乗っ取りに弱い

2. ログイン用のメールアカウントも同じ強度で守る：ここが破られると、Xの守りは意味を失う

3. 連携アプリを棚卸しする：使っていない外部アプリの権限を外す

4. ログインできる人を最小限にする：退職者・外部パートナーのアクセスは、契約終了時に必ず外す

運用で決めておくこと

• 公式の確認ページ：自社サイトに「公式アカウント一覧」と「当社はトークンを発行していません」といった方針を掲載しておく

• 予備の告知先：Xが使えないときに告知する先（自社サイト、Discord、別のSNS）を決めておく

• 通知メールの確認ルール：アカウント関連のメールのリンクは踏まず、アプリから直接確認する

Web3プロジェクトの場合は、正式なコントラクトアドレスを公式サイトに固定で掲載しておくことも重要です。偽アドレスとの照合先になるからです。

乗っ取られたときの最初の数時間

万一乗っ取られたら、技術的な復旧と同時に、利用者への告知を急ぎます。順番の目安は次のとおりです。

1. 予備の告知先で第一報を出す：「公式Xが不正アクセスを受けています。現在の投稿のリンクは開かないでください」

2. Xのサポートに報告し、ログイン手段を取り戻す：パスワードとセッションをすべてリセットする

3. 取引所・パートナーに連絡する：偽トークンの上場や拡散を防ぐため、関係先に事実を伝える

4. 復旧後に経緯を説明する：何が起きたか、ユーザーへの影響、再発防止策を短くまとめて出す

第一報で大切なのは、分かっていることだけを、短く、早く伝えることです。原因の特定を待っていると、その間に被害が広がります。

まとめ

公式アカウントの乗っ取りは、企業の信用をそのまま詐欺に転用される事件です。押さえるべき点は3つです。

• 狙いは信用：偽トークンやフィッシングサイトへの誘導に、公式の看板が使われる

• 入口は人：偽の通知メール、連携アプリ、ログイン用メールの乗っ取りが中心

• 事前準備が勝負：パスキーへの切り替え、権限の最小化、予備の告知先と雛形の用意

SNSは、企業とファンをつなぐ最も大切な接点です。守りの設計まで含めて運用することで、安心して発信を続けられます。

株式会社Dawinは、北米・東南アジア・欧州など幅広い地域を対象に、海外向けのSNS・インフルエンサー（KOL）マーケティングを支援しています。なかでもWeb3関連事業のマーケティングでは国内トップレベルの実績があります。

公式アカウントやコミュニティの運用体制、インシデント時の発信方針を整えたい。そんなご相談も歓迎しています。

関連記事

• Web3プロジェクトの海外マーケティング支援（サービス案内）

• 暗号資産ハッキング被害まとめ【2026年版】｜Bitget・Drift・KelpDAOなど主要事件と手口の変化

• 北朝鮮の「偽の採用面接」攻撃とは？警察庁が注意喚起したWaterPlumの手口とWeb3企業の対策

• SNS運用にAIを使う際の注意点5選——「AIっぽさ」と炎上リスクを避けるには

• Web3コミュニティ運営代行の選び方——Discord/Telegram運営を外注する前に知るべきこと

• 無駄な投稿を連発していませんか？海外向けSNSは「LP」だと考える