公式 SNS が乗っ取られた 9 件の公表文から分かること

公式 SNS の乗っ取りの公表文は短く、原因はほとんど書かれていません。それでも並べると、乗っ取られたあとに何が起き、どれだけの時間で戻り、何を対策として挙げたかは分かります。

公表文 9 件の一覧

原因が書かれていないものは「未公表」としました。9 件のうち 2 件(宿泊施設の運営会社、飲食店の運営会社)は、公表文に「乗っ取り」とも「不正アクセス」とも書いていません。

原因はほとんど公表されない

ここでいう原因とは、アカウントに入られた手口のことです。手口を書いたのはカメラ・レンズメーカーの 1 件で、運営元を装ったメールへの対応を挙げています。自動車用品の小売会社は、手口までは書いていませんが、代行会社が使用・管理する Google アカウントが不正アクセスを受けたとして、破られたアカウントを特定しています。宿泊施設の運営会社は「何らかの不具合」とだけ書き、飲食店の運営会社は調査中としています。

乗っ取られるとアカウントで何が起きるか

公表文に書かれた出来事は 4 つに分けられます。フォロワーへの不審な DM は、食品メーカー、中古レコード店の運営会社、業界団体の 3 件が注意喚起の対象にしています。カメラ・レンズメーカーは、同社を騙った連絡や URL を開かないよう呼びかけました。無関係な投稿やリポストと、アカウント名や画像の変更・動画の削除は、自動車用品の小売会社の X と YouTube で起きました。アカウント自体の削除は、カメラ・レンズメーカーの Instagram で起きました。

復旧までの時間は、業界団体が翌日、新聞社が 4 日です。業務用ソフトの提供会社は利用を止めて媒体に復旧を依頼し、中古レコード店の運営会社は新アカウントへ移行しました。接点を失う期間は媒体の対応に左右され、当事者だけでは決められません。

再発防止策に書かれていないもの

9 件の公表文が挙げた対策は、表のとおり「セキュリティ強化」「監視の継続」「方針の検証」などです。二段階認証の設定、パスワードの見直し、担当者の限定といった具体的な方法は、どれにも書かれていません。

同じ型の事故で一般に問われる管理

二段階認証(ログイン時にパスワードに加えてコードを求める仕組み)は Instagram も Google もヘルプで手順を用意しており、仕組みは二段階認証とはで扱っています。複数人で運用するなら、コードを受け取る端末とバックアップコードの保管場所を誰が持つかを決めておく必要があります。

担当者の限定は、パスワードを配る人数を減らすことと、担当者ごとに権限を付けることの 2 つです。X の権限の付与(委任)はX・TikTok の企業アカウントを運用代行するときの権限と共有 IDで扱っています。

誤投稿のあとに確かめること

誤投稿は、当事者の公表文の例を確認できなかったため、一般論です。問われるのは、誰が、いつ、どの承認を経て投稿したかです。1 つの ID を複数人で使っていると、媒体の記録は ID 単位で、担当者までは絞れません。担当者ごとに権限を付けるか、ログインを担当者ごとに記録する仕組みがあれば、投稿の時刻と突き合わせて絞れます。投稿前の承認は、媒体に承認の機能がなければ運用で決め、誰が承認したかも記録に残します。

自分の現場を点検する問い

1. 公式アカウントごとに、パスワードを知っている人の人数と名前を挙げられるか。
2. 二段階認証を有効にし、コードを受け取る端末とバックアップコードの保管場所が決まっているか。
3. 乗っ取られたとき、フォロワーへの注意喚起を出す担当と文面が決まっているか。
4. 投稿のあとに、誰がいつ投稿したかを記録から示せるか。
5. アカウントが戻らなかった場合に、顧客へ知らせる別の連絡手段があるか。