乗っ取りDM領収書の日付は2030年、偽アカウントは4900万件――この1ヶ月SNSを襲った不正アクセスの正体【編集部まとめ】

支払日は2025年11月19日なのに、明細には2030年の日付が印字されていました。
乗っ取られたXアカウントから送られてきた偽のPremium領収書に潜んでいた、小さな矛盾です。

同じ9月から10月にかけて、PayPayは「身に覚えのない送金」への注意喚起を重ね、欧州警察は2025年10月、4900万件の偽アカウントを生んだ「電話番号貸し出し」ネットワークを摘発しました。
イラスト依頼サイトのSKIMAと電子書籍ストアのコミックシーモアは、それぞれ別の不正アクセスでサービスを止めています。

Shiritomoがこの1ヶ月に公開した記事を並べてみると、個人への詐欺DMから大手サービスの情報流出まで、手口の規模が一段ずつ上がっていく様子が見えてきました。
企業の公式アカウントを運用している方にとって、これは「自分のアカウントは大丈夫」で済ませられる話ではありません。

先に結論をまとめると：
– 個人の乗っ取り詐欺DMから、決済アプリのマルウェア被害、4900万件規模の偽アカウント網、インフラ単位のランサムウェア、大手サービスの会員情報流出まで、この1ヶ月だけで規模の違う不正アクセスが連続して報じられました
– 多くの事例は「公式を装う」「外部アプリへ誘導する」「使い回しパスワードを突く」という、よく似た型の隙を狙っています
– 運用担当者にとっての宿題は、二段階認証の有効化・フォロワー水増しの見分け方・パスワード管理の周知を、「いつかやる」から「今週やる」に変えることです

いま、SNSの不正アクセスに何が起きているのか

2025年11月に報告されたXアカウント乗っ取り詐欺DMの時点では、まだ「個人のフォロワー関係を悪用した詐欺」の域を出ませんでした。
ところが9月に入ると、決済アプリのPayPayが本格的な注意喚起を重ね、2025年10月に摘発されていた4900万件という規模の偽アカウント網の実態も、この時期あらためて注目されました。
さらに10月には、SKIMAとコミックシーモアという毛色の違う2つのサービスが、それぞれ別の不正アクセスで一時停止に追い込まれました。

5本の記事を時系列で並べると、狙われる対象が「個人のアカウント」→「決済アプリ」→「大量の偽アカウントを生む仕組み」→「サービスを支えるインフラ」→「会員情報そのもの」の順に広がっているのが分かります。
被害の主体も、個人ユーザーから企業・自治体へと移っていきました。

ここからは、この5つの事例を1つずつ見ていきます。

この1ヶ月、SNSとその周辺で起きた5つの不正アクセス

1. 詐欺師が「被害者」を演じる、乗っ取りDMの新しい筋書き

2025年11月、作家の木下昌輝さんが公開したXアカウントへのDMには、見慣れない筋書きが仕込まれていました。
送り主は「自分のVISAカードが不正利用され、あなたと同じユーザー名のアカウントに5年分のX Premiumが贈られた」という偽の領収書画像を送りつけ、Discordで確認してほしいと持ちかけてきます。
相手のアカウントが乗っ取られたと信じ込ませるのではなく、送信者自身が被害者を演じるのがこの手口の特徴です。

領収書画像をよく見ると、支払日は2025年11月19日なのに、明細期間は2030年の日付になっていました。
同じ取引で5年もずれるテンプレート画像の量産跡です。
X公式はDMやDiscordで個別サポートを行うことはなく、この種の誘導自体が詐欺のサインになります。
2026年に入っても同種の報告は波状的に続いており、後述するPayPayやコミックシーモアの事例とも「アカウント・パスワードの信用を逆手に取る」という点でつながっています。

2. 決済アプリを狙うのは、もうフィッシングだけじゃない

PayPayは2026年8月28日、アカウント乗っ取り・フィッシング・「送る/受け取る」機能の悪用など複数の不正利用の手口に注意を呼びかけました。
さらに9月に入ると、スマートフォンのマルウェア感染を通じて「身に覚えのない送金・決済」が起きるおそれがあると重ねて注意喚起しています。
不審なSMSやメール、SNS広告のリンクからアプリをインストールしたことで感染し、第三者に遠隔操作されるケースが確認されました。

実際に被害に遭ったという投稿者は、警察に被害届を出したあとPayPay側の対応が迅速で、銀行の現金預金分の約100万円弱が不正と認められて返還されたと公開しています。
前の事例が「アカウントの信用」を突くものだったのに対し、この事例は「スマホそのものの乗っ取り」が入り口になっている点が違います。
感染経路が公式アプリストア以外のインストールに集中しているのも、運用の現場で押さえておきたいポイントです。

3. 「スマホ農場」が4900万件の偽アカウントを生んだ仕組み

2025年10月10日、欧州刑事警察機構（Europol、EU加盟国の警察活動を調整する機関）がラトビアの拠点などを摘発し、4900万件超の偽アカウントの温床だった「電話番号貸し出しサービス」の運営者らを逮捕しました。
押収されたのはSIMボックス（多数のSIMカードを差し込み、電話番号を自動的に切り替えられる機器）約1,200台、SIMカード4万枚、サーバー5台。
貸し出していた電話番号は80カ国以上に登録されたものだったといいます。

1つの電話番号で作れるアカウント数を制限する仕組みは、多くのSNSが不正な量産を防ぐために使っていますが、SIMボックスで複数のSIMカードを自動で切り替えれば、この制限自体が機能しなくなります。
偽アカウントはフィッシングや投資詐欺など幅広い犯罪に使われていました。
これまでの事例が「1人のユーザーを狙う」ものだったのに対し、こちらは「大量の偽の人格そのものを作り出す」規模違いの手口です。
インフルエンサー起用の判断材料にしているフォロワー数が、こうした仕組みで水増しされている可能性を頭に入れておく必要があります。

4. 自社の障害なのに自社では直せない――クラウド基盤ごと止まったSKIMA

10月7日午前3時40分、福島県白河市のデータセンターで、クリエイター向けスキルマーケット「SKIMA」が利用するクラウド基盤「IDCFクラウド」に第三者がランサムウェア（身代金要求型ウイルス）を仕掛けました。
影響はSKIMA一社にとどまらず、バスケットボール協会やラジオ局、Jリーグクラブなど495の企業・自治体に広がっています。

SKIMA公式はX上で状況を説明し、本人確認書類やクレジットカード情報はIDCFクラウド側に保管されておらず、漏洩は確認されていないとしています。
一時は復旧困難とされたデータも、復旧に使えるデータが残っていることが分かり、新サーバーへの移行が進みました。
ここまでの3事例が「アカウント・個人の端末」を狙う手口だったのに対し、この事例は自社のミスとは無関係に、借りているインフラそのものが止まるリスクを示しています。
クラウド事業者の障害では、最終的に頼れるのは利用者自身が取っているバックアップだけという場面が起こり得ます。

5. パスワードの使い回しが無関係なサービスまで危険にする――コミックシーモア流出

10月15日午前11時35分、電子書籍ストア「コミックシーモア」が不正アクセスの疑いでサービスを緊急停止しました。
16日、運営元のNTTソルマーレが公式Xで公表したところによると、流出したのは会員のメールアドレス、ハッシュ化（元の文字列をそのままの形で保存しない暗号化方式）されたパスワード、生年月日、性別、ニックネームで、クレジットカード情報や購入履歴の流出は確認されていません。

運営は、同じメールアドレスとパスワードの組み合わせを他サービスでも使っている会員に、そちらのパスワードも変更するよう呼びかけています。
1つのサービスから漏れた組み合わせを使って、攻撃者は他サービスへのログインを次々に試す――この1ヶ月見てきた5つの事例の中で、読者自身が今すぐできる対策がもっとも分かりやすいのがこの最後の事例です。
コミックシーモアを使っていない人も、同じ注意を自社の会員向けサービスに当てはめられるでしょう。

5個の事例を1枚にまとめると

Shiritomo編集部の考察：明日からやることは3つ

5つの事例を並べて見えてくるのは、狙われる対象が個人から組織へ広がっても、攻撃の多くは3つの基本パターンに当てはまるということです。
新しい攻撃に備えるより、この3つの型を社内に周知する方が投資対効果は高いはずです。

明日からの具体的なアクションは次の3つです。
第一に、自社の公式アカウントでDMから外部アプリ（Discordなど）への誘導が来たら、確認せずブロック・通報する運用ルールを決めておくこと。
第二に、インフルエンサー起用や広告出稿の判断でフォロワー数だけを見るのをやめ、フォロワー数の増え方やエンゲージメント率もあわせて確認すること。
第三に、顧客向けサービスを運営している場合は、パスワード使い回しのリスクを定期的に会員へ周知し、クラウド障害に備えた自社側のバックアップも別途持っておくことです。

まとめ

個人への詐欺DMから大手サービスの会員情報流出まで、この1ヶ月の不正アクセスは規模こそ違っても同じ型の隙を狙っていました。
アカウントの運用担当者にできる備えは、二段階認証・怪しい誘導のブロック・パスワード管理の周知という、地味だけれど確実な基本の積み重ねです。

さらに深掘りしたい方へ

• 「次表示したら絶対に許さない」――8万いいねのX広告への訴え、”興味ない”ボタンが効きにくい理由
• 「フォロワー数といいね数ってあんま比例しないよな」、Xで1,368いいねの共感