南知多町観光協会、Instagram公式アカウント3件が乗っ取り被害——復旧後も再侵害され、いずれも永久停止処分に
| 項目 | 内容 |
|---|---|
| 発生日 | 発生: 2026年5月13日、公表: 2026年5月27日 |
| 対象組織・業界 | 南知多町観光協会（愛知県・地域観光振興団体） |
| 攻撃手法 | Instagramアカウントの乗っ取り（詳細な侵入経路は未公表） |
| 情報源 | Security NEXT（2026年5月27日） |
愛知県の南知多町観光協会は、同協会が運用するInstagram公式アカウント3件が2026年5月13日に乗っ取り被害を受けたことを公表しました。対象は「@minamichita_annai」「@utsumi_photocontest」「@minamichita_navi」の3アカウントで、乗っ取り期間中に協会の意図に反した投稿や、キャンペーン当選案内・外部サイト誘導などのダイレクトメッセージが送信された可能性があるとされています。
同協会はMeta Platformsに被害を報告し、アカウントは一度復旧しましたが、その後も繰り返し不正アクセスを受け、プラットフォーム側の審査でいずれも永久停止処分となりました。フォロワー資産と地域観光情報の発信基盤が、事実上ゼロから再構築を要する状態になっています。
- 2026年5月13日: Instagramアカウント3件が乗っ取り被害を受ける
- 乗っ取り期間中: 意図しない投稿、フォロワーへのキャンペーン当選案内DM・外部サイト誘導DM等の送信
- 被害報告後: Metaによりアカウントが一度復旧
- その後: 復旧アカウントに再度不正アクセスが繰り返される
- Meta審査: 3アカウントいずれも永久停止処分
- 2026年5月27日: 事案を公表、Security NEXTが報道
侵入経路の詳細は公表されていません。復旧後も不正アクセスが繰り返された点から、認証情報・連絡先メールアドレスなどの復旧経路が攻撃者側にも把握されていた可能性が示唆されますが、公式な発表はありません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、南知多町観光協会が公表したものではありません。
- アカウント登録メールアドレス側の侵害: SNSアカウントの復旧はメールアドレス経由が主流であり、そのメール自体が乗っ取られていれば、復旧しても再度奪取されます
- パスワードの再利用と、多要素認証の未適用: 個人・団体運用の公式SNSでは、担当者間で共有されたパスワードや、MFA未適用のアカウントが少なくありません
- 偽キャンペーンによるフォロワー詐取の意図: 「キャンペーン当選案内」DMは、フォロワーを詐欺サイトへ誘導するフィッシングの典型パターンで、乗っ取り自体が二次攻撃のための踏み台になっている構図が考えられます
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 公式SNSのMFAは「団体運用」でも例外なく: 自治体・観光協会・自治会など団体運用のSNSは、担当交代・複数人アクセスの都合でMFAが未整備な例が多く見られます。物理セキュリティキーや共有可能な認証アプリを使い、団体運用でもMFAを常時有効化する運用設計が必要です。
2. 復旧時に「連絡先メール」も見直す: アカウントを復旧させるとき、登録メールアドレス・電話番号・バックアップコード等の復旧経路が汚染されていないかを併せて確認しないと、復旧してもすぐ再侵害されます。復旧経路の再点検は、アカウント復旧作業のチェックリストに含めるべき項目です。
3. フォロワーへの二次被害警告を最優先で: SNS乗っ取り時、フォロワーには「協会からのDM・投稿は当面信じないでください」「キャンペーン案内は詐欺の可能性」といった注意喚起を、他チャネル（公式サイト・地元メディア）から発信する必要があります。乗っ取り期間中にフォロワーが送金・個人情報入力に至れば、被害は組織を超えて拡大します。
ヤグラの視点 — 二次攻撃の連鎖を、時間差で断ち切る
Section titled “ヤグラの視点 — 二次攻撃の連鎖を、時間差で断ち切る”SNSアカウント乗っ取りの怖さは、攻撃者が奪ったフォロワーリストに時間差で偽DMを送り続けられる点にあります。南知多町観光協会の事例では、キャンペーン当選を装うDMや外部サイト誘導が「協会の名前」でフォロワーに届きました——受け取った側からすれば、地元の観光協会からの正式連絡と見分けがつかない状況です。一次侵害はアカウントの乗っ取りですが、本当のインシデントは「そこから広がる二次攻撃の連鎖」で、被害者は組織ではなくフォロワーに転移します。同じメール／DM／URLが誰に届いたかを自動で調査し、影響範囲を先回りで特定して封じ込める仕組みは、SNS乗っ取りの二次波を止める現実的な手段です。個人アカウントの乗っ取りが企業ドメインの二次被害を生むのと同様、団体アカウントの乗っ取りは地域住民・観光客への被害連鎖を生みます。（関連: PhishAI）
代替アカウント運用の再開状況、フォロワーからの二次被害報告、Metaによるアカウント復旧の見通しに関する続報を注視し、判明次第本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-07-28 | 第一報を公開（アーカイブキュレーション） |