X（旧Twitter）の乗っ取り被害防止策｜乗っ取られていないか確認する方法と2段階認証の設定

X（旧Twitter）の乗っ取りを防ぐうえで最も効果が大きいのは、2段階認証（Xの表記では「2要素認証」）を認証アプリかセキュリティキーで設定することです。あわせてパスキーを登録し、ログイン中のセッションと連携アプリを定期的に確認しておけば、怪しいログインにも早く気づけます。なお、ショートメール（SMS）による2段階認証は現在、X Premiumの加入者しか使えません。

すでに勝手にポストやDMが送られている場合は、先に「乗っ取られた時の解除方法」の手順で対処してください。メニュー名はアプリのバージョンによって多少違うことがあります。

2段階認証を設定する

2段階認証をオンにすると、ログイン時にパスワードに加えて、認証アプリのコードやセキュリティキーなどが必要になります。パスワードが漏れても、それだけではログインされにくくなります（Xヘルプ：2要素認証を使用する方法）。

選べる方法

方法	使える人	特徴
認証アプリ	全員	Google Authenticator、Authy、Duo Mobile、1Passwordなど、時間ベースのワンタイムパスワード（TOTP）に対応したアプリでログイン用のコードを表示する
セキュリティキー	全員	USB、NFC、Bluetoothで使う物理的な鍵。これだけを認証方法にすることもできる
ショートメール（SMS）	X Premium加入者のみ	2023年3月20日から、Premium以外では使えなくなった。国や通信会社によっては使えない場合もある

SMSの扱いは英語版のXヘルプに明記されています。無料で使うなら認証アプリを選びましょう。

認証アプリで設定する手順

端末に認証アプリを入れておく
Xで「設定とプライバシー」→「セキュリティとアカウントアクセス」→「セキュリティ」→「2要素認証」を開く
「認証アプリ」を選び、パスワードを入力する（メールアドレスが未確認なら確認を求められる）
表示されたQRコードを認証アプリで読み取り、アプリに出たコードを入力する

設定後に表示されるバックアップコードは、スマホをなくしたときにログインするために必要です。スマホとは別の場所に控えておいてください。

パスキーを登録する

パスキーは、パスワードの代わりに端末の生体認証や画面ロックでログインする仕組みです。端末ごとに作られる鍵を使うため、偽のログインページにだまされにくいとされています。Xのヘルプによると、iOSとAndroidのアプリで使え、次の手順で登録します。

「設定とプライバシー」→「セキュリティとアカウントアクセス」→「セキュリティ」を開く
追加のパスワード保護の項目にある「パスキー」を選ぶ
パスワードを入力し、「パスキーを追加」から画面の案内に沿って登録する

パスキーはログインを楽にして安全性も上げますが、2段階認証とは別の設定です。両方設定しておくと安心です。

ログイン中のセッションを定期的に確認する

知らない端末からログインされていないかは、セッションの一覧で確認できます（Xヘルプ：サードパーティアプリとログインセッションへの権限）。

「設定とプライバシー」→「セキュリティとアカウントアクセス」→「アプリとセッション」を開く
「セッション」で、ログイン中の端末、場所、時間を確認する

表示される場所はIPアドレスから推定したおおよその場所なので、実際の場所とずれることがあります。使っていない端末が並んでいたら、その場でログアウトさせてください。新しい端末からログインがあるとアプリやメールで通知が届くので、心当たりのない通知は無視しないようにしましょう。

連携アプリを定期的に確認する

Xは、アクセスを許可したサードパーティーアプリを定期的に確認するよう勧めています。同じ「アプリとセッション」の「連携しているアプリ」で一覧を見て、使っていないアプリや見覚えのないアプリは「アクセス権を取り消す」で外します。新しく連携するときは、アプリにXのパスワードを直接入力させるものは避け、x.com上で許可する方式（OAuth）のものだけにします。