LINE公式アカウントの乗っ取り対策｜不正ログイン時にやること

実際に起きた不正ログインの手口

LINEヤフー社は2024年8月に、LINEビジネスIDへの不正ログインがあったことを公表しています。発表によると、2024年7月にパスワードリスト攻撃が行われ、一部のビジネスIDで不正ログインと不正な操作が確認されました。

• パスワードリスト攻撃とは、別のサービスから漏れたメールアドレスとパスワードの組み合わせを、そのまま試してログインする手口です
• 不正ログインが確認されたのは、メールアドレスでログインする「ビジネスアカウント」。LINEアカウントだけでログインするIDでは確認されていないとされています
• 被害のあった公式アカウントでは、友だちのプロフィール情報や1対1チャットの内容を見られた可能性がある、と案内されています

つまり、LINEのシステムが破られたのではなく、他のサービスと同じパスワードを使っていたところに入られた形です。裏を返せば、パスワードの使い回しをやめるだけで、この手口はほぼ防げます。

この件を受けて、2024年9月3日からは、メールアドレスを登録しているビジネスIDで2段階認証が初期設定でオンになりました。ログインのときに、登録メールアドレスに届くログインコードの入力が求められます。

今日やっておく3つの対策

対策1：2段階認証がオンになっているか確かめる

メールアドレスで登録しているビジネスIDなら、ログインのたびにコードを求められるはずです。求められない場合は、設定でオフにしていないかを確認してください。以前の案内では、運用上の都合でオフにすることもできるとされていました。

あわせて確かめたいのが、コードが届くメールアドレスが、今も確実に受け取れるかです。

• 辞めた担当者の個人アドレスになっていないか
• 制作会社・代理店のアドレスになっていないか
• 迷惑メールフォルダに振り分けられていないか

コードが届かないと、乗っ取りどころか自分たちも入れなくなります。届かないときの直し方はログインできないときの原因5つと直し方に書きました。届き先は、店の共有アドレスにしておくのが安全です。

対策2：パスワードを使い回しのないものに変える

LINEヤフー社の案内でも、次の3つが挙げられています。

• 他のサービスと同じパスワードを使い回さない
• 誕生日・店名・電話番号など、推測されやすいパスワードにしない
• 以前使っていたパスワードに戻さない

お店でよくあるのが、「みんなが分かるように」と同じパスワードを複数のサービスで使い、スタッフのグループLINEや紙で共有しているケースです。共有するのはパスワードではなく権限にしてください。1人ずつ自分のIDで入れるようにしておけば、誰かが辞めたときもその人の権限を外すだけで済み、パスワードを全員分変える必要がありません。

対策3：管理者を2人にして、不要な権限を外す

権限の棚卸しは、乗っ取り対策としても効きます。入口が多いほど、どこか1つが漏れたときに入られる確率は上がるからです。

管理者を2人にしておくと、1人が締め出されても、もう1人が権限を付け直せます。権限の種類と追加の手順は権限と管理者の追加方法、担当者が代わるときの引き継ぎ方はアカウントの引き継ぎをご覧ください。

担当者の個人のLINEも「鍵」になる

LINEビジネスIDには、メールアドレスのほかにLINEアカウント（個人のLINE）でもログインできます。この方法で入っているお店では、担当者の個人のLINEがそのまま管理画面の鍵です。個人のLINEが乗っ取られれば、お店のアカウントにも入られるおそれがあります。

個人のLINEの乗っ取りは、パスワードの使い回しのほか、「認証番号を教えて」「再認証が必要です」といったメッセージに応じて、届いた番号やパスワードを渡してしまうことで起きるのが典型です。知り合いの名前で届くこともあります。LINEの側から認証番号を聞いてくることはないので、誰に頼まれても教えない、とスタッフ全員で決めておきます。

そのうえで、管理画面にLINEアカウントでログインしている人には、自分のLINEで次の3つを確かめてもらいます。いずれもLINEアプリの「ホーム」＞「設定」＞「アカウント」の中にあります（画面の名称はアプリの更新で変わることがあります）。

個人のLINEの設定は、お店が代わりにできるものではありません。「管理画面に個人のLINEで入る人は、この3つを確かめる」と、権限を渡すときの決まりにしておくのが現実的です。辞める人の権限を外すのを忘れないことも、同じくらい大事です。

月1回、5分で終わる点検表

対策は、一度やって終わりにすると半年後には崩れています。人の出入りや外注先の入れ替えがあるからです。月初の配信を作る前など、決まったタイミングで次の表を上から見ていきます。

3と5は、管理画面の「メッセージリスト」で見られます。場所と見方はLINE公式アカウントの配信履歴はどこ？送ったメッセージの確認方法にまとめています。点検した日と気づいたことを1行ずつ残しておくと、何か起きたときに「いつまでは正常だったか」がすぐ分かります。

不審なログイン通知が来たときにやる順番

身に覚えのないログインの通知が届いた、知らない配信が出ている、お客様から「変なメッセージが来た」と言われた。そういうときは、次の順番で動きます。

1. パスワードを変える。LINEヤフー社の案内でも、身に覚えのないログイン通知が来たらまずパスワードの変更が勧められています。同じパスワードを使っている他のサービスも、あわせて変えます
2. 権限の一覧を見る。知らない人が管理者や運用担当に加わっていないか。いたら外します
3. 予約配信を見る。見覚えのない予約があれば、送られる前に取り消します（予約配信のやり方）
4. あいさつメッセージ・応答メッセージ・リッチメニュー・プロフィールを見る。URLが書き換えられていないか、1つずつ開いて確かめます
5. 送られてしまった配信を確かめる。すでに出てしまった配信は、送信取消で消せる範囲が限られます（誤送信は取り消せるか）
6. 運営に問い合わせる。入れなくなっている、変更が戻せないといった場合は、LINEヤフー社のお問い合わせフォームから連絡します（問い合わせ先はどこか）
7. お客様に知らせる。不審なメッセージが出てしまったなら、下の文例でURLを開かないよう呼びかけます

LINEヤフー社が公表した件では、不正ログインが疑われたIDに対して、運営側がログイン中の状態を無効にし、パスワードを初期化して、再設定の案内をメールで送ったとされています。パスワードの再設定を求めるメールが来たら、メールのリンクを押す前に、本物の案内かを確かめてください。同じ時期には、登録メールアドレスあてに届く詐欺メールへの注意も呼びかけられていました。迷ったら、メールのリンクではなく、自分でブックマークしたLINE for Businessのページからログインします。

お客様に注意を呼びかける文例

不審なメッセージが出てしまった場合は、正しい連絡を早めに出します。ポイントは、何が起きたか・何をしないでほしいか・問い合わせ先を短く並べることです。

【大切なお知らせ】
○月○日○時ごろ、当店のLINE公式アカウントから、当店が送ったものではないメッセージが配信されました。
メッセージ内のURLは開かず、開いてしまった場合も、IDやパスワード、カード番号などは入力しないでください。
現在はアカウントの安全を確認し、対策を済ませています。ご心配をおかけし申し訳ございません。
ご不明な点は、店頭またはお電話（000-0000-0000）でお問い合わせください。

管理画面に入れず配信できない場合は、店頭の掲示・サイト・SNS・電話など、LINE以外の連絡手段で同じ内容を伝えます。お客様の情報を見られた可能性があるときは、個人情報の扱いとして社内で記録を残し、対応を決めておきます。

よくある失敗

LINE公式アカウントの停止との違い

「急に入れなくなった」「配信できなくなった」ときは、乗っ取りではなく、運営によるアカウントの停止のこともあります。停止は規約やガイドラインへの違反が理由で、通知に案内が書かれていることが多いので、まずその内容を読んでください。停止につながりやすい運用は停止・凍結されないためににまとめています。

LCALL（自社サービス・PR）は、LINEとWebチャットのやり取りを受信箱の1画面で受け、スタッフごとに自分のログインで対応できるサービスです。パスワードを全員で共有する運用をやめやすく、友だち・顧客管理のタグや対応履歴も担当者が代わっても残ります。受信箱・配信・シナリオ・フォームはFreeプラン（友だち300人・一斉配信は月4回まで）から、スタッフを複数人に分けるのはStandardプラン（スタッフ5人まで）からです。LINE公式アカウントそのもののログインやセキュリティ設定は、LINEヤフー社の管理画面で行ってください。プランの内訳は料金ページ、体制づくりのご相談は無料相談で承ります。

よくある質問

LINE公式アカウントが乗っ取られることはありますか

あります。LINEヤフー社は2024年に、LINEビジネスIDへのパスワードリスト攻撃で一部のIDに不正ログインがあったことを公表しています。他のサービスと同じパスワードを使っていると入られやすくなります。

LINEアカウントでログインしていれば安全ですか

2024年の件では、不正ログインが確認されたのはメールアドレスでログインするビジネスアカウントで、LINEアカウントだけでログインするIDでは確認されていないとされています。ただし、LINEアカウント側のパスワードや端末の管理が甘ければ同じことなので、どちらの方法でも鍵の管理は必要です。

スタッフの個人のLINEが乗っ取られたら、お店のアカウントも危ないですか

その人がLINEアカウントで管理画面にログインしているなら、危ないと考えて動きます。まず、別の管理者がその人の権限をいったん外します。本人には自分のLINEのパスワード変更と「ログイン中の端末」の確認をしてもらい、取り戻せたことを確かめてから権限を付け直します。あわせて、予約配信やあいさつメッセージに見覚えのない変更がないかを確かめてください。管理者を2人にしておくのは、こういうときのためです。

2段階認証をオフにしても大丈夫ですか

おすすめしません。コードの入力が手間なら、オフにするのではなく、コードが届くアドレスを全員が見られる店の共有アドレスにするほうが安全です。将来的に必須にする可能性があるとも案内されていました。

乗っ取られたかどうか、どこで分かりますか

身に覚えのないログイン通知、知らない配信や予約、権限一覧に知らない人がいる、あいさつメッセージやリッチメニューのURLが変わっている、お客様から「変なメッセージが来た」と言われる、などがきっかけになります。どれか1つでも当てはまれば、まずパスワードを変えてください。

乗っ取られたら、友だちは減りますか

不審なメッセージが届くと、ブロックされることはあります。早めに正しいお知らせを出して、何が起きたかを説明するほうが、黙っているより信頼は戻りやすくなります。ブロックの増え方はブロック確認方法で確かめられます。

まとめ

• 乗っ取りのほとんどは、LINEビジネスIDのパスワードが漏れて起きる。2024年には実際にパスワードリスト攻撃があった
• 入られると、配信・チャット・プロフィールの書き換え・権限の操作まで一通りできてしまう。被害はお客様にも及ぶ
• 対策は3つ。2段階認証の確認（届き先は共有アドレスに）、使い回しのないパスワード、管理者を2人にして不要な権限を外す
• 不審な通知が来たら、パスワード変更→権限→予約配信→あいさつ・応答・リッチメニュー→運営へ問い合わせ→お客様へのお知らせ、の順に
• 個人のLINEで管理画面に入る人は、ログイン中の端末・パスワード・ログイン許可を確かめる。認証番号は誰にも教えない
• 月1回、権限・届き先・予約配信・URL・配信済みの5つを点検する
• 再設定のメールが来ても、リンクではなくブックマークした公式ページから入る