お恥ずかしい話ですが、先日Facebookの乗っ取りに遭い、勝手に広告を出稿されて約10万円を請求されるという事態になりました。



不当請求分は無事返金されたのですが、アカウント停止となったため新しいFBアカウントを作ることに。注意喚起の意味も込めて、何が起こったかを記しておきます。


目次

• 1日目／FBページの広告出稿


• 2日目／別のGoogleアカウントからログイン


• 3日目／多額の広告領収書が届き不正発覚


• 4日目／パスワードが変更できない


• 5日目／アカウント停止


• その後／返金を確認

1日目／FBページの広告出稿

私は仕事でFBページを複数管理しており、その内の1つから広告を出稿することになりました。FBとInstagram両方に出すようにして、1日の上限金額は3,000円に設定。
出稿したのが夜だったため、この日はここまでで仕事を切り上げました。

2日目／別のGoogleアカウントからログイン

翌日、FB管理画面から広告レポートを確認すると、Instagramとの連携ができていなかったようで、FB広告しか出稿されていないことが判明。

私はInstagramアカウントも複数所持しているため、自分のGoogleアカウントでログインしているChromeだと別のアカウントが優先されてエラーになってしまうのかも？と推測し、キャンペーン用に作成したGoogleアカウントから、FBとInstagram（キャンペーン用）へのログインを試みました。

※結局、この試みは不要でした。


セキュリティ設定により、キャンペーン用GoogleアカウントからFBへログインすると、元々ログインしてあった端末へ「使用していないブラウザからログインがありました。本人ですか？」というようなログインアラートが届きます。

実際に自身がログインを試みているので、ログインを許可。
ただ、広告を設定しようと画面を推移する度に、頻繁にアラートが届いたり、パスワード再入力・二段階認証を求められたりしました。

普段はすんなり広告出稿できるのにおかしいな？

という違和感はあったものの、「乗っ取りが増えているから、FB側もセキュリティレベルを上げているのだな」と都合良く解釈してしまい、また、「キャンペーン告知のための広告だから早く設定しなくては」という焦りもあって、そのまま進めてしまいました。

何かトラブルがあっても、Google認証システムアプリの二段階認証は突破されないだろう

という思い込みによる油断もありました。

今振り返ると、数回届いていたログインアラートのどれかは不正ログインで、パスワード再入力を求めていたのも、FBからのメッセージを装ったフィッシング詐欺だったのだと思います。

3日目／多額の広告領収書が届き不正発覚

FBとInstagram両方の広告表示が始まったことを確認し安心していたら、驚きのメールが届きました。

広告費は1日の上限を3000円に設定しているにも関わらず、3日目にして6万円の領収書が添付されたメールです。内訳を見ると、同じキャンペーン名の広告が2つ作成されており、1つは全く覚えのないものでした。



慌ててFBの広告管理画面を開きましたが、自分が設定した広告しか見当たらず、多額の費用も発生していないように見受けられます。


↑クリックすると拡大します

しかし、より詳細なMeta広告の管理画面を開くと、そこにはこの時点で約9万円を消費している広告が。削除しようとしても「編集権限がない」との表示が出て削除できないため、一旦全ての広告をオフにしました。

オフにしたけれど、また勝手に広告を出されてしまうのではないか。そしてこの費用は返金してもらえるのだろうか？

そんな不安でいっぱいになりながら、急いでMetaサポートの問い合わせフォームへ。スクリーンショットを添えて、広告アカウントに不正アクセスされている旨を連絡しました。

4日目／パスワードが変更できない

Metaサポートからは深夜の内に返信がありました。迅速かつ丁寧な対応に、とりあえず安心。
詳しい状況を調査してくれることになり、その間にパスワード変更をするように勧められました。


しかし、アドバイス通りパスワード変更を試みるも、「入力されたパスワードは以前のものです」「パスワードは11時間前に変更されました」の表示が出て先に進めません。



「パスワードを忘れた場合」からのリセットも試みましたが、携帯電話の番号も抜かれてしまったらしく、ショートメールで送られてくるはずのセキュリティコードが届きません。

再びMetaサポートに、スクリーンショットを添えて相談のメールを送りました。



Metaサポートから返信があり、アカウント保護用のURLをいただいたのですが、結局現在のパスワードがわからないため止まってしまいます。

FBは継続して利用できているものの、乗っ取られているということは、私と友達になっている方々へも迷惑をかけてしまう危険性があるということ。早急に対応して欲しいとMetaサポートへ連絡しました。

5日目／アカウント停止

翌日になって、Metaサポートから「セキュリティ保護のため、個人アカウントを一旦停止しました」というメールが。PCからもスマホアプリからも、FBが利用できない状態になっていました。

そして、Metaサポ―トから以下よりアカウント復旧作業を行うよう指示を受けました。

1)ハッキングの報告リンク
https://www.facebook.com/hacked

2)パスワードでのログイン問題
https://m.facebook.com/login/identify

3)アカウントを検索とパスワードの復旧
https://m.facebook.com/recover/initiate/?ars=facebook_login

携帯電話のショートメールが届かないため、WhatsApp（Meta社のメッセージアプリ）でパスワードリセットコードを受け取ることに。こちらは問題なく受け取れました。



ただ、どの画面から推移しても、最終的にGoogle認証システムアプリのコードを求められて進めません。



「別の方法を試す」を選択し、本人確認書類のアップロードも試しました。
乗っ取りに遭ってしまった反省から、このページは本当に正規のものだろうか、本人確認書類を送って大丈夫だろうかと慎重に確認しながら進めました。


「本人確認進行中」の後、すぐに「アカウントへのアクセスを再開できます」というメールが届くのですが、やはり最後は二段階認証のコードを求められます。

これは詰んだかも…と諦め半分でMetaサポートへ状況を説明すると、

二段階認証は高度なセキュリティのため、二段階認証でログインできないということは、私どもも貴方が本当に本人なのか判断できません。

とのメールが返ってきました。

こうなってはもう仕方ないので、新しいアカウントを作成することに。
管理していたFBページは他の管理者に再度追加してもらい、仕事でメッセンジャーのやり取りを頻繁にしている方々に友達申請を送らせていただきました

※連絡できていない方たちには申し訳ないです。もしよろしければ友達申請を送っていただけると助かります…。

その後／返金を確認

アカウントを乗っ取られてしまったのはこちらの過失なので、返金されないかもと心配していたのですが、不当請求された広告費は無事全額返金されました。



旧アカウントの復旧はできませんでしたが、迅速に対応してくださったMetaサポートには感謝しています。



後日1点困ったのが、支払い方法に設定していたクレジットカードがMeta広告では使えなくなっていたこと。弊社は法人用のカードが1枚しかないため、これが使えないと困ります。

ただ、支払い方法にPayPalを選択したところ、PayPal経由で同じカードを設定できました。とりあえず今はこの方法で広告費の支払いを済ませています。


近年FBでは、広告利用者を狙った乗っ取りが増加しているそうです。気付くのが遅れると、費用も信頼も大きく損ないかねません。

今回のアカウント変更でご心配をおかけした皆さま、本当に申し訳ありませんでした。今後は少しでも違和感があったら手を止めるようにします。

FB以外でも様々な詐欺の手口が巧妙化していますので、対策＆被害に遭った場合の想定をするようにしましょう。皆さまもどうかお気をつけください。