Xの企業公式を装う詐欺DMは危険？急増する手口を検証【2026年最新】

2026年8月20日

「【重要】特典のご案内：公式キャンペーンに当選しました！」
「警告：あなたのアカウントで不正利用が検知されました。24時間以内に認証しないとアカウントが永久凍結されます」

2026年に入り、X（旧Twitter）のダイレクトメッセージ（DM）機能を悪用した、かつてない規模のサイバー詐欺・アカウント乗っ取り攻撃が猛威を振るっています。

これまでは「怪しいカタコトの日本語アカウント」や「露出度の高いアイコンのスパムボット」からのDMが主流でしたが、現在横行している手口は極めて巧妙かつ悪質です。
誰もが知る有名上場企業の公式アカウントに瓜二つの偽アカウントを作り上げたり、あるいはX公式サポートを名乗ったり、さらには「すでに相互フォローしている本物の友人・知人の乗っ取りアカウント」を踏み台にして詐欺DMを送りつけてくる事例が急増しています。

有楽製菓（ブラックサンダー）やアース製薬といった名だたる大手企業が公式X上で緊急の注意喚起ポストを相次いで発表。
さらに2026年7月24日には、X社日本法人（X Corp. Japan）が公式アカウントを通じて異例の詐欺警告を発令する事態へと発展しました。

「なぜ公式マークや企業名を信じてしまうのか？」「なぜ一度引っかかるとフォロワー全員を巻き込む大惨事になるのか？」「外部のDiscordや外部サイトへ誘導する本当の目的とは？」——。

この記事では、2026年最新のX公式なりすまし詐欺DMの巧妙な手口から、乗っ取りが連鎖する恐るべき技術的メカニズム、被害に遭った場合の緊急対処法、そして自分とフォロワーの身を守る鉄壁のセキュリティ対策まで、現場目線で徹底的に深掘り・検証していきます。

Xの企業公式・サポートを装う詐欺DMの全貌｜2大凶悪パターン

2026年に確認されているXの詐欺DMは、主に以下の2つの凶悪なパターンに分類されます。
それぞれの犯行プロセスを詳しく見ていきましょう。

■ パターン1：有名企業の「特典ご案内・キャンペーン当選」なりすまし型
2026年1月頃から急速に拡散した手口です。お菓子メーカー、日用品メーカー、家電量販店、大手ゲーム会社など、幅広い業種のアカウントがターゲットにされています。

企業公式のアイコン・ヘッダー画像を完全コピーし、「〇〇公式キャンペーン事務局」「〇〇特典ご案内専用」といったアカウント名を作成する。
アカウントID（@以降の文字列）にアンダーバーや数字を1文字だけ混ぜる（例：@official_jp → @official__jp や @official_jp_sub）。
「フォロー＆リポストキャンペーンにご当選されました！賞品送付のため、下記リンクより個人情報およびクレジットカード情報をご登録ください」というDMを一斉送信する。
リンク先の偽サイト（フィッシングサイト）で、個人情報やクレカ番号を根こそぎ盗み取る。

■ パターン2：X公式サポート偽装＆友人踏み台「Discord誘導乗っ取り」型
2026年6月〜7月以降に大爆発し、最も被害を拡大させている最悪の手口です。

攻撃者が一般ユーザーAさんのアカウントを乗っ取る。
Aさんのアカウントから、相互フォローの友人Bさんへ「あなたのアカウントがX Premiumを不正購入した領収書が届いた。
心当たりがないなら、このサポート窓口に連絡して解決してほしい」とDMを送る。
DMには本物そっくりの「X Premiumの不正請求明細書（画像）」が添付されているため、Bさんは友人が親切で教えてくれたと信じ込んでしまう。
DM内に記載された「公式サポート対応用」と称する外部のDiscordサーバーやTelegramへ誘導される。
誘導先で「Xサポート担当」を名乗る人物が、「アカウント停止を解除するため、あなたのID・パスワード、およびスマホに届く二段階認証コード（SMS認証コード）を教えてください」と要求し、Bさんのアカウントも完全に奪い去る。

X Corp. Japanが異例の公式警告！公式発表の全内容

被害の急増を受け、X Corp. Japan公式アカウントは2026年7月24日、全ユーザーに向けて公式声明を発表しました。

■ X Corp. Japan公式アナウンスの重要ポイント

「Xチャット（DM）上で『X公式サポート』を名乗る詐欺が多発している」
「Xの公式サポートチームが、DMを通じてユーザーに連絡したり、パスワードや二段階認証コード、金銭を要求することは【絶対にない】」
「不審なDMを受信した場合は、リンクを開かず、即座にメッセージを削除して通報・ブロックすること」
「アカウントの乗っ取りを防ぐため、パスキーや認証アプリによる強固な二段階認証を設定すること」

公式がこれほど強い言葉で警告を発した背景には、乗っ取られたアカウントが即座に「詐欺DMの拡散発信源」として悪用され、被害がネズミ算式に爆発的に拡大しているという深刻な危機感があります。
現在では被害に遭ったユーザーが自ら別アカウントを立ち上げ、「私のアカウントが乗っ取られました！DMが届いても絶対に開かないでください！」とスクショ付きで注意喚起ポストを投稿する光景が日常茶飯事となっています。

なぜ騙されてしまうのか？この手口に潜む「3大心理トラップ」を検証

なぜ、ITリテラシーが低くない人であっても、この詐欺DMにコロッと騙されてしまうのでしょうか。この手口に潜む3大心理トラップを検証します。

1. 「相互フォローの友人」という絶対的信頼の盲点

見知らぬ外国人や怪しい捨てアカウントからのDMであれば、誰でも警戒します。しかし、何年も仲良くリプライを交わしている「本物のフォロワー」から、「大変！あなたのアカウント不正利用されてるよ！」と画像付きで送られてきたら、誰しもパニックになり、疑う前にリンクを踏んでしまいます。攻撃者はこの「友人への信頼関係」を最大の武器として悪用しています。

2. 「今すぐ対応しないとアカウント凍結」という恐怖の煽り

「不正利用」「永久停止」「24時間以内の認証」といった言葉は、人間の論理的思考を麻痺させ、焦燥感を極限まで高めるソーシャルエンジニアリングの手法です。
「早く何とかしなければ」と焦るあまり、普段なら絶対に他人に教えないはずの「認証コード」を自ら犯人に渡してしまうのです。

3. 「外部アプリ（Discord・Telegram）」へ隔離する巧妙な罠

攻撃者がXのDM上だけで完結させず、わざわざ外部のDiscordや外部チャットへ誘導するのには明確な理由があります。

X社のAI監視システムによる「スパム検知・自動凍結」を回避するため
被害者を密室空間に隔離し、他のフォロワーからの「それ詐欺だよ！」という警告の声を遮断するため
Discord等の音声通話やチャット機能を使い、リアルタイムで心理的に追い詰めて認証情報を奪い取るため

プラットフォームを跨がせる行為そのものが、詐欺師の常套手段なのです。

被害を防ぐ鉄壁の対策＆乗っ取られた場合の緊急対処マニュアル

アカウント乗っ取りやフィッシング詐欺の被害に遭わないために、そして万が一情報を入力してしまった場合の緊急対応マニュアルをまとめました。

■ 今すぐ設定すべき「鉄壁の防御策」

公式サポートや企業を名乗るDMのリンクは「100%開かない」：Xの公式サポートがDMで個別連絡してくることは絶対にありません。
公式からの重要な通知は必ず「アプリ内の公式通知タブ」または「登録メールアドレス宛（公式ドメイン）」に届きます。
二段階認証を「SMS」から「認証アプリ（Google Authenticator等）」へ変更する：SMS認証（電話番号宛のショートメッセージ）は、フィッシングサイトやSIMスワップで突破されるリスクがあります。1PasswordやGoogle Authenticatorなどのワンタイムパスワードアプリ、または「パスキー（Passkey）」を設定してください。
アカウントID（@ユーザー名）のスペルを1文字ずつ確認する：企業公式からの連絡に見えても、アカウント名の横にあるユーザーIDを必ず確認してください。
「I（大文字アイ）」が「l（小文字エル）」になっていたり、アンダーバーが増えている偽物を見抜けます。

■ 万が一、偽サイトにログイン情報・コードを入力してしまった場合の緊急手順

手順1：即座にXのパスワードを変更する（まだログインできる場合）
「設定とプライバシー」→「アカウント」→「パスワードを変更」から、推測されにくい強固な新しいパスワードへ即座に更新します。
手順2：「他のすべてのセッションからログアウト」を実行する
「セキュリティとアカウントアクセス」→「アプリとセッション」を開き、犯人が接続している不審な端末・ログインセッションを一括強制切断します。
手順3：連携アプリ（API連携）をすべて解除する
見覚えのない不審な外部アプリ連携をすべて削除してください。
手順4：すでにログインできない（パスワードを変えられた）場合
即座にXヘルプセンターの「乗っ取り被害の報告フォーム」から異議申し立てを行い、身分証明書や登録メールアドレスを提示してアカウントのリカバリーを申請してください。
同時に、サブアカウントや他のSNS（Instagram、LINE等）で「Xが乗っ取られたので、届いたDMは開かないでください」と周囲のフォロワーへ緊急警告を発信しましょう。