「間違えてコードを送っちゃった」:WhatsAppアカウントが乗っ取られる手口

頼んでもいない6桁のコードが書かれたSMSが届き、ほぼ同時に、友人や学校の保護者グループの誰か、あるいは「WhatsAppの技術担当」からメッセージが来ます。「ごめん、間違えてコードを送っちゃった。転送してくれない?」。ささいな頼みごとに見えますが、そのコードはあなたのアカウントの鍵です。送ってしまうと、別の誰かがあなたのWhatsAppやTelegramの番号を自分のスマートフォンに登録し、あなたはアクセスを失い、詐欺師があなたになりすまして連絡先の全員にメッセージを送り始めます。ルールはシンプルで、例外はありません。認証コードは、誰にも、決して教えないことです。

アカウントはどうやって乗っ取られるのか?

WhatsAppとTelegramは、電話番号でアカウントを識別しています。誰かが新しいスマートフォンにアプリをインストールして番号を入力すると、サービスはその番号が本人のものか確認するため、SMS(または音声通話、あるいはアプリ内)で番号の持ち主のスマートフォンにコードを送ります。詐欺師が必要としているのは、まさに今あなたに届いたものなのです。

手口はたいてい次の流れで進みます。

1. 詐欺師があなたの番号を自分のスマートフォンに入力し、登録を始めます。あなたのもとに、コードが書かれた公式のSMSが届きます。
2. **コードを聞き出すためにメッセージを送ってきます。**多くの場合、すでに乗っ取られた実在の知人のアカウントから送られてくるため、信頼している人からのメッセージに見えます。ほかにも、WhatsAppのサポート、懸賞や投票の主催者、「番号を間違えた」人を装うこともあります。
3. 急がせます。「急いでるの」「アカウントが止められちゃう」「すぐ済むから」。
4. **コードを送ると、アカウントは相手のスマートフォンに移ります。**あなたのWhatsAppはログアウトされ、詐欺師は多くの場合、自分で2段階認証を設定して、あなたが簡単に取り戻せないようにします。
5. **あなたになりすまします。**あなたの連絡先やグループに、至急のお金、振込や即時決済(スペインでは現地のスマホ送金サービスBizumがよく使われます)を求めたり、またしても「間違えて送ったコード」を求めたりします。こうして連鎖が続いていきます。

危険のサインは?

• **頼んでいないコードが届く。**これが最もはっきりしたサインです。誰かがあなたのアカウントに入ろうとしています。
• **SMSに「誰にも教えないでください」とはっきり書かれている。**WhatsApp、Telegram、銀行、そしてほとんどのサービスの公式メッセージがそう警告しています。
• **チャットでコードを求められる。たとえ友人でも。**自分のアカウントのコードを他人に「間違えて」送ることはできません。コードは常に、登録しようとしている番号に届きます。
• **「テクニカルサポート」から連絡が来る。**WhatsAppやTelegramが、チャット、SMS、電話でコードを尋ねることはありません。
• 急かされる、または不自然な口実がある:懸賞、投票、「もうすぐ停止される」アカウントなど。

コードを求められたら、今すぐ何をすればいい?

1. コードを転送しない、電話で読み上げることもしないでください。一部だけでもだめです。
2. **別の手段で確認する。**知人からのメッセージなら、いつもの番号に電話するか、直接会って確かめましょう。その人のアカウントはすでに乗っ取られている可能性が高いので、本人に知らせてください。
3. 今すぐ2段階認証をオンにする(方法は下で説明します)。これで、誰かがコードを手に入れても、あなたしか知らないPINが必要になります。
4. **アプリ内でそのチャットをブロックして報告する。**知らない番号からのメッセージなら、迷惑電話番号ディレクトリにも報告できます。
5. ほかの人にも知らせる:友人のアカウントがなりすましに使われているなら、共通のグループで伝えて、ほかの誰かがだまされないようにしましょう。

2段階認証はどうやって設定する?

この詐欺に対して最も効果的な対策で、設定は1分で終わります。

• **WhatsApp:**設定 アカウント 2段階認証 有効にする。ほかでは使っていない6桁のPINを選び、忘れたときにリセットできるようメールアドレスを追加します。
• **Telegram:**設定 プライバシーとセキュリティ 2段階認証。パスワードを作成し、復旧用のメールアドレスを追加します。

そのPINやパスワードも、誰にも教えないでください。アプリのバージョンによってメニューが多少異なる場合がありますが、項目名はいつもこの名前です。ついでにリンク済みデバイス(WhatsApp:設定 リンク済みデバイス、Telegram:設定 デバイス)を確認し、見覚えのないセッションはすべて終了させましょう。

もうコードを送ってしまったら?

急いで行動してください。早いほど、アカウントを取り戻しやすくなります。

1. **自分のスマートフォンで番号を登録し直す。**WhatsAppを開いて番号を入力し、SMSで届く新しいコードで認証します。これで詐欺師のセッションは終了します。
2. 知らないPINを求められた場合、詐欺師が自分で2段階認証を設定しています。それでも永久に締め出されるわけではありません。数日間の待機期間が過ぎると、WhatsAppではそのPINなしで登録し直せるようになります。その間に、アプリ内(設定 ヘルプ)からサポートに連絡し、アカウントを盗まれたと説明しましょう。
3. Telegramの場合は、自分の番号でログインし、設定 デバイスを開いて「ほかのすべてのセッションを終了」をタップします。その後、2段階認証のパスワードを設定してください。
4. 別の手段で連絡先に知らせる(SMS、電話、SNS、家族経由など):「WhatsAppを乗っ取られました。私からお金やコードを求めるメッセージが来ても無視してください」。
5. 銀行や決済アプリのコードだった場合は、すぐに銀行の公式番号(カードの裏面や銀行の公式サイトに記載されている番号)に電話し、取引を止めてもらいましょう。
6. 証拠を残す:メッセージのスクリーンショット、連絡してきた番号、時刻。

どこに届け出て、誰に相談すればいい?

• **警察:**スペインでは国家警察Policía Nacional(091)または治安警察Guardia Civil(062)、それ以外の国ではその国の警察(日本では、例えば警察相談専用電話 #9110)。特になりすまされた場合や誰かがお金を失った場合は、スクリーンショットを添えて届け出てください。コードを送ってしまったからといって、あなたに落ち度があるわけではありません。あなたはだまされた被害者です。
• **サイバーセキュリティの相談窓口:**スペインでは、INCIBEの017番が無料・秘密厳守の相談窓口で、アカウントの復旧や端末の保護を段階的に案内してくれます。INCIBEのインターネット利用者セキュリティ窓口(OSI)も、WhatsAppやTelegramを安全に設定するためのガイドを公開しています。その他の国では、各国のサイバーセキュリティ機関に相談してください。
• **112:**緊急事態や差し迫った脅威がある場合のみ(または各国の緊急通報番号)。

あなたの名前で連絡先の誰かがお金を求められた場合は、WhatsAppの「困っている子ども」詐欺の仕組みもお読みください。これは今回の乗っ取りの、よくある「次の一手」です。

よくある質問

頼んでいないコードが届いたけれど、誰にも教えていません。危険ですか? いいえ。コードがなければ、相手は入れません。誰かがあなたの番号を試したということです。SMSは無視し、コードを求めてくる相手には返信せず、2段階認証をオンにしましょう。

本当の友人に頼まれたのに、どうして詐欺なのですか? メッセージを送っているのは、おそらく友人本人ではなく、友人のアカウントを乗っ取った人物だからです。何かする前に、まず本人に電話してください。

過去のやり取りを読まれてしまいますか? 一般的に、新しいスマートフォンでアカウントを登録しても、バックアップにアクセスできない限り、過去のチャットはダウンロードされません。ただし、アカウントを握っている間は、あなたの名前でメッセージを送ったり、新しく届いたメッセージを見たりすることはできます。

電話番号を変えたほうがいいですか? その必要はありません。アカウントを取り戻し、2段階認証をオンにすれば十分です。

まとめ

SMSで届くコードはあなただけのもので、ほかの誰のものでもありません。友人にも、「テクニカルサポート」にも、懸賞にも渡してはいけません。求められたら送らず、別の手段で確認し、2段階認証をオンにしましょう。すでに送ってしまったなら、番号を登録し直し、連絡先に知らせ、届け出をしてください。そして、知らない番号からの試みだったなら、NoCallの迷惑電話番号ディレクトリに報告して、ほかの人がいち早く気づけるようにしましょう。