Xからの情報漏洩の事例と対策【2026年最新版】

はじめに — Xの情報漏洩リスクは2026年も続いている

X（旧Twitter）からの情報漏洩は、2025〜2026年も新たな事例が続いています。2025年には約28億件規模とされるプロフィールデータの流出が報じられ、2026年には国内企業の公式アカウント乗っ取りや、決済機能を狙ったとみられる攻撃も確認されました。

Xはブログより手軽に発信でき、企業アカウントでは集客やブランド力向上の効果も期待できるため、多くの企業がマーケティングに活用しています。一方で、ひとたび漏洩や乗っ取りが起きれば企業の信頼は大きく損なわれます。本記事では、2025年3月公開のコラムを最新情報で更新し、事例・影響・対策を整理します。

事例を知っておこう — 2020年から2026年までの主な事例

原因は大きく「乗っ取り（ハッキング）」「内部不正」「システムの脆弱性」の3つに分かれ、2025年以降はそれらが組み合わさった事例が目立ちます。

Xでの情報漏洩の具体的な事例を、システムの脆弱性・ハッキング・内部不正アクセスの3つに分けて示した図 — Xでの情報漏洩の3つの原因

新しい順に整理しました。

時期	種別	内容（要約）
2026年9月	乗っ取り未遂	送金サービス「X Money」の提供拡大に合わせ、身に覚えのないパスワードリセットメールがユーザーに大量に届いた。Xは調査中としつつ、漏洩の証拠は見つかっていないと説明（Malwarebytes）。
2026年8月	乗っ取り	国内企業の代表取締役個人のXアカウントが乗っ取られ、不審な投稿やDMへの注意を呼びかけた。侵入経路は公表されていない（セキュリティ対策Lab）。
2025年3月	内部不正の疑い／データ再編集	約28億件規模のプロフィール情報（ユーザーID、表示名、フォロワー数、位置情報など）がハッカーフォーラムで公開。投稿者は、2023年流出のメールアドレスと結合した約2億件のデータも配布した（Hackread）。
2023年1月	システムの脆弱性	2022年に悪用された脆弱性由来の、約2億件のメールアドレス付きデータが流出。
2022年	システムの脆弱性	メールアドレスや電話番号から、紐づくアカウントを特定できる不具合が悪用された（CertPro）。
2019〜2022年	内部不正	元従業員が権限を悪用して特定ユーザーの個人情報を外部に提供し、2022年に米国で有罪となった。権限管理の甘さが問われた。
2020年7月	乗っ取り	従業員への電話を使った手口で管理ツールが悪用され、著名人アカウントからビットコイン詐欺が投稿された。

2025年の「28億件流出」をどう読むか

件数がXの利用者数を大きく上回るため、休眠アカウントやボット、過去データが含まれるとみられています。新規の侵入ではなく、APIで収集された公開情報と過去の流出データを突き合わせた「再編集データ」だとする分析もあります（DataBreach.com）。

ただし、個々の情報が公開済みでも、結合されると「誰が・どこで・どのメールアドレスで」使っているかが分かり、標的型フィッシングやなりすましに使われやすくなります。ここが実務上の最大のリスクです。

2025〜2026年の最新動向

事例以外にも、X利用者が押さえておきたい変化が3つあります。

公的ランキングでも上位の脅威に：IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公表）では、個人向けに「インターネット上のサービスへの不正ログイン」「ネット上の誹謗・中傷・デマ」が引き続き選ばれています（IPA）。組織向けでは「AIの利用をめぐるサイバーリスク」が初めて3位に入りました（ISSOH）。
2要素認証の仕様変更：twitter.comドメインの廃止に伴い、セキュリティキーやパスキーで2要素認証を使うアカウントは2025年11月10日までに再登録が求められました。未対応のままだとログイン時にロックされます。認証アプリ方式は対象外です（PC Watch）。
X運営を装う偽警告：2026年5月には、X自身からの警告を装ってアカウントを盗むフィッシングへの注意喚起が報じられました。急ぎの対応を迫る通知ほど、文面とリンク先を確認する必要があります（Forbes JAPAN）。

X Moneyのように金融機能がアカウントに結びつくほど、アカウントそのものの価値が上がり、乗っ取りの標的になりやすくなります。

影響 — ユーザーと企業に何が起きるか

ユーザー：流出した情報を組み合わせた標的型フィッシング、なりすまし、詐欺被害。匿名で使っていたアカウントが実名と結びつくおそれもあります。
企業：公式アカウントの乗っ取りによるブランドイメージの低下、偽キャンペーンによる顧客被害、個人情報を扱っていた場合の法的対応。
社員の投稿：悪意がなくても、内部関係者の投稿が機密情報の露出や企業イメージの毀損につながります。社内ルールを定め、指導を徹底することが欠かせません。

対策 — X側・ユーザー側・企業側でできること

プラットフォーム任せにせず、ユーザー個人と企業組織の両方で備えることが重要です。

アカウントのセキュリティを強化する4つの方法（パスワードの強化、二段階認証、プライバシー設定の見直し、不審なリンクに注意）を示した図 — アカウントのセキュリティを強化する4つの方法

立場	主な対策
X側	2要素認証の提供、セキュリティ監査、従業員教育、内部権限の管理
ユーザー個人	使い回さない強いパスワード、2要素認証（SMSより認証アプリやパスキー）、セキュリティキー登録状況の確認、プライバシー設定の見直し、身に覚えのない通知やDMのリンクを開かない
企業（公式アカウント）	運用担当者と権限の明確化、ログイン端末の限定、退職・異動時の即時のパスワード変更、乗っ取り時の連絡手順と告知テンプレートの準備
企業（社員全体）	SNS利用ガイドラインの策定と研修、業務端末からの私的SNS利用ルール、機密情報の持ち出し・投稿の監視

特に最後の「社員の端末で何が起きているか」は、Xの設定だけでは守れません。ここを補うのが、次に紹介するエンドポイント統制です。

Smart AI Watcherを利用した漏洩対策のメリット

ここまでの事例に共通するのは、漏洩の入口が「人」と「端末」にあることです。2020年の乗っ取りも、2019〜2022年の内部不正も、従業員とその権限が起点でした。エンドポイント統制製品「Smart AI Watcher」は、この社内側の入口を見える化し、統制します。

1. 内部不正・うっかり漏洩を抑止できる

社内PCでの操作を記録・把握できるため、「見られている」こと自体が不正の抑止力になります。機密ファイルの持ち出しや、業務情報をSNSに投稿するといった行為も、後から経緯を追えます。

2. AIで「いつもと違う操作」に早く気付ける

大量のログを人が目視で確認するのは現実的ではありません。AIが通常と異なる操作の兆候を拾うことで、担当者は確認すべきものに集中でき、漏洩の発覚までの時間を短縮できます。

3. フィッシング・乗っ取りの「その後」を追跡できる

偽警告やDMのリンクを社員が開いてしまった場合も、どの端末で何が起きたかを確認できます。公式アカウントの乗っ取り時に、侵入経路の調査や影響範囲の特定を素早く進められます。

4. SNS利用ルールを「仕組み」で運用できる

ガイドラインや研修だけでは、守られているかを確認できません。端末側の記録と統制を組み合わせることで、ルールを実際の運用に落とし込めます。

5. 自社専用の環境で導入できる

Smart AI Watcherは1企業ごとの提供です。自社のポリシーに合わせた運用ができ、他社とデータ環境を共有する不安がありません。

Xの設定やパスワード管理は「アカウントを守る」対策、Smart AI Watcherは「社内の人と端末から漏らさない」対策です。両方をそろえることで、本記事で紹介した事例の多くに備えられます。製品の詳細はSmart AI Watcherの製品ページをご覧ください。導入のご相談はお問い合わせからお気軽にどうぞ。

まとめ

Xからの情報漏洩は、乗っ取り・内部不正・脆弱性のいずれも2026年時点で現在進行形のリスクです。プラットフォーム側の安全性向上を待つだけでなく、ユーザー個人はアカウントを守り、企業は社内の人と端末からの漏洩を防ぐ仕組みを整えることが求められます。

X（旧Twitter）からの情報漏洩の事例と対策【2026年最新版】

はじめに — Xの情報漏洩リスクは2026年も続いている