Facebook「アカウントのリカバリーコード」というメールが届いたら

本記事は、過去の事例を扱ったものですが、サイバー攻撃・情報流出の報道が相次いでいますので、いつでも同様のことは起こりうると考え、記事をリライトして再公開しました。
(2024/7)

2019年3月ごろ、件名が「Facebookアカウントのリカバリーコード: (6けたの数字)」という見覚えのないメールが届いている方が多数出ました。

その後も、同様のケースが散発的に発生しているようです。

筆者のところにも、2日連続で、朝９時台に届いたことがあります。

このメールは、届いただけでただちに危険ではありませんが、誰かがFacebookへの不正侵入を試みたことを示しています。以下で対処法を解説します。

どうしてこんなメールが届いているのか?

このメールは「パスワードを忘れた人が、パスワードを変更する操作をすると、登録しているメールアドレスに送ってくるメール」です。

ですから、次のような場合に送ってくるということです。

1. あなた自身がパスワードを忘れて、この操作をした場合

2. あなたと似たメールアドレスの人が、パスワードを忘れ、アカウントの検索の画面で打ち間違えて、あなたのメールアドレスを入力してしまった場合

3. あなたのメールアドレスを入手した人が、あなたのFacebookを乗っ取る目的で、あるいは、アカウントロックをかけて嫌がらせをする目的で、パスワードを忘れた時と同じ操作をした、または繰り返している場合

2.の打ち間違いと思われる事例も、時々あります。1,2回送ってきてぴったりやんだ場合などは、もしかしたらそうかもしれません。

ですが、何度も繰り返し送ってくる場合には、アカウント乗っ取り目的、あるいは嫌がらせ目的ということも、考えなければなりません。

6ケタのコードさえ知られなければ、大丈夫なはず、ですが…

いずれにしても、メールに書いてある6ケタの数字さえ知られなければ、このメールが届いたこと自体でアカウントを乗っ取られることはありません。

しかし、

・あなたのメール自体が侵入されたり、傍受されており、6ケタのコードを攻撃者が知り得る状態の場合

・6ケタの数字を偶然当てられた場合

には、パスワードを変更され、侵入を許してしまうことになります。

現在では、メール傍受(盗聴)の可能性は低いが…

現在では、ほとんどのメールは本文が暗号化されているため、インターネット上のデータをひろって内容を傍受することはほとんど不可能になっています。

例えばGmailの場合は、次のようにして確認できます。

しかし、例えば次のような場合、メール自体が不正アクセスによって攻撃者に見られているケースも想定しなければなりません。

・Gmailなどのパスワードを、他のサービスのパスワードと同じものにしている
(使い回している)

・2段階認証を設定していない

Facebook公式には「何もしなくてよい」としか記載なし

Facebook公式ヘルプには、次の記載があるのみです。

リクエストしていないのにFacebookパスワードのリセットメールが届いた場合

「パスワードリセット用のリンクをクリックしない限り、何の変更も行われず、アカウントは安全に保たれます。」

「第三者があなたのユーザーネームを間違って入力していると思われる場合は、そのユーザーネームでのパスワードリセット機能をオフにできます。」

以上の記載がありますが、たいへん不十分なものです。

「パスワードがリセットされたことをお知らせするメールが再び届いた場合は、ただちにアカウントの安全を確保してください。」とありますが、リセットされてしまったらそれはもう、乗っ取られてしまったということです。

手遅れになる前に何ができるのか? ということが書いてなく、大変不十分だと思います。

もしも、

・メールアドレスが侵入者にバレている
・メールアドレスのアカウントに侵入され、もしくはネットが盗聴されていて、メールが盗み読まれている

の二つの条件がそろってしまうと、Facebookに不正侵入されてしまいます。

届いたらすぐに「お知らせください」をクリックする

しかし、できることがあります。このようなメールが届いたら、すぐに公式ヘルプのガイドにそって、次の箇所をクリックします。

するとこんな画面になります。(パソコン版)

これで、仮にメールで送られてきたリセットコードを盗まれたとしても、パスワードはリセットされなくなります。

少し違って、「ユーザーネームでのログインをオフにできます」と表示された場合は、指示に従ってユーザーネームでのログインをオフにした方がよりよいです。

(これをオフにしても、侵入をこころみている者がメールアドレスで試みている場合は、パスワードリセットメールは止まりません)

乗っ取りを防ぐためにできる対策

最初に申し上げたとおり、このメールが送ってくるだけでFacebookが乗っ取られた、ということはありません。

しかし、場合により、乗っ取りにつながってしまう攻撃の兆候である場合があります。乗っ取られかねない「穴」がある場合は、ふさいでおきましょう。

Facebook乗っ取り防止の基本設定をきちんと行いましょう

「アカウントのリカバリーコード」というメールへの対処はこの程度しかできないのですが、

Facebookの乗っ取りは設定によって防げます。仮にパスワードがバレたとしても、再設定されたとしても、乗っ取りは防げます。

詳しい方法は、次の記事に書いていますので、確認してみてください。

Facebookの乗っ取りを防ぐ3つのポイント　| キュリオステーション志木店のブログ (記事の途中にジャンプします)

メールの2段階認証を設定しましょう

Facebookに登録しているメールアドレスそのものを、乗っ取られないように防御しておく必要があります。

以下のメールアドレスは、2段階認証が必須であったり、パスワード自体が廃止されているため、改めて2段階認証を設定する必要はありません。

・iCloudメール( ○○○○@icloud.com)
・Yahoo!メール(○○○○@yahoo.co.jp, ○○○○@yahoo.ne.jp)

※登録時期が古い場合、また、2段階認証必須のメッセージに正しく対応していない場合、新しい認証方法が適用されていない場合も稀にあります。確信がない場合、ログインする時、パスワード以外のコード番号を何か送ってくるかどうか、確認してみるのがよいと思います。

Gmailは2段階認証を自分で設定しないといけません

GMailは、いまだに2段階認証が必須になっていません。このため、自分で設定する必要があります。

後日、詳しく記事にする予定ですが、

Googleアカウント→セキュリティ→2段階認証プロセス

とたどって、適用状況を確認してみることをおすすめします。