クリエイターを狙うフィッシングと詐欺

事案と数値は、各項目に書いた公表の時点のものです。出典は項目ごとと、ページの最後にまとめています。

クリエイターが狙われやすい理由

クリエイターのアカウントは、攻撃する側から見て価値が高く、しかも連絡を取りやすい相手です。

• 連絡先が公開されている: 仕事の依頼を受けるため、メールアドレスや SNS の DM を公開しています。知らない相手からの連絡を開くことが、仕事の一部になっています
• ファイルを開くのが自然: 企画書、契約書、試用のソフトウェアなど、案件の資料としてファイルが送られてくることに慣れています
• アカウントに価値がある: 登録者やフォロワーの多いアカウントは、売却されたり、詐欺の配信や投資の勧誘に使われたりします
• チームでアカウントを使う: 編集者やマネージャーとパスワードを共有していると、1 人の PC が感染しただけで、チャンネル全体が乗っ取られます
• 名前と顔が知られている: 本人になりすました広告やアカウントで、ファンがお金をだまし取られることがあります

実際に起きた事案

手口の見分け方

スポンサーやブランドの案件のメール

実在の企業やエージェンシーの名前を使い、報酬の条件も具体的に書かれているため、本物と見分けるのは簡単ではありません。次の特徴があれば、開く前に疑います。

• 資料がパスワード付きの圧縮ファイルや、クラウドのストレージのリンクで送られてくる
• 資料を開くために、ソフトウェアのインストールや、マクロの有効化を求められる
• ファイル名は PDF に見えるが、実際は実行ファイル (.exe、.scr、.lnk など)
• 送信元のドメインが、企業の公式サイトのドメインと違う。フリーメールから送られてくる
• 返事を急がせる、期限が極端に短い

案件の真偽は、メールに書かれた連絡先ではなく、企業の公式サイトに載っている窓口や、普段から取引のある担当者に確かめます。

運営を名乗る連絡

「著作権の侵害で削除される」「ガイドラインに違反した」「認証バッジを付けられる」「収益化が停止される」といった連絡は、不安や期待をあおってログインさせる典型的な手口です。各サービスは、次のように案内しています。

通知の内容は、メールや DM のリンクから開かず、アプリや、自分でブックマークした公式のページから確かめます。

認証のコードを求める連絡

SMS やメールで届く認証のコードは、誰にも伝えてはいけません。知人やサービスの担当者を名乗っていても、コードを求める時点で攻撃を疑います。2024 年には、携帯電話のショップで本人になりすまして SIM カードを再発行させ、電話番号を乗っ取る被害 (SIM スワップ) も国内で起きています。SMS だけに頼るログインは、避けたほうが安全です。

本人になりすました詐欺

クリエイター本人のアカウントが無事でも、名前や顔を使った詐欺で、ファンが被害に遭うことがあります。

警察庁によると、2025 年の SNS 型投資詐欺は 9,523 件、被害額は 128.80 億円でした。著名人の画像や動画を無断で使った広告が確認されており、最初の接触の約 8 割は、バナーの広告と DM です。2024 年には、なりすましの広告について、実業家の前澤友作氏が Meta を提訴しています。

なりすましを完全に防ぐことはできませんが、次の準備で、ファンが本物を見分けやすくなります。

• 公式のアカウントと、公式サイトの一覧を公開し、それ以外のアカウントで連絡しないことを明記する
• 投資の勧誘、プレゼントの当選の連絡、LINE への誘導はしないことを、プロフィールや公式サイトに書いておく
• なりすましを見つけたら、各サービスの報告の窓口に通報し、ファンに注意を呼びかける
• 公式サイトのドメインを装ったメールを防ぐため、送信ドメインの認証 (SPF、DKIM、DMARC) を設定する

出典: 警察庁、Business Insider Japan

2 段階認証だけでは防げない理由

2 段階認証やパスキーは、パスワードを盗まれたときにログインを防ぐ仕組みです。ところが、PC がマルウェアに感染すると、ログインを済ませたあとのブラウザの Cookie (ログインのセッション) が盗まれます。攻撃者はそのセッションを使い、パスワードも 2 段階認証も通らずに、ログインした状態でアカウントに入れます。

Google も、ソフトウェアだけで Cookie の持ち出しを確実に防ぐ方法はないと説明しています。Chrome では、ログインのセッションを端末に結び付けて、盗まれても使えないようにする仕組み (DBSC) を、2026 年 4 月から Windows 版で提供し始めています。

そのため、ログインの強化とあわせて、マルウェアを PC で実行させないこと、感染に早く気付くことが欠かせません。

対策

ログイン

• Google アカウント、SNS、メールのログインを、パスキーかセキュリティキーにする。YouTube のヘルプも、2 段階認証の 2 つ目の要素にパスキーを勧めている
• 標的になりやすい方は、Google の高度な保護機能プログラム (無料) の利用を検討する
• SMS の認証だけに頼らない

チャンネルの権限

• パスワードを共有せず、YouTube のチャンネルの権限で、メンバーごとに必要な役割だけを付ける
• オーナーの権限を持つ人を絞り、チームを抜けたメンバーの権限はすぐに外す
• 知らない端末からのログインがないか、定期的に確認する

PC とファイル

• 案件の資料は、配信や編集、アカウントの管理に使う PC では開かない。確認用の別の環境を用意する
• OS とブラウザを最新にし、不審な動きを検知するソフトウェア (EDR) を入れる
• ソフトウェアは公式の配布元からだけ入れる

乗っ取られたときの対応

1. ほかの端末から、各サービスの乗っ取りの窓口 (YouTube の「ハッキングされたチャンネル」の復旧の手続きなど) で、アカウントの回復を申請する
2. 感染したおそれのある PC をネットワークから外し、その PC ではログインしない
3. メールなど、乗っ取られたアカウントとつながるほかのアカウントのパスワードを変え、ログイン中のセッションをすべて終了させる
4. 公式のほかのアカウントや公式サイトで、ファンに乗っ取りを知らせ、リンクを開かないよう呼びかける
5. スポンサーや所属の事務所に連絡し、金銭の被害があれば警察に相談する
6. 復旧したら、感染した PC を初期化し、侵入の経路を確かめてから使い始める

乗っ取られてから慌てないよう、復旧の手順と連絡先は、事前に決めておくことをおすすめします。

参考にした資料

• Phishing campaign targets YouTube creators with cookie theft malware (Google TAG、2021 年 10 月)
• クリエイター向けの安全に関するヒント (YouTube ヘルプ)
• YouTube Phishing (Google)
• 安心相談窓口だより (IPA、2025 年 8 月)
• 特殊詐欺及び SNS 型投資・ロマンス詐欺の認知・検挙状況等 (警察庁)
• Instagram ヘルプセンター
• Fake X emails (X ヘルプセンター)
• 高度な保護機能プログラム (Google アカウント ヘルプ)
• Device Bound Session Credentials (Google)