スマホ乗っ取りの正体は「アカウント」だった。iPhone・Android・LINEで今日やる設定と確かめ方【2026年10月】

「このメールが届いたら、スマホはもう乗っ取り寸前」「USBケーブルを挿しただけで乗っ取られる」——。スマホの乗っ取りは、不安をあおる話が広がりやすい話題です。

でも、警察庁やIPAの数字を見ると、実際に狙われているのは、スマホそのものより、スマホの中にある アカウント（ID・パスワード・認証コード）と電話番号 です。端末そのものが操られるのは、多くの場合、不正なアプリや遠隔操作のアプリを入れてしまったときです。

この記事では、公的な統計と、Apple・Google・LINE・携帯電話会社の公式の情報をもとに、乗っ取りの正体、よく聞く話の確かめ、iPhone・Android・電話番号・LINEで今日やる設定、乗っ取られていないかの確かめ方、もしものときの手順をまとめます。

1. 乗っ取りの入口は、パスワードと認証コード

フィッシングの報告は約245万件

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）によると、2025年のフィッシングの報告件数は 245万4,297件 で、右肩上がりの増加が続いています（フィッシング対策協議会の集計）。

インターネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円。その手口の 約9割がフィッシング でした。偽のサイトに、IDやパスワード、認証コードを入力させる手口です。

ID・パスワードの盗用、スパイウェアは399件中3件

同じ報告の統計編には、他人のID・パスワードを使った不正アクセス（識別符号窃用型）で検挙した399件の、手口の内訳があります。

手口	件数
パスワードの設定・管理の甘さにつけ込んで入手	84件
フィッシングサイトから入手	77件
他人から入手	75件
識別符号を知り得る立場	61件
利用権者からの聞き出し、のぞき見	35件
インターネット上に流出・公開されていた識別符号を入手	9件
スパイウェア等のプログラムを使用して入手	3件
その他	55件

これは検挙した件数で、被害の全体を表す数字ではありません。それでも、入口の多くがパスワードと認証コードで、スマホに仕込まれたプログラムで盗まれた例はわずかだ、ということは読み取れます。

相談で多いのは「偽警告」と「不正ログイン」

IPAの情報セキュリティ安心相談窓口に2026年4〜6月に寄せられた相談では、「ウイルス検出の偽警告」が1,428件（37.3%）で最も多く、「不正ログイン」が423件（11.0%）、「フィッシング」が146件（3.8%）でした。IPAによると、FacebookやInstagramなどに不正ログインされて、自分ではログインできなくなったという相談が多く寄せられています。

2. スマホそのものが操られるのは、どんなとき

端末そのものが操られることも、もちろんあります。ただ、多くはきっかけがあります。

不正アプリを、自分で入れてしまう：国民生活センターによると、偽の宅配業者のSMSから偽サイトにアクセスして不正なアプリを入れた結果、同じ内容のSMSが自分のスマホから自動的に多数の宛先に送信されたり、入力したID・パスワードや認証コードがキャリア決済で不正に使われたりする例があります。主にAndroidです
遠隔操作アプリを、言われて入れる：副業や投資の勧誘で「説明のために必要」と言われて、遠隔操作アプリを入れさせられたり、画面共有をされたりする例があります（国民生活センター、2026年5月）。サポートを名乗る偽の警告から、遠隔操作をさせる手口もあります
知らない構成プロファイルを入れる（iPhone）：偽のSMSから不審な構成プロファイルのインストールへ誘導する手口が、IPAやJC3から報告されています

2026年9〜10月も続いている

フィッシング対策協議会は2026年9月30日、国税庁をかたってAndroid用の不正アプリを入れさせるメールを報告しました。協議会は「2026年9月30日現在、スマートフォン用e-Taxアプリは提供されていません」と注意しています
警察庁の「サイバー警察局便り」（2026年9月）は、不正アプリをインストールしたことでキャッシュレス決済サービスが遠隔操作され、不正送金される被害を伝えています
広島県警察は2026年10月の注意喚起で、Android端末に入れられた不正アプリで端末が遠隔操作され、銀行口座から不正送金される被害が出ているとして、不正アプリの確かめ方を示しています（後述）

3. LINEは「投票」を装った乗っ取りに注意

LINEヘルプセンター（2026年5月20日更新）によると、SNSで「コンテストのアンバサダー候補になった」「親戚の子が作品コンテストに参加している」などと投票を頼まれ、偽のLINEログイン画面に誘導される乗っ取りが相次いでいます。

LINEは、LINEの登録情報（電話番号・メールアドレス・パスワード）と組み合わせて認証番号を聞き出したり、画面に入力させたりする行為は全て詐欺 だとしています。乗っ取られたアカウントは、家族や友人に、PayPayでの送金を求めるのに使われることもあります。

乗っ取られると「アカウントからログアウトされました」という画面が出ます。ここで第三者の指示どおりに削除をタップすると、端末のLINEのデータがすべて消えてしまうので、LINEは必ず「再ログイン」をタップするよう案内しています。

4. 電話番号ごと乗っ取る「SIMスワップ」

警察庁は、SIMスワップを「携帯電話機販売店において、偽造した本人確認書類を使い、他人に成りすましてMNPやSIMカードの再発行手続きを行い、携帯電話番号を乗っ取る手口」と説明しています。2024年には、東京都の都議会議員と大阪府八尾市の市議会議員が被害に遭ったと報じられました。

電話番号を乗っ取られると、SMSで届く認証コードも相手に届きます。楽天証券（2026年4月）は、SIMスワップが疑われる例として、次を挙げています。

スマートフォンが突然圏外になり、通話やSMSの送受信ができなくなる
金融機関等から、身に覚えのないログイン・取引・出金等の通知が届く
携帯電話会社から、身に覚えのないSIM再発行等の通知が届く
本人がメールサービスにログインできない状態になる

お店に行かなくても起きます。楽天モバイルは2024年、フィッシングサイトなどで楽天IDとパスワードを手に入れた第三者が、利用中のSIMをeSIMとして再発行し、不正に使う事案を公表しています。

国と携帯会社の対策

	内容
ネットでの契約	2026年4月1日から、本人確認書類のICチップの情報を送る方法が原則（書類の画像を送る方法は廃止）
お店での契約	ICチップの読み取りを原則とする改正省令が公布され、2027年4月1日から施行
ドコモ	2026年8月20日から順次、ICチップでの本人確認を導入。新規契約・名義変更・SIMやeSIMの再発行などが対象

5. よく聞く話は、どこまで本当？

よく聞く話	一次情報で言えること
カメラを乗っ取られて見られている	iPhone（iOS 14以降）も、Androidも、カメラの使用中は画面に緑色の点（インジケーター）が出ます。逆に「ハッカーがあなたを監視しています！」は、IPAが紹介している偽の警告の文句です
USBケーブルで一瞬で乗っ取られる	攻撃用のケーブルは実際に売られていますが、販売元は「許可された監査」用としています。近づいて差し込む必要がある、特定の人を狙う攻撃です
公衆Wi-Fiで乗っ取られる	総務省の手引きが挙げる例は、悪意をもって設置された偽の公衆Wi-Fiにつながせて、入力したIDやパスワードを盗むものです。接続先の名前（SSID）を確かめ、自動接続をオフにします
乗っ取りを確認するアプリを入れる	IPAによると、偽の警告から誘導されたアプリが、週900円や年24,200円などの自動継続課金になっている例があります。アプリを消しただけでは解約されません
セキュリティ通知のメールが届いたら乗っ取り寸前	通知は乗っ取りを防ぐための本物の仕組みでもあります。ただGoogleは、このメールをコピーして、アカウント情報を盗もうとするハッカーもいると書いています。リンクは使わず、自分で設定や公式アプリを開いて確かめます

6. 今日やる設定

Google・Appleのアカウントの2段階認証とパスキーは、別の記事（パスキーでも乗っ取り？）で扱ったので、ここではスマホ本体・電話番号・LINEの設定です。メニュー名は、iPhoneは iOS 27、Androidは Google Pixel の公式ヘルプの表記で、機種によって違うことがあります。

iPhone

盗難デバイスの保護をオンにする：「設定」＞「Face IDとパスコード」＞「盗難デバイスの保護」。iOS 17.3以降。自宅や職場などのよく知っている場所の外では、保存したパスワードの利用などにFace ID・Touch IDが必須になり（パスコードでは代われない）、Apple Accountのパスワード変更などは1時間待ってからもう一度生体認証が要ります。Appleは、窃盗犯にパスコードを知られていても、致命的な変更を加えられる事態を防げると説明しています
パスコードを強くする：「パスコードを変更」＞「パスコードオプション」。Appleは「カスタムの英数字コード」と「カスタムの数字コード」を最もセキュリティの高いオプションとしています
不明な差出人をスクリーニング：メッセージのチャットリストで「フィルタリングを管理」＞「不明な差出人をスクリーニング」をオン。確認コードなどの通知は「通知を許可」で選べます
構成プロファイルを確かめる：「設定」＞「一般」＞「VPNとデバイス管理」。何も表示されなければ、プロファイルは入っていません。知らないものがあれば削除します（会社や学校の端末は、先に管理者に確認）
自動アップデートをオン：「一般」＞「ソフトウェアアップデート」＞「自動アップデート」

Android

盗難保護をオンにする：設定の［Google］にある［盗難保護］。ひったくりのような動きを検出して画面をロックする［盗難検出ロック］などがあります（一部の手順は Android 10 以上）
Play プロテクトを確かめる：Play ストアのプロフィールアイコン＞［Play プロテクト］の設定＞［Play プロテクトによるアプリのスキャン］がオンか
不明なアプリのインストールを許可しない：［アプリ］＞［特別なアプリアクセス］＞［不明なアプリのインストール］で、どのアプリも許可されていないか
ユーザー補助を確かめる：Googleは、ユーザー補助設定にアクセスすると、アプリは画面上のコンテンツを読み取り、ユーザーに代わってアプリを操作できるようになると説明しています。広島県警察は、［ユーザー補助］の「ダウンロードしたアプリ」を確かめ、「通常はOFF！！ ONになっているアプリは不正アプリかも」としています。疑わしいときは、まず機内モードにしてWi-Fiも切ります
システムのアップデートを当てる：［システム］＞［ソフトウェアアップデート］

電話番号（SIM）

携帯会社の暗証番号を、推測されにくいものに：auは「携帯電話のご契約に紐づく暗証番号を知られた場合、au IDのパスワードを再設定されてしまう恐れがあります」としています
携帯会社のIDに、強いパスワードと2段階認証：使い回さないこと
SIMのPINをオンにする：盗まれたSIMを、ほかの端末で使われにくくします（お店での再発行は防げないので、1と2が大事です）。初期のPINは、ドコモと楽天モバイルが0000、auが1234、ソフトバンクが9999。3回続けて間違えるとPINロックになり、PUK（PINロック解除コード）が要るので、先に場所を確かめておきます
突然の圏外が続いたら、すぐ携帯会社へ

LINE

ログイン許可をオフ：［設定］＞［アカウント］＞［ログイン許可］。LINEは、オフにすると乗っ取り対策に有効としています
ログイン中の端末を確かめる：知らない端末があればログアウトさせます
パスコードロックをオン：［設定］＞［プライバシー管理］＞［パスコードロック］
Webログインの2要素認証をオン：［設定］＞［アカウント］＞［Webログインの2要素認証］
認証番号は、友だちにも、誰にも教えない

7. 乗っ取られていないかの確かめ方

Google：［セキュリティ］の［お使いのデバイス］と［最近のセキュリティイベント］
Apple：「設定」＞自分の名前＞デバイスの一覧（Webなら account.apple.com の「デバイス」）
LINE：［ログイン中の端末］
頼んでいない確認コードが届く、パスワードが通らない、突然の圏外が続く——といったことがあれば、乗っ取りを疑います

知らない端末があれば、ログアウトさせるか、アカウントから削除します。

8. もしものとき

警察庁の「サイバー警察局便り」（2026年9月）は、乗っ取り被害に遭ったときに、次の3つを挙げています。

ログインできる場合は、新しいパスワードに変更する
自分以外の見覚えのない端末は、全てログアウトする
アカウントの登録情報や認証方法が変更されていないか確認する

そのうえで、やり取りのある相手に注意を呼びかけ、サービスの提供会社や警察に相談します。

不正なアプリを入れてしまったら：国民生活センターは、スマホを機内モードにしてアプリをアンインストールし、偽サイトに入力したID・パスワードはすぐ変更するよう案内しています
電話番号がおかしいときは：携帯会社に連絡して、回線を止めます

相談先

窓口	内容
#9110	警察相談専用電話（緊急のときは110番）
都道府県警察	サイバー犯罪相談窓口
IPA	情報セキュリティ安心相談窓口 03-5978-7509（10時〜17時、土日祝日・年末年始を除く）
188	消費者ホットライン（契約や課金のトラブル）

9. サイトを持つ人へ：スマホは、サイトの鍵も持っている

WordPressのパスワードの再設定は、登録したメールに届きます。2段階認証の6桁も、スマホの認証アプリに出ます。スマホやメールのアカウントを乗っ取られると、サイトまで危なくなります。逆に、スマホを失くすと、自分がサイトに入れなくなることもあります。

警察庁も、乗っ取りの防止と早期発見のために、多要素認証やログイン通知を使うよう勧めています。Sorabunを入れたWordPressでは、次のことができます。

2段階認証：プロフィールの画面で、認証アプリ（Google Authenticator・Microsoft Authenticator・1Password など）のQRコードを読み取って設定。設定した直後に、予備コードが10個 出ます。スマホを失くしたときに、6桁の代わりに1回ずつ使えます。管理者は、スマホを失くしたほかのユーザーの設定を解除できます
管理者には2段階認証を必須にする：設定していない管理者は、設定するまでほかの画面を開けなくなります
ログインの通知：記事を書ける人（投稿者以上）が、いつもと違う端末からログインしたら、本人にメールで知らせます。ブラウザか接続元がこれまでと違うときだけ送るので、毎回は届きません
パスキー：指紋・顔・PINでログイン。サイトには公開鍵しか置かないので、サイトから漏れても使えません

どれも、ソラブンのクラウド版に標準で入っています。