「Xであなたをブロックしている人を確認できる」。そんな案内を見ても、IDとパスワードを入力してはいけません。2026年8月、ブロックした相手が分かるように見せかけ、Xのログイン情報を外部へ送る偽サイトが確認されました。
しかも、画面に出る「ブロック人数」は調査結果ではありません。サイト内のプログラムが2人から46人の範囲で作る乱数でした。もっともらしい数字とSNSへの共有ボタンで次の利用者を呼び込み、ログイン情報を集めようとする仕組みです。
偽サイトで何が起きていたのか
ITmedia NEWSの調査記事によると、このサイトはXのIDとパスワードを入力させます。ソースコードを確認したところ、入力値は加工されないまま外部サーバーへ送られる処理になっていたといいます。
本物ではないIDやパスワードを入れても結果画面へ進み、「あなたをブロックしている人数」が表示されます。数字はXから取得したものではなく、JavaScriptで2から46までの範囲からランダムに作られていました。つまり、「19人にブロックされていた」と表示されても、実際のアカウント状況とは関係ありません。
見た目がXに似ていても、アドレスの基本ドメインが「x.com」でなければXのログイン画面ではありません。Xの公式セキュリティ案内も、第三者のWebサイトへユーザー名やパスワードを入力しないよう注意を促しています。正規の外部アプリ連携で使われるOAuthでは、連携先のサイトにXのパスワードを直接渡す必要はありません。
なぜ「ブロックされた人数」は気になるのか
ブロックは相手との関係が切れたことを示すため、「誰に」「何人に」という数字は不安や好奇心を刺激します。一方、Xの通常機能では、自分をブロックしたアカウントの一覧をまとめて取得する画面はありません。確認しにくい情報だからこそ、偽サイト側はそれらしい数字を自由に出しても、利用者がすぐ真偽を確かめにくいのです。
2から46という範囲も巧妙です。0人では面白みがなく、数百人では不自然に感じる人が増えます。少し驚く程度の人数が出れば、利用者は「そんなにいたのか」と結果を信じ、SNSで共有したくなります。診断メーカーに慣れた感覚を、パスワード窃取に利用した形です。
本来、性格診断や相性診断のような遊びでも、Xのパスワードをサイト内の入力欄へ直接書く必要はありません。「結果を見るにはログイン」と表示された時点で立ち止まり、ブラウザーのアドレス欄を確認してください。
SNSの「結果が出た」投稿は反応として数えられない
この件で注意したいのは、SNS上にある「○人にブロックされていた」といった投稿を、そのまま利用者の感想だと思えないことです。ITmedia NEWSが確認した偽サイトには、結果をXへ投稿させる共有ボタンがあり、体験談のような定型文を作って次の利用者を誘導する構造がありました。
投稿ボタンを押したのは本人でも、数字の根拠は乱数です。そのため、同じ文面が多く流れていても「当たると評判」「多数の利用者が検証した」とは言えません。むしろ、その投稿自体がフィッシングの導線になっている可能性があります。今回、元投稿まで確認できない個人の感想は引用していません。
面白そうな診断が急に広がったときは、投稿数だけで安全性を判断しないことが大切です。リンク先を開かずに公式アカウントの告知を探す、サービス名と「詐欺」「フィッシング」で検索する、友人から届いた場合も本人に別の手段で確認する。この一呼吸で被害を避けやすくなります。
入力してしまった場合にすぐ行うこと
偽サイトにIDとパスワードを入力しただけで、必ず乗っ取られたと決まるわけではありません。ただし、送信された可能性がある以上、「まだログインできるから大丈夫」と待たずに対処してください。
- Xの公式サイトまたは公式アプリからパスワードを変更する。検索広告や届いたリンクを使わず、自分で「x.com」を開きます。
- 同じパスワードを使っている他サービスも変更する。特に、パスワード再設定に使うメールアカウントを優先します。
- 見覚えのないセッションと連携アプリを解除する。Xの設定から「セキュリティとアカウントアクセス」を確認します。
- 2要素認証を有効にする。可能なら認証アプリやセキュリティキーを使い、登録済みのパスキーにも不審なものがないか確認します。
- 身に覚えのない投稿やDMを確認する。不審なリンクを送っていた場合は削除し、受信者へ別の連絡手段で注意を伝えます。
Xの乗っ取られたアカウント向け案内では、パスワードの変更、メールアドレスの安全確認、不審な外部アプリの連携解除などを勧めています。パスワードを変えただけでは一部の端末やアプリの状態が残る場合があるため、セッション一覧まで見ておくと安心です。
攻撃者が先にメールアドレスや電話番号を変更したり、新しい認証手段を登録したりすると、本人がパスワードを変えるだけでは復旧できない場合があります。確認メールが届いていないか、プロフィールや登録情報が書き換わっていないかも見てください。すでにログインできない場合は、偽サイトへ何度も情報を入れ直さず、X公式ヘルプの「アカウントが乗っ取られた場合」の申請手順へ進みます。
仕事や店舗の公式アカウントなら、乗っ取りは本人だけの問題ではありません。フォロワーへ詐欺リンクが送られたり、広告アカウントや決済情報へ影響が及んだりする可能性があります。管理者が複数いる場合は、誰の端末とメールが安全かを確認し、変更した内容と時刻を記録しておくと、その後の問い合わせにも役立ちます。
リンクを開く前に見る3つのポイント
- URL：「x.com」で終わる正規ドメインか。文字を足した類似ドメインではないか
- 要求内容：診断や閲覧だけなのに、なぜパスワードが必要なのか
- 広がり方：同じ結果文とリンクが短時間に繰り返し投稿されていないか
URLを確認するときは、画面内に描かれたロゴや「公式」の文字ではなく、ブラウザー上部のアドレス欄を見ます。スマートフォンではドメインの一部が省略されることもあるため、アドレス欄をタップして全体を表示してください。検索結果の上位や広告枠に出たという理由だけで、正規サイトだと決めつけるのも危険です。
鍵マークやHTTPS表示だけでも安全とは言い切れません。通信が暗号化されていても、送信先そのものが攻撃者なら情報は渡ってしまいます。「本物そっくり」は安全の証拠ではなく、フィッシングが最も頼る見せ方です。
「気になる数字」ほど、ログインしない
今回の偽サイトが見せたのは、Xのデータではなく2〜46の乱数でした。それでも被害につながり得るのは、「誰に嫌われているのか知りたい」という感情と、結果をすぐ共有するSNSの習慣が組み合わさるからです。
Xのパスワードを入力するのは、原則として公式のアプリやx.com上だけ。外部サービスとの連携では、表示された権限を読み、不要になったら解除する。この基本を覚えておけば、似た仕掛けの「足跡確認」「フォロー解除確認」「プロフィール閲覧者確認」が現れても判断しやすくなります。
※本記事は2026年8月6日時点の公開情報を基にしています。危険なサイトへのリンクや名称は、二次被害を避けるため掲載していません。