LINE公式アカウントを安全に運用する3つの土台｜法人の乗っ取り対策

LINE公式アカウントの乗っ取り対策は、ログイン・権限・点検の3つを土台にすると抜けを防げます。ログインは2段階認証と使い回さないパスワードで固め、権限は1人1つのビジネスIDに分け、ログイン通知とメンバー一覧を月1回確かめます。2024年10月にLINEヤフーが公表した乗っ取りも、2段階認証をオフにしたメールアドレスでのログインで起きていました。

複数の社員で運用している会社や、運用代行会社に管理を依頼している法人の担当者・経営者に向けた記事です。読み終わる頃には、今日変える設定、毎月の点検項目、乗っ取りを疑ったときの初動の順番を決められる状態を目指します。

ログイン画面の操作そのものはLINE公式アカウントのログイン方法｜PCとアプリ別の手順と準備で解説しています。この記事では「誰がどのIDで入り、何を点検するか」に絞ります。

Contents / 目次

1. 法人のLINE公式アカウントを乗っ取りから守る3つの土台
2. 乗っ取り対策の設定手順と月1回の点検表
3. 法人のLINE運用で乗っ取りにつながる失敗と防ぎ方
4. 乗っ取られたかもしれないときの初動と順番
5. LINE公式アカウントの乗っ取り対策でよくある質問
6. 今日確認することと次の一歩

法人のLINE公式アカウントを乗っ取りから守る3つの土台

守る対象は、管理画面に入るためのビジネスIDです。ビジネスIDとは、LINEヤフーが提供するビジネス向けや開発者向けの各種管理画面に共通でログインするための認証の仕組みで、2025年6月30日に「LINEビジネスID」から名前が変わりました。このIDを奪われると、配信・チャット・友だちの情報がまとめて攻撃者の手に渡ります。

LINEヤフー for BusinessのLINE公式アカウントにおけるアカウント乗っ取りに関するお知らせとお願い（2024年8月26日）では、2024年7月10日から18日にかけて、パスワードリスト攻撃による不正ログインがあったと公表されています。LINEヤフー株式会社は、この攻撃を次のように説明しています。

「パスワードリスト攻撃とは、他のサービスにおいて実際にユーザーが利用しているID（メールアドレス）とパスワードのリストを取得し、それを用いて別サービスへのログインを試みようとする攻撃のことを指します」（LINEヤフー株式会社 LINE公式アカウントにおけるアカウント乗っ取りに関するお知らせとお願い、2024年10月24日）

同じお知らせでは、管理画面が閲覧・操作され、友だちのプロフィール情報や1対1チャットの内容が閲覧されたと説明されています。

10月24日のお知らせは、2024年8月27日の問い合わせをきっかけに分かった不正ログイン（国内12件、海外を含めて156件）についてのもので、8月26日に公表された7月の事案とは別です。不正ログインが確認されたのは、メールアドレスのみで利用できる「ビジネスアカウント」でのログインのうち、2段階認証をオフにしていたビジネスIDだけでした。

LINEヤフー株式会社のお知らせによると、LINEヤフーは2024年9月3日に、メールアドレスを登録して利用しているビジネスIDを対象に2段階認証を有効にしています。このお知らせには、有効化のあとに利用者が2段階認証をオフにできるかどうかは書かれていません。社内の各メンバーのIDで、オンになっているかを確認しておきます。

つまり、外部から入手されたと考えられるメールアドレスとパスワードの組み合わせで、2段階認証をオフにしていたIDが不正ログインされました。対策は、次の3つの土台に分けると担当と頻度を決めやすくなります（画面の名称は2026年9月時点）。

土台	決めること	確認する場所	頻度
ログイン	会社が管理するメールアドレス、使い回さないパスワード、2段階認証	ビジネスIDのプロフィールページ	設定時と担当の交代時
権限	1人1つのID、社内の管理者2名以上、代行会社は必要な権限だけ	管理画面の［設定］＞［権限管理］、LINE Developersコンソールの権限設定	入社・退職・契約の開始と終了のたび
点検	ログイン通知の受け先、メンバー一覧、連携ツール、配信履歴	通知メール、権限管理、LINE Developersコンソールの［Messaging API設定］タブ	月1回

3つに共通する前提。1つのビジネスIDを部署で共有しないことです。共有すると2段階認証のコードが1人にしか届かず、誰がいつ操作したかも追えません。権限管理から1人ずつメンバーとして追加すれば、退職や契約終了のときにその人の分だけ外せます。

社内でLINEを触るのが1人だけで、誰にどの権限を持たせるかを決めきれない場合は、Web集客・Webマーケティングの相談をご利用ください。LINE公式を含む施策ごとに、社内と外部の誰が担当しているかを確認し、担当者がいない施策と、重複している作業をお伝えします。

この章で押さえるのは、守る対象はビジネスIDで、対策はログイン・権限・点検の3つに分かれるということです。次の章で、それぞれの設定を順番に進めます。

乗っ取り対策の設定手順と月1回の点検表

設定はログイン用のメールアドレスから始め、2段階認証、メンバーと権限の洗い出し、連携ツールの確認の順に進めます。この順番にすると、2段階認証のコードや通知メールが、確実に見ている受け先に届く状態から始められます。

ステップ1 ログイン用のメールアドレスとパスワードを決める

最初に、社員が使うビジネスIDのメールアドレスを、会社が管理できるアドレスにします。2段階認証をメール認証にすると、ログインコードはこのアドレスに届きます。

LINEヤフー for Businessのお知らせによると、ビジネスIDではログインのたびに、ID登録に使ったメールアドレス宛てにログイン通知が送られます。誰も読んでいないアドレスだと、不正ログインの通知に気づけません。

• アドレス：社員個人の会社アドレスにする。私用のフリーメールや、退職予定者のアドレスは使わない
• 代表アドレス：info@のように複数の社員が読めるアドレスは、ログインコードが複数の社員に見えるため、ログイン用には向かない
• パスワード：パスワード管理ツールで生成した長い文字列にし、他のサービスと同じものは使わない
• メール側の守り：受け先のメールアカウントも2段階認証にする。メールを奪われると、LINEのログインコードも読まれる

ステップ2 2段階認証の設定を確かめてバックアップコードを保管する

2段階認証は、ビジネスIDのプロフィールページにある「2段階認証」の欄から設定します。方式は、登録メールアドレスにログインコードが届く「メール認証」と、認証アプリに表示される番号を入力する「認証アプリ」から選べます（2026年9月時点）。画面の流れはBusiness IDヘルプセンターの2段階認証の説明で確認してください。

方式	向いている条件	注意する点
メール認証	社員ごとに会社のメールアドレスがあり、PCで管理画面を使う	メールアカウントが乗っ取られると2段目も破られる
認証アプリ	担当者が会社支給のスマホを持っている	私物のスマホに入れると、退職時に回収できない

同じヘルプでは、バックアップコードを作成・ダウンロードできると案内されています。バックアップコードは、スマホの紛失や機種変更でログインできなくなったときの予備です。社内チャットやメールに貼らず、会社のパスワード管理ツールの共有保管庫など、閲覧できる社員を決めた場所に保管します。

ステップ3 権限管理のメンバーを権限台帳に書き出す

管理画面の［設定］＞［権限管理］を開き、登録されているメンバーを1人ずつ確認します。LINE公式アカウントの権限設定マニュアルには、メンバーの追加について次のように書かれています（2026年9月時点）。

• メンバーは1アカウントに100人まで登録できる
• 追加用の認証URLは、発行から24時間で失効する
• 認証URLは、1回の発行で1人だけ有効

管理者を追加・変更できるのは管理者だけで、運用担当者では操作できないとJP Official Accountヘルプセンターの管理者の追加・変更に書かれています。権限の種類ごとの細かな操作範囲は、追加する前に公式マニュアルで確認してください。追加の手順はLINE公式アカウントに管理者を追加する手順と権限の使い分けで解説しています。

確認したメンバーは、次のような権限台帳に書き出します。

メンバー	所属	権限	ログイン方法	追加日	外す条件
社員A	総務	管理者	会社メール＋認証アプリ	2026/4/1	退職・異動時
社員B	営業企画	管理者	会社メール＋メール認証	2026/4/1	退職・異動時
社員C	広報	運用担当者	会社メール＋認証アプリ	2026/6/15	退職・異動時
代行会社D	社外	運用担当者	先方の担当者ごとのID	2026/7/1	契約終了日

台帳ができたら、退職や契約終了のときの手順書を生成AIに下書きさせると早く進みます。渡すのは権限と所属だけで、氏名・メールアドレス・パスワード・バックアップコードは入力しません。

次はLINE公式アカウントの権限一覧です（氏名とメールアドレスは伏せています）。
［権限一覧を貼る］
社員の退職時と、運用代行会社との契約終了時に行う作業を、順番つきのチェックリストにしてください。
条件：社内の管理者が常に2名以上残る順番にすること。

出力では、次の2点を確認します。

• 管理者を外す前に、後任を管理者に追加する順番になっているか
• ログイン通知の受け先（ログイン用メールアドレス）の変更が含まれているか

足りなければ、AIと対話しながら自社の手順に合わせて詰めてください。AIに入力してよい情報の線引きはLINE配信文をAIに書かせる時の情報漏洩対策で解説しています。

ステップ4 連携ツールとAIチャットボットの接続を確認する

外部の配信ツールやAIチャットボットをつないでいる場合は、権限管理とは別に、Messaging APIの接続も点検します。Messaging APIとは、外部のシステムからLINE公式アカウントのメッセージを送受信するための仕組みです。LINE Developersのチャネルアクセストークンの説明では、チャネルアクセストークンを用いることでMessaging APIなどの機能を利用できると案内されています。

同じページによると、長期のチャネルアクセストークンは、LINE DevelopersコンソールのMessaging APIチャネルにある［Messaging API設定］タブから発行します。Webhook URLも、LINE Developersの「ボットを作成する」のとおり、同じタブで設定します。どちらも管理画面の［権限管理］とは別の画面なので、連携ツールの接続は権限管理とは分けて確認します。

LINE Developersコンソールには、プロバイダーとチャネルごとの権限もあります。LINE Developersの権限を管理するによると、チャネルにはAdmin・Member・Testerの権限を付与でき、不要になったメンバーはチェックボックスを選んで［選択したデータを削除］で外せます。

連携ツールは「ツール名・連携開始日・管理している会社・止めたときの作業」を台帳に追加します。使わなくなったツールは、次の順で止めます。

1. LINE Developersコンソールで、ツールを管理している会社の担当者を、プロバイダーとチャネルの権限から外す
2. ［Messaging API設定］タブで、そのツールのWebhook URLを外す
3. ツールが使っているチャネルアクセストークンの種類を、ツールを管理している会社に確認する
4. 長期のトークンなら再発行する。チャネルアクセストークンの説明によると、再発行すると現在有効な長期のトークンは無効になる。再発行時に古いトークンの有効期間を最大24時間まで延長することもできるため、すぐ止めたいときは延長しない
5. v2.1や短期のトークンは取り消しができると同じページに書かれているため、取り消しの手順を確認する。ステートレスのトークンは発行後に取り消せず、有効期間は15分

仕組みはLINE Messaging APIの料金と無料枠｜トークン発行から送信まででも解説しています。

月1回の点検チェックリスト

月1回、次の7項目を確認します。所要時間は台帳があれば短く済み、担当は管理者2名のどちらかに決めておきます。

• ログイン通知：心当たりのない日時・環境の通知が届いていないか
• メンバー一覧：権限管理の一覧と台帳が一致し、退職者や契約を終えた会社が残っていないか
• LINE Developersの権限：プロバイダーとチャネルの権限に、退職者や契約を終えた会社の担当者が残っていないか
• 管理者の人数：社内の管理者が2名以上いるか
• 2段階認証：新しく加わったメンバー本人が、2段階認証をオンにしたと答えているか
• 連携ツール：［Messaging API設定］タブのWebhook URLに、使っていないツールのものが残っていないか
• 配信履歴：予約配信・送信済みに覚えのない配信が無いか

この章で押さえるのは、設定は「受け先のメール→2段階認証→権限台帳→連携ツール」の順に進め、その後は7項目の月次点検で状態を保つということです。

法人のLINE運用で乗っ取りにつながる失敗と防ぎ方

法人のLINE公式アカウントで乗っ取りの入口になりやすいのは、パスワードの強さよりも、IDの共有と権限の残し方です。次の4つは、複数の社員や社外の会社が関わる運用でしか起きない失敗です。

1つのIDを部署で共有すると、認証コードを社内チャットで回すことになる

1つのビジネスIDを部署で使い回すと、ログインのたびにコードを受け取る担当者へ「コードを教えて」と連絡することになります。コードを聞く・教えるやり取りが日常になると、知人や同僚を装って認証コードを聞き出す手口と区別がつきません。1人1つのIDにして、コードは本人以外に届かない状態にします。

管理者が退職者1人だけになると、権限を取り戻す手段が限られる

管理者を追加できるのは管理者だけなので、唯一の管理者が退職すると、社内の運用担当者では管理者を増やせません。

すでにこの状態になっている場合は、まず退職した担当者に連絡し、その担当者のIDで後任を管理者に追加してもらいます。連絡が取れないときは、JP Official Accountヘルプセンターの管理者の追加・変更を確認したうえで、ヘルプセンターの問い合わせ窓口に相談します。

これから防ぐには、退職の手続きで、後任を管理者に追加してから元の担当者を外す順番にします。引き継ぎの流れはLINE公式アカウントの運用担当者を削除する進め方｜退職時の引き継ぎで解説しています。

認証URLをグループチャットに貼ると、宛先以外に権限が付くおそれ

ステップ3で紹介したLINE公式アカウントの権限設定マニュアルのとおり、メンバー追加の認証URLは1回の発行で1人だけ有効です。複数の社員や社外の会社がいるグループチャットに貼ると、宛先ではない社員や社外の担当者が、先にそのURLを使ってしまうおそれがあります。認証URLは本人に個別に送り、追加後に権限管理の一覧で名前と権限を確認します。

代行会社との契約終了時に、連携ツールの接続と権限を見落とす

運用代行会社との契約が終わったら、権限管理のメンバーを外すことに加えて、LINE Developersコンソールの権限と、代行会社が設定した配信ツールの接続も確認します。ステップ4で説明したとおり、どちらも権限管理とは別の画面で管理されています。

契約時に、終了時に行う作業を次のように決めておきます。

• 権限管理から代行会社のメンバーを削除する
• LINE Developersコンソールで、代行会社の担当者をプロバイダーとチャネルの権限から外す
• 代行会社が設定したWebhook URLを外す
• 代行会社のツールが使っているチャネルアクセストークンの種類を確かめ、ステップ4の手順で無効にする

代行会社に渡す権限は、管理者ではなく運用担当者で足りるかを先に確認します。依頼範囲の決め方はLINE公式アカウント運用代行の費用相場と頼める範囲の決め方で扱っています。

この章で押さえるのは、法人の乗っ取り対策はパスワードより「IDの共有をやめること」と「外すときの順番を決めること」で差がつくということです。

乗っ取られたかもしれないときの初動と順番

心当たりのないログイン通知や配信に気づいたら、まずパスワードを変更し、次に権限と配信を確認します。LINEヤフー for Businessのお知らせでも、意図しないログイン通知を受け取った場合はパスワードの変更を推奨しています。初動は次の順番で進めます。

1. 通知を受けた本人がパスワードを変更する。通知メール内のリンクからではなく、ブックマークや公式サイトから管理画面を開く
2. 2段階認証がオンになっているかを確認し、オフならオンにする
3. 権限管理で、知らないメンバーや権限の変更が無いかを確認し、見覚えのないメンバーを外す
4. 予約配信・ステップ配信・応答メッセージに覚えのない内容が無いかを確認し、見つけたら止める
5. 不審な配信が友だちに届いていたら、アカウントからの配信とホームページのお知らせで「届いたURLは開かないでください」と知らせる
6. 同じパスワードを他のサービスで使っていた場合は、そちらも変更する
7. 何が見られた可能性があるかを記録する。1対1チャットの内容など個人情報が見られた可能性があるときは、個人情報保護法の漏えい報告の対象になる場合があるため、個人情報保護委員会の漏えい等の対応とお役立ち資料で確認する

パスワードを変えられないほどログインできない場合は、公式ヘルプの問い合わせ窓口から連絡します。ログインできない原因の切り分けはLINE公式アカウントにログインできない時の切り分けと復旧の進め方で解説しています。

この章で押さえるのは、初動は「パスワード→2段階認証→権限→配信→友だちへの告知→記録」の順で、社内の管理者が2名いれば片方が止めている間にもう片方が確認を進められるということです。

LINE公式アカウントの乗っ取り対策でよくある質問

今日確認することと次の一歩

まずは社内でビジネスIDを使っている全員に、2段階認証がオンになっているかを確認してみてください。そのあと権限管理の画面を開き、メンバーの名前を権限台帳に書き写すところから始めます。複数の部署で運用ルールまで決めたい場合は、LINE公式アカウント複数人運用｜配信漏れと権限ミスを防ぐ管理術が次に読む記事です。

ここまで読んで、メンバーと権限の洗い出しや代行会社との取り決めを社内だけで進めるのは難しいと感じた方は、Web集客・Webマーケティングの相談をご利用ください。いまの運用体制を伺うだけでも大丈夫です。