九電みらいエナジー、公式Facebookページを乗っ取られ管理不能に　7月11日以降の投稿・DMは「一切関与せず」

九州電力グループの九電みらいエナジー株式会社は2026年8月25日、同社の公式Facebookページが第三者に乗っ取られ、管理権限を失っていると公表しました。

同社はMetaに対して管理権限の取り戻しを申請していますが、8月25日時点では復旧しておらず、同社自身がページの情報を更新できない状態が続いていました。

さらに8月26日、九電みらいエナジーは追加の注意喚起を公表し、当該Facebookページは現在も同社の管理下になく、2026年7月11日以降の投稿内容、発信情報、メッセージには一切関与していないと説明しました。Metaにはページの一時停止・非公開化と管理権限の取り戻しを申請済みですが、第三者による不正利用が継続しています。

侵入経路や、どの管理者アカウントが侵害されたのか、Facebook以外の社内システムやアカウントへ影響が及んでいるかについては公表されていません。個人情報の漏えいが確認されたとの発表もありません。

九電みらいエナジー公式Facebook乗っ取りのサマリー

• 【確認済み】九電みらいエナジーは2026年8月25日、公式Facebookページが第三者に乗っ取られたと公表しました。
• 【確認済み】同社は、8月18日に公式Facebookページの乗っ取りを確認したと説明しています。
• 【確認済み】8月25日時点で同社はFacebookページの情報を更新できず、管理権限を取り戻せていませんでした。
• 【確認済み】同社はMetaに管理権限の取り戻しを申請しています。
• 【確認済み】8月26日の追加発表では、Facebookページは現在も同社の管理下になく、第三者による不正利用が継続しているとしています。
• 【確認済み】同社は2026年7月11日以降の投稿、発信情報、メッセージに一切関与していないとしています。
• 【確認済み】Metaにはページの一時停止・非公開化も申請済みです。
• 【確認済み】同社は利用者に対し、ページへのアクセス、投稿への「いいね！」やシェアを控えるよう求めています。
• 【確認済み】同社は公式Facebookページから今後DMを送信することはないと明記しています。
• 【未確認】乗っ取りの侵入経路や原因は公表されていません。
• 【未確認】管理者アカウント、Meta Business Suite、広告アカウントなどのどの権限が侵害されたかは公表されていません。
• 【未確認】個人情報の漏えいやFacebook以外のシステムへの影響は公表情報から確認できませんでした。

項目	内容
公表日	2026年8月25日
最新の追加公表	2026年8月26日
対象組織	九電みらいエナジー株式会社
対象サービス	公式Facebookページ
インシデント	第三者による公式Facebookページの乗っ取り・不正利用
乗っ取り確認日	2026年8月18日と同社が説明
同社が関与していない投稿等	2026年7月11日以降
管理権限	同社が喪失した状態
最新の復旧状況	8月26日時点で未復旧、第三者利用が継続
Metaへの対応	一時停止・非公開化、管理権限取り戻しを申請
侵入経路	公表されていません
個人情報漏えい	確認できませんでした
他システムへの影響	確認できませんでした
利用者への案内	フォロー解除、アクセス・反応を控える、不審DMを開かない

8月18日に乗っ取りを確認、25日時点でも管理権限を回復できず

九電みらいエナジーが8月25日に公表した「当社公式Facebookページ『乗っ取り』についてのお知らせ」によると、同社は8月18日に公式Facebookページが第三者に乗っ取られたことを確認しました。

その後、Metaに管理権限の取り戻しを申請しましたが、8月25日時点では復旧しておらず、自社でFacebookページの情報を更新できない状態が続いていました。

企業の公式SNSが乗っ取られた場合、単に「投稿できない」だけでなく、第三者が企業名義で情報を発信できる状態になる点が問題です。

正規の公式ページには、すでにフォロワーや投稿履歴、企業情報が蓄積されています。攻撃者がそのページを操作できれば、新しく作成した偽アカウントよりも正規アカウントとして信用されやすく、フィッシングや詐欺への誘導に悪用されるリスクがあります。

8月26日、7月11日以降の投稿・メッセージへの関与を否定

九電みらいエナジーは8月26日にも注意喚起を公表し、当該Facebookページは現在も同社の管理下にないと説明しました。

さらに、2026年7月11日以降に同ページから投稿された内容や発信情報、メッセージについて「一切関与していない」と明記しています。

8月25日の公表では乗っ取り確認日を8月18日としている一方、8月26日の追加情報では、少なくとも7月11日以降の投稿・メッセージを同社の正規発信として扱わないよう求めています。

これは、乗っ取りを「確認した日」と、不正利用が始まった可能性のある時期が同じではないことを示しています。

ただし、7月11日に侵入が発生したと公表されたわけではありません。7月11日は、同社が「以降の投稿・発信・メッセージに関与していない」とした基準日です。実際の侵入日時や管理権限を奪われた時点は明らかになっていません。

8月18日の公開文書は「偽アカウント」注意喚起

公表の時系列には注意が必要です。

九電みらいエナジーは8月18日付で、「当社アカウントを装った『なりすまし・偽アカウント』にご注意ください」とする文書を公開しています。

この文書では、Facebook上で同社の名称、アイコン画像、プロフィール文などを模倣した「偽アカウント」が確認されているとして、不審なDMやURLに注意するよう呼びかけていました。

一方、8月25日の文書では「2026年8月18日に当社の公式Facebookページにおいて、第三者による乗っ取りが確認され（お知らせ済）」と説明しています。

8月18日に公開されている文書自体は「偽アカウント」を中心とした注意喚起で、公式ページそのものの乗っ取りを明示していません。

そのため、公開情報上は8月18日の「なりすまし・偽アカウント」と、8月25日に明示された「公式Facebookページの乗っ取り」を分けて整理する必要があります。

Metaへ一時停止・非公開化を申請するも不正利用が継続

8月26日の追加発表によると、九電みらいエナジーはMetaに対し、公式Facebookページの一時停止・非公開化と管理権限の取り戻しを申請しています。

しかし、同日時点でも第三者による不正利用は継続していました。

企業がSNSアカウントを乗っ取られた場合、自社側で即時にアカウントを停止できないケースがあります。プラットフォーム側の審査や権限確認が必要になると、正規の管理者が操作できない状態のまま、一定期間ページが公開され続ける可能性があります。

この間、企業側は自社サイト、他の正規SNS、プレスリリースなどFacebook以外のチャネルを使って利用者へ注意喚起する必要があります。

今回、九電みらいエナジーも自社公式サイトに加え、8月26日に外部のプレスリリース配信サービスを利用して注意喚起を拡散しています。

公式ページからのDMは「すべて同社からではない」

九電みらいエナジーは8月25日の発表で、今後、公式Facebookページを同社が更新することはなく、同ページを通じて利用者へダイレクトメッセージを送ることも一切ないとしています。

8月26日の追加発表でも、ページから届く不審なDMを開封せず削除し、記載されたURLや添付ファイルを開かないよう求めています。

利用者に対しては、当該ページのフォロー解除、ページへのアクセスを控えること、投稿への「いいね！」やシェアをしないことも呼びかけています。

攻撃者が正規の企業ページを操作できる場合、DMで「本人確認」「キャンペーン当選」「契約確認」などを装い、外部サイトへ誘導することが考えられます。

ただし、九電みらいエナジーは、実際に金銭被害や個人情報詐取などの二次被害が発生したとは公表していません。現時点では今後想定されるリスクとして扱う必要があります。

投稿改ざんや偽サイト誘導の恐れを注意喚起

九電みらいエナジーは8月25日の文書で、乗っ取られたアカウントでは「投稿内容の改ざん」「偽サイトへの誘導」「金銭・個人情報等を要求するダイレクトメッセージ」が送信される恐れがあると注意喚起しています。

これは「実際に投稿改ざんや個人情報詐取が確認された」という発表ではありません。

同社が二次被害防止のため、乗っ取られた公式ページで今後起こり得る行為を例示したものです。

記事化する際には、「改ざんされた」「詐欺DMが送られた」と事実として断定しないことが重要です。

一方、8月26日の発表では7月11日以降の投稿内容やメッセージについて同社が一切関与していないとしているため、同期間のFacebook上の情報は正規の企業発信として扱うべきではありません。

侵入経路や管理者アカウントの被害範囲は未公表

今回の発表では、公式Facebookページがどのような経路で乗っ取られたかは明らかになっていません。

管理者個人のFacebookアカウントが侵害されたのか、フィッシングで認証情報を窃取されたのか、セッション情報が悪用されたのか、Meta Business Suiteなどの権限設定が変更されたのかは確認できません。

そのため、特定の侵入経路を推測することは避ける必要があります。

また、Facebookページ以外のSNSアカウント、広告アカウント、社内システム、メールアカウントなどへ被害が広がっているとの情報も公表されていません。

個人情報が漏えいしたとの発表も確認できませんでした。

今後の続報では、侵入経路、管理権限が奪われた時点、管理者アカウントへの影響、他のMeta資産への影響などが確認ポイントになります。

「偽アカウント」と「公式アカウント乗っ取り」は対策が異なる

今回の時系列では、8月18日に「なりすまし・偽アカウント」への注意喚起があり、8月25日には正規の公式Facebookページ自体の乗っ取りが明らかになりました。

両者は似ていますが、リスクは異なります。

偽アカウントは、攻撃者が企業名やロゴを模倣した別アカウントを新規作成するものです。企業側はユーザーへの注意喚起やプラットフォームへの削除申請を行えますが、正規アカウントそのものは引き続き運用できます。

一方、公式アカウントの乗っ取りでは、既存フォロワーや過去の投稿履歴を持つ正規ページを攻撃者が操作します。ユーザー側から見た真正性が高いため、偽アカウント以上に正規発信との区別が難しくなる場合があります。

さらに、今回のように企業自身が管理権限を失うと、「乗っ取られた公式アカウント上で注意喚起する」という対応もできません。

情報システム・広報部門への示唆

企業の公式SNSは広報部門だけの資産ではなく、認証情報と管理権限を伴う情報システムとして管理する必要があります。

まず、FacebookページやInstagram、X、YouTubeなどについて、誰が管理者権限を持っているかを定期的に棚卸しし、退職者や異動者、外部制作会社など不要な権限を残さないことが重要です。

管理者アカウントには多要素認証を必須化し、可能であれば複数の正規管理者を確保して、1人のアカウント侵害で全管理権限を失わない構成にする必要があります。

また、SNS乗っ取り時の広報BCPも事前に決めておくべきです。

今回のように公式Facebookが利用不能になった場合に、企業公式サイト、別のSNS、メールマガジン、プレスリリース配信など、どのチャネルを「正規な代替発信元」とするかを決めておけば、利用者へ迅速に情報を伝えられます。

インシデント対応手順には、プラットフォームへの停止・復旧申請だけでなく、投稿履歴の保全、広告アカウントや支払い設定の確認、管理者権限の棚卸し、関連するメールアカウントのセッション無効化やパスワード変更、他のSNSへの同一認証情報利用の確認なども含める必要があります。

復旧後には、攻撃者が追加した管理者やアプリ連携、広告設定、回復用メールアドレスなどが残っていないかを確認しなければなりません。

今回の九電みらいエナジーの事案は、SNSを「広報用の外部サービス」として扱うだけでは不十分であり、企業ブランドと顧客接点を持つ重要なデジタル資産として、IAMやインシデントレスポンスの対象に含める必要があることを示しています。

出典

• 当社公式Facebookページ「乗っ取り」についてのお知らせ – 九電みらいエナジー
• 【重要】当社アカウントを装った「なりすまし・偽アカウント」にご注意ください – 九電みらいエナジー
• ニュース – 九電みらいエナジー
• 【注意喚起】当社公式Facebookページが第三者により不正利用されています（九電みらいエナジー） – 九電みらいエナジー