スマートフォンの中には、家族との写真だけでなく、誰にも見せるつもりのなかった一枚が眠っていることもあります。そうした画像やSNSアカウントそのものを狙う攻撃が、いま新たな段階に入りつつあるようです。
2026年8月10日に発表されたFBI傘下IC3（インターネット犯罪苦情センター）の公式警告は、性的搾取を目的としたSNSアカウント等への不正アクセスと、そこからの私的な性的画像・動画の窃取に注意を呼びかける内容だ。TechCrunchが8月11日に報じた。
標的は成人・未成年を問わない。手口は、漏洩・使い回しパスワードでの総当たり攻撃、SNS運営元のカスタマーサポートを装った確認コードの詐取、正規ログインページを模したフィッシングの3種が中心だという。窃取された画像は被害者に知られないまま流通し、個人情報も一緒に流出することで嫌がらせや恐喝等の再被害につながるという。セキュリティ企業SocialProof SecurityのCEO、レイチェル・トバック氏は、FBIの公式警告が件数増加の兆候である可能性を指摘している。
From: 
FBI says cybercriminals are hacking into victims’ online accounts to steal their intimate pictures
【編集部解説】
「性的搾取」と一括りにできない、今回の警告の中身
FBIはこれまでも「セクストーション（sextortion）」、つまり攻撃者が被害者を脅して新たに性的な画像・動画を作らせ、それを対価に金銭や追加の画像を要求する手口について、繰り返し警告を発してきました。今回8月10日のPSAは、これとは仕組みが異なります。対象はすでに被害者のスマートフォンやSNSアカウントに存在する画像・動画で、攻撃者はそれを「作らせる」のではなく、アカウントへの不正侵入によって「盗み出す」ところから始まります。盗んだ後にコミュニティフォーラムでの共有や違法マーケットプレイスでの販売に回される点も、従来型セクストーションとは異なる展開です。TechCrunch記事も「sextortion」という語を使っていますが、これは窃取後に起こりうる再被害の一形態として挙げられているにすぎず、手口そのものを指す言葉ではありません。似た言葉が並ぶ分野だけに、この違いを意識しておくと、今回の警告が指している問題の輪郭がはっきりします。
なぜ、いまこのタイミングでの警告なのか
この警告が出た2026年8月は、NCII（本人の同意のない性的画像・動画）の流通に対する米国の法的枠組みが大きく動いた直後にあたります。2025年5月19日に成立した連邦法「TAKE IT DOWN Act」は、NCIIの公開を刑事罰の対象とし、SNSなどのプラットフォームに対して被害者からの削除要請を48時間以内に処理する義務を課しました。この削除義務は、成立からちょうど1年後にあたる2026年5月19日から本格的に執行が始まり、FTC（連邦取引委員会）が違反1件につき最大53,088ドルの制裁金を科せる体制に入っています。プラットフォーム側の対応義務が強化されたタイミングで、供給源であるアカウント侵入・窃取の手口そのものに焦点を当てた今回のFBI警告が出てきたことは、偶然というより、NCII対策全体が「投稿後の削除」から「窃取そのものの防止」へと重心を移しつつある流れの一環として読むこともできそうです。
手口を読み解く——「本人確認コード」がなぜ危険なのか
PSAが挙げる3つの手口のうち、特に見落とされやすいのが「カスタマーサポートなりすまし」です。攻撃者はまず「アカウントが無効化される」といったSMSを送り、被害者に不安を抱かせます。その上で攻撃者自身が正規のパスワードリセットを申請すると、確認コードは被害者本人のスマートフォンに届きます。被害者がそのコードを攻撃者に伝えてしまった瞬間、攻撃者はそのコードを使って正規の手続きでパスワードを変更できてしまいます。ここで見えてくるのは、多要素認証（MFA）が万能ではないという点です。MFAは「本人だけがコードを知っている」ことを前提にした仕組みですが、この手口はそのコードを本人自身に差し出させることで前提そのものを崩してしまいます。FBIもMFAの有効化を推奨事項として挙げていますが、この手口に対しては「コードや一時パスワードは、たとえ相手がプラットフォームの担当者を名乗っていても絶対に共有しない」という行動面の徹底の方が、実効性としては上回るように見えます。
個人情報も一緒に売買される、という現実
もう一つFBIが強調しているのは、盗まれるのが画像・動画だけではないという事実です。氏名、生年月日、メールアドレス、電話番号、SNSのユーザー名といった個人識別情報が、盗まれた画像と一緒に投稿されるケースが多いとFBIは説明しています。これにより、画像の流出という一次被害だけでなく、嫌がらせやストーキング、被害者自身のアカウントを使った嫌がらせ投稿といった二次被害が発生しやすくなります。画像そのものの削除に成功しても、身元情報が一度出回ってしまえば、その後も断続的に被害者を追い詰め続ける構造がある、ということです。
対策の実効性と、その限界
FBIが挙げる対策として、パスワードマネージャーの利用、MFAの有効化、不審な連絡への警戒、私的画像をオンラインに保存しないという対策は、いずれも妥当なものです。ただし最後の「保存しない」という助言には、率直に言って実行のハードルがあります。写真や動画がクラウド上のバックアップと一体化している現代のスマートフォン利用において、「保存しない」を徹底することは、多くの人にとって現実的とは言いにくいものです。むしろ、フィッシング耐性を持つパスキーへの移行や、機密性の高いコンテンツだけを暗号化ストレージに分離するといった、行動変容に頼らない技術的な防御線の方が、長期的には有効かもしれません。この点、FBIの助言はあくまで「今日からできる最低限」であって、根本的な解決策ではないという認識を持っておく方がよさそうです。
【関連記事】
TAKE IT DOWN Act：トランプ大統領がリベンジポルノ・ディープフェイク対策法に署名、48時間以内の削除義務化へ
このプラットフォーム側の削除義務については、成立時に詳しく報じています。
セクストーション詐欺急増、未成年が標的に – AI悪用も明らかに
以前報じたセクストーション（画像の新規作成を強要する手口）とは異なる、既存の画像そのものを狙う動きです。
AIディープフェイク被害がインド女性を襲う｜nudifyアプリ悪用でOpenAI第2市場に影
NCIIをめぐっては、AIで画像そのものを合成する手口の被害も報告されています。
【編集部後記】
アカウントの安全対策というと、金銭やID盗難ばかりが語られがちですが、今回の警告は、最も個人的な記録さえもその対象になり得ることを示しています。TAKE IT DOWN Actのように「公開された後」の対策は整いつつある一方で、「盗まれる前」の防御線はまだ発展途上に見えます。パスワードやコードを誰にも渡さないという当たり前の一線を、私たちはどこまで意識できているでしょうか。
【用語解説】
NCII（Non-Consensual Intimate Images）
本人の同意なく流出・公開された性的な画像や動画を指す用語。
PSA（Public Service Announcement）
FBIやIC3が発行する公共広報。捜査機関が把握した脅威動向を一般向けに周知する文書形式。
ソーシャルエンジニアリング（Social Engineering）
技術的な脆弱性ではなく、人間の心理や信頼関係の隙を突いて情報を引き出す攻撃手法の総称。
多要素認証（MFA）
パスワードに加え、SMSコードや認証アプリなど複数の要素を組み合わせて本人確認を行う仕組み。
パスキー（passkey）
パスワードを使わず、生体認証や端末の暗号鍵でログインする認証方式。フィッシング耐性が高いとされる。
TAKE IT DOWN Act
2025年5月成立の米連邦法。NCIIの公開を刑事罰の対象とし、プラットフォームに48時間以内の削除義務を課す。
【参考リンク】
FBI Internet Crime Complaint Center（IC3）（外部）
サイバー犯罪の通報窓口。FBIが運営し、今回のPSAの発行元。
NCII専用通報フォーム（IC3運営）（外部）
性的画像・動画の窃取・流出被害を専門に受け付ける通報サイト。被害の時期や流出先の情報提供を求める。
FTC「Take It Down」ポータル（外部）
連邦取引委員会が運営するNCII削除支援の公式窓口。未成年の被害にも対応する。
National Center for Missing & Exploited Children（NCMEC）（外部）
子どもの行方不明・性的搾取対策に取り組む非営利団体。未成年の画像流出への対応窓口も持つ。
National Center for Victims of Internet and Cyber Exploitation（NCVIC）（外部）
違法な同意なき画像の削除を支援するクリアリングハウス。プラットフォームやインフラ事業者への働きかけを担う。
SocialProof Security（外部）
記事内でコメントしたレイチェル・トバック（Rachel Tobac）氏が率いる、ソーシャルエンジニアリング対策のトレーニング企業。
【参考記事】
Sexual Exploitation Actors Stealing and Leaking Explicit Content — FBI/IC3（外部）
一次情報源。手口3分類、個人情報流出の構造、通報窓口の詳細を記載。
Sextortion: A Growing Threat Targeting Minors — FBI Miami（外部）
従来型セクストーション（コンテンツ作成強要型）の被害統計を記載。今回のPSAとの手口の違いを示す比較対象として参照。
The TAKE IT DOWN Act Is Now in Full Effect: What Platforms Need To Know — Finnegan（外部）
TAKE IT DOWN Actの施行日とFTCの制裁金上限を記載。
