WhatsAppの「高リスクアカウント」通知が届いた人へ 詐欺の見分け方と対処

WhatsAppに「高リスクアカウントと判定されました」という通知が届いて、「これは絶対詐欺だよね」と思いました。差出人は「Aditya Grocery Enterprise」という名前を名乗るアカウントで、本文には【START】ボタンから認証するように、24時間以内にやらないとアカウントを制限する、と書いてあります。

文面はよくできていて、本物だったら困る、と思わせる作りです。同じ通知が届いて不安な方のために、通知の出どころ、安全性、やってはいけないこと、モチベーションの持ち方、世の中の実態、正しい対処法を順番に書きます。すぐ動きたい方は、目次の「正しい対処法」から読んでください。

WhatsApp高リスクアカウント詐欺？

届いた通知の中身

届いたのは10月16日（金）の10時25分でした。翌朝（10月17日の8時59分）になってもロック画面には通知が残っていて、WhatsAppのアイコンには未読の「1」が付いたままです。

チャットを開くと、上のほうに「この事業者は、Metaの安全なサービスを使用してこのチャットを管理しています。タップして詳細を表示。」と出ていました。その下に名前と「不明な地域からの電話番号・ビジネスアカウント」の文字、「ブロック」「プロフィール」のボタンが並び、メッセージには「WhatsApp 安全検出センター」「お客様のプライバシーを守り、安全を保証します」と書かれた画像が付いています。

画像の下の文章は、こうでした（本文の冒頭には、ぼくの電話番号が書いてあります。画像でも、ここでも伏せています）。

お客様へ
（ぼくの電話番号）
複数の異なる機器でアカウントログインが繰り返されていることを確認。安全システムにより高リスクアカウントと判定されました。
【START】ボタンより認証を行い、ご本人様確認をお願いします。
24 時間以内に手続きがない場合、アカウント利用制限を実施することがあります。
お客様に安心してご利用いただくための手続きです。ご協力ください。

実在する組織を名乗って不安にさせ、ボタンやリンクを自分で操作させようとします。これは、メールやSMSでは「フィッシング」と呼ばれる手口と同じ型に見えます。警察庁の「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）には、フィッシングは「人の信頼や思い込みなどの心理的な隙につけこんだソーシャルエンジニアリングの一形態」だと書かれています（ソーシャルエンジニアリングは、人の心の隙を突いて、相手に操作させる手口のことです）。

この種の手口を、順番に読める本もあります。商品ページの紹介文には「フィッシング詐欺は、誰でもひっかかる可能性があります」とあって、目次にはフィッシングのメール、SMS、サイトの順で手口が並んでいます。発売は2021年で、メールやSMSを中心にフィッシング全般の考え方を学べそうな一冊です。

引っかかったところ

画面に書いてあることを、ひとつずつ見ていきます。

表の内容は、どれも画面を見ただけで気づけることです。ここからは、Metaや公的機関の文書も読みながら、出どころと安全性を詳しく見ていきます。

通知の出どころ

差出人はどんなアカウントか

差出人の名前の下には、「不明な地域からの電話番号・ビジネスアカウント」と出ています。ビジネスアカウントは、お店や会社がお客さんにお知らせを送るためのWhatsAppのアカウントです。つまりこの通知は、「Aditya Grocery Enterprise」という名前を名乗るビジネスアカウントから届いたことになります。「WhatsApp 安全検出センター」は、そのメッセージに付いていた画像の中の文字です。

この名前の会社が実在するとしても、このメッセージを送ったのがその会社だと言える材料は、画面のどこにもありません。会社を疑う話ではなく、名前だけでは送り主が誰なのかが決まらない、という話です。

連絡先に無い相手から初めてメッセージが届くと、相手の電話番号の国が自分と違うかどうかなどが表示される、とWhatsAppのヘルプにあります。ただ、「不明な地域」という言い方の説明は、探してもまだ出てきていません。ご存じの方がいたら教えてください。

青いチェックマークの意味

Meta for Developersの「公式ビジネスアカウント」のページ（日本語版はAI翻訳です）には、こう書かれています。

公式ビジネスアカウント(OBA)とは、特定の基準に基づいて本物として認証されたビジネスが所有する、ビジネス電話番号です。公式ビジネスアカウントのビジネス電話番号には、連絡先ビューの名前の横に青いチェックマークが付いています。

この通知の画像は、「WhatsApp 安全検出センター」と、WhatsApp自身のような名前を掲げています。WhatsAppのヘルプ（英語の説明を訳しました。※英語サイト・自動翻訳推奨）には、WhatsApp本体の公式アカウントには認証のバッジが付いて、説明欄に「Official WhatsApp Account」と書かれる、とあります。バッジの無いアカウントがWhatsAppを名乗ってきたら詐欺なので、返信せず、報告してブロックするように、とも書かれています。ぼくに届いたメッセージの名前の下には、「ビジネスアカウント」と出ていました。

青いチェックが付くのは、Metaが審査して本物と認めた番号です。申請しないと付かないので、付いていないお店は、ふつうにあります。チェックがないというだけで偽物とは言えないので、チェックの有無よりも、届き方とボタンの作りのほうが手がかりになります。

先に連絡したか

ぼくは、この相手に先に連絡したことがありません。Meta for Developersの「サービスメッセージ」のページ（日本語版はAI翻訳です）には、ビジネスがメッセージを送れる相手について、こう書かれています。

メッセージを送信できるのは、あなたからのメッセージの受信をオプトインしているWhatsAppユーザーに対してのみです。

オプトインは「受け取ることに同意している」という意味です。同じ通知が届いて、先に連絡した覚えも、受け取ることに同意した覚えもないなら、この決まりに合わないメッセージです。

もうひとつ、WhatsAppは電話番号が宛先です。同じページの送信例にも、送り先として「<WHATSAPP_USER_PHONE_NUMBER>」（WhatsAppユーザーの電話番号）が出てきます。ぼくの番号がメッセージの冒頭に書いてあったのも、番号さえ分かれば送れるからだと思います。番号が書いてあるからといって、本物からの連絡とは限りません。

「Metaの安全なサービス」の表示

チャットの上に出ていた「この事業者は、Metaの安全なサービスを使用してこのチャットを管理しています。」の一文は、Metaのお墨付きに見えます。ほぼ同じ言い回しが、Metaのビジネスヘルプの、WhatsApp BusinessアカウントをMeta Business Suiteの受信箱に同期する、という説明のページにもあります。

注: 個々のチャットはMetaの安全なサービスを使用して管理されるようになります。プライバシーに関わるこの変更について、Metaから顧客に通知されます。

チャットの管理のしかたが変わることの知らせで、このページには、事業者が信頼できるという意味の文は書かれていないようです。WhatsAppのヘルプ（英語。※英語サイト・自動翻訳推奨）にも、事業者がMeta運営のクラウドAPIを使ってチャットを管理しているときに出る表示、と説明されています。つなぎ方の知らせで、事業者を確かめた印は別の、青いバッジです。この表示が付いていても、安心の材料にはならないと思います。

通知の安全性

【START】ボタンの飛び先

ぼくは押していないので、【START】の先に何があるのかは見ていません。ただ、ボタンの作りについては、Metaの文書に書いてあります。ボタンに出す文字と、押したときに開くURLは、ボタン付きメッセージの送信例でも別々の項目として決める作りになっています。先ほどの「サービスメッセージ」のページには、こうもあります。

インタラクティブCTA URLボタンメッセージでは、任意のURLをボタンにマッピングできるので、メッセージ本文に冗長で不明瞭なURLをそのまま載せる必要がなくなります。

「任意のURL」を、好きな文字のボタンにつけられる、ということです。【START】と書いてあっても、開く先が認証のページだという保証にはなりません。ボタンの文字を送り主が決められるという話は、以前の「Edge経由 通知」の記事でも書きました。

「Edge経由 通知」の偽ウイルス警告は感染ではありません

「Edge経由 通知」で出たウイルス警告は、パソコンの感染ではありません。IPAの原文をもとに、通知が出るしくみと、EdgeとChromeで許可を消して止める手順、押してしまったあとの相談先まで、ぼくの画面の実物を見ながら書きました。

tokodomo.xyz

2026.10.17

アカウント乗っ取りの手口

この通知と同じ文面かどうかは分かりませんが、名乗り方と流れがよく似た手口を、香港のHKCERT（コンピュータ緊急対応チーム）が2026年6月12日に注意喚起しています（英語の原文。※英語サイト・自動翻訳推奨）。「WhatsApp Security Centre」を名乗り、アカウントが「セキュリティ上のリスク」でロックされたと言ってリンクへ誘い、「Start Verify」のボタンを押させます。そのあと電話番号を入力させ、アプリのLinked devices（リンク済みデバイス）の画面でQRコードを読ませるか、Link with phone number（電話番号でリンク）の機能に8文字のコードを入れさせて、詐欺師の端末をアカウントにつなげる、という流れです。

偽のセキュリティ通知からWhatsAppのアカウントそのものを取ろうとする手口は、Metaも注意を呼びかけています。2026年3月11日の発表（※英語サイト・自動翻訳推奨）では、たとえば次のような例が挙がっていました。

• 投票を頼むコンテストを装って、ウェブサイトで電話番号を入力させ、そのあとWhatsAppに表示される、端末をリンクするためのコードまで入力させる
• 理由をつけてQRコードを読み取らせ、詐欺師の端末をアカウントにつなげる

日本のIPAにも、似た流れの相談が載っています。2026年7月22日に公開された2026年4〜6月の相談状況には、投票を頼むDMのリンクから「LINE認証投票」という画面に誘導され、電話番号や認証コードを入力して、LINEのアカウントを乗っ取られたと考えられる例がありました。乗っ取られたアカウントから、友人や家族に「PayPayで送金してほしい」というメッセージが届いたそうです。アプリはLINEで、WhatsAppではありません。

この通知はメールではありませんが、不安にさせて、期限を切って、ボタンやリンクを押させる、という型は、詐欺メールの文面と並べて見るとよく分かります。商品ページの紹介文には、実際に送られてきた詐欺メールの見本帳で、100通以上を解説つきで載せているとあります。冒頭には、リンクを押してしまったときの基本対処法も入っているそうです。発売は2025年10月です。

「複数の機器でのログイン」「高リスク」と不安にさせてから、本人確認を理由に何かをさせようとする入り口の形は、これらの例とよく似ています。【START】の先が同じ仕組みなのかどうかは、押していないので見えていません。

疑う材料のまとめ

ここまでの材料を並べると、ぼくの中ではもう「詐欺」です。ただ、アカウントの名前にある会社を疑っているわけではありません。送ってきたのが誰なのかは、画面からは決まらないからです。

• 差出人はWhatsApp本体ではなく、別の名前のビジネスアカウント
• WhatsAppのヘルプには、認証のバッジが無いのにWhatsAppを名乗るアカウントは詐欺、とある。この通知の画像は「WhatsApp 安全検出センター」を名乗っていて、送り主は「ビジネスアカウント」と表示されている
• 先に連絡していないのに届いた（Metaの決まりでは、受け取ることに同意した相手にしか送れない）
• 【START】の文字から、開く先は分からない
• 「高リスク」と不安にさせて、24時間という期限で急がせている

【START】の先を見ていないので、証拠が全部そろったわけではありません。それでも、疑う材料が5つ重なっているものに、わざわざ触る理由はないと思います。証拠が出ていないことと、安心できることは別、という話は、TP-Linkのルーターを調べた記事にも書きました。

TP-Link ルーター 危険性を自宅で調べてみた｜証拠はないが警戒すべき理由があった

「TP-Link ルーター 危険性」を、自宅でTP-Link製ルーターを使う立場から調べました。バックドアが実際に見つかったのは別会社ですが、TP-Linkにはテキサス州の提訴やFCCの措置など別の懸念が向けられています。証拠が無いことと警戒すべき理由があることは別軸だと考えを整理した記録です。

tokodomo.xyz

2026.09.26

やってはいけないこと

【START】・リンク・QRコード

• 【START】ボタン：開く先が分からないものは押さない。押さずに済ませる方法は「正しい対処法」に書きました
• メッセージの中のリンクやQRコード：Metaが挙げていた手口には、QRコードを読み取らせて、詐欺師の端末をアカウントにつなげるものがありました
• 電話番号でリンクする機能（Link with phone number）：メッセージやサイトで示されたコードを、この機能に入れない。HKCERTの注意喚起にも、同じ警告があります

押させたい側の意図が、画面の作りに出るという話は、Windowsのバックアップ画面の記事でも書きました。

【罠】バックアップのオプトアウト！？Windowsのバックアップ画面、その『続ける』は押さないで！悪意を感じる選択肢の正体と対処法

Windowsアップデート後に出る「PCをバックアップ」画面。分かりにくい「続ける」や「オプトアウト」の選択肢に戸惑っていませんか？その画面はユーザーを騙す「ダークパターン」かもしれません。設計の意図とMicrosoftの狙いを解説し、正しい対処法をご案内します。

tokodomo.xyz

2026.10.17

コード・PIN・電話番号・期限

• 認証コード、6桁の登録コード、端末をリンクするコード、PIN：IPAは、SMSで届いた認証コードを第三者に伝えたり共有したりしないよう書いています。WhatsAppのヘルプには、SMSなどで届く6桁の登録コードは、家族や友人にも教えないように、とあります（英語。※英語サイト・自動翻訳推奨）。Metaも、PINコードを送るよう求められていないかを、詐欺を疑う目安に挙げています
• 電話番号：Metaが挙げた手口では、電話番号の入力から、端末のリンクにつなげられていました
• 24時間という期限に合わせた判断：急かされているときほど、決めるのを後ろにずらしていいはずです。Metaも、急かされていないかを疑う目安に挙げています

通知が届いたときのモチベーションの持ち方

「24時間以内」と言われたら

通知には「24 時間以内に手続きがない場合、アカウント利用制限を実施することがあります」とありました。期限をつけるのは、考える時間を奪うためだと思います。Metaは2025年8月5日の発表（※英語サイト・自動翻訳推奨）で、詐欺師は人の親切心や信頼、お金を急いで送らないと困ったことになるという不安につけこむことがある、と書いています。そのうえで、怪しいメッセージには返事をする前に、次の3つを勧めています。

• PAUSE（立ち止まる）：返事をする前に時間を取って、知っている番号か、まっとうな頼みごとかを考える
• QUESTION（疑う）：その頼みは筋が通っているか、急かされていないか
• VERIFY（確かめる）：家族や友人を名乗る相手なら、別の連絡手段で本人に直接確かめる

ぼくはこの通知を詐欺と見ているので、24時間を数える必要はないと考えています。制限するかどうかを決めるのは、通知を送ってきた相手ではないからです。

通知が届いたのは自分のせい？

ぼくは、先に連絡したことのない相手から、いきなり届きました。WhatsAppは電話番号が宛先なので、番号が相手に知られていれば、こちらが何もしなくても届きます。届いた時点では、受け取った本人は何も悪いことをしていません。

警察庁は、先ほどの資料で、AIの技術が進んで文章が自然になり、見抜きにくいフィッシングが増えている、と書いています。見抜けなかったとしても、責められるような話ではないとぼくは思います。

被害のあとの相談先

もし被害にあってしまったときは、恥ずかしさより先に、相談してほしいです。無料で使える相談先は3つあります（2026年10月17日時点の番号です）。

• IPA 情報セキュリティ安心相談窓口：03-5978-7509（受付時間は10時00分から17時00分、土日祝日・年末年始は除く）
• 消費者ホットライン：188（局番なし）
• 警察相談専用電話：#9110（188と#9110は、警察庁のSOS47にも載っています）

相談のほかに、自らも被害にあって支援団体を立ち上げた著者の、36ページの冊子があります。紹介文には、手口が巧妙になって、恥に思って泣き寝入りする被害者もいると書かれています。テーマは国際ロマンス詐欺とSNS型投資詐欺で、WhatsAppの通知の話ではありませんが、目次には被害後にとるべき行動と、被害のあとのメンタルケアの章が並んでいます。

世の中の実態

世界と日本の数字

出どころと発表の時期を並べておきます。期間も数え方も違うので、足したり、増えた減ったを言ったりはできません。

Metaの680万件は、被害にあった人の数ではなく、Metaが止めたアカウントの数です。WhatsAppだけに絞った日本の数字は、公表されているものを探してみましたが、出てこないようです。

詐欺を仕掛ける側

Metaは2025年8月の発表で、詐欺の大きな発生源のひとつに、強制労働が使われていることも多く、主に東南アジアで組織犯罪が運営している詐欺拠点があると書いています。ぼくが受け取った通知が、そうした拠点から来たものかどうかを示す材料は何もありません。ただ、画面の向こうで通知を打っているのが、気まぐれな個人だけとは限らない、という点は頭に置いておいていいと思います。

正しい対処法

ここからが、同じ通知が届いたときの動き方です。画面でできることから、順番に書きます。

押さずにブロック

1. 【START】は押さず、メッセージの中のリンクやQRコードも開かない。
2. 画面の上のほうに出ている「ブロック」を押す。ぼくの画面では、差出人の名前の下に「ブロック」と「プロフィール」のボタンが並んでいました。
3. 理由を選んで、報告にチェックを入れて、「ブロック」を押す。
4. チャットを削除する。

ぼくが実際にやったのは、この順番です。「ブロック」を押すと、ブロックの理由を選ぶ画面が出ました。下の画像の赤い枠が、タップする所です。

画面の上には「事業者をブロック」と出て、「Aditya Grocery Enterpriseは、あなたへのメッセージ送信や通話ができなくなります。」と書かれています。「このビジネスをブロックする理由」には、「必要がなくなった」「登録していない」「スパムである」「詐欺・欺瞞」「その他」が並んでいて、ぼくは「詐欺・欺瞞」を選びました。その下の「WhatsAppに報告」には、「このチャットの最新のメッセージ5件がWhatsAppに送信されます。」とあります。ここにチェックが入った状態で、いちばん下の「ブロック」を押しました（赤枠の3か所）。

ブロックしても、チャットは残ります。チャットを消す前に、画面を撮っておくと、あとで相談するときに見せられます（WhatsAppのヘルプにも、ブロックしたあとのチャットは残るので、画面を撮るかバックアップを取っておくとよい、とあります。ブロックと報告の説明、報告とブロックの概要。※英語サイト・自動翻訳推奨）。

ブロックすると、チャット画面の下に「チャットを削除」と「ブロック解除」が出ます。ぼくは「チャットを削除」を押しました（赤枠）。

確認の画面にも「チャットを削除」があるので、もう一度ここを押して、チャットを消しました（赤枠）。画面には、「このチャットをアーカイブすることもできます。」ともあります。

ブロックのほかに、相手のプロフィールを開いて、いちばん下にあるビジネスの報告から報告する方法もある、とWhatsAppのヘルプにあります（WhatsAppのヘルプのAndroid版の説明です。※英語サイト・自動翻訳推奨）。

ブロックや報告は、Metaの仕組みに届く材料になります。Meta for Developersの文書には、メッセージの品質はブロック、報告、ミュート、アーカイブなどのユーザーのフィードバックをもとに決まると書かれていて、ポリシーのページ（日本語版はAI翻訳です）には、ユーザーから過度に否定的なフィードバックを受けているアカウントの事業者は、制限を課されたりWhatsAppから抹消されたりする場合がある、とあります。

アプリの中で確かめる

通知は「複数の異なる機器でアカウントログインが繰り返されている」と言っています。本当かどうかを知りたいなら、通知のボタンではなく、自分のWhatsAppアプリの中で見ます。警察庁も、上半期の資料で、日常の心がけとして「メール等に記載のリンクを安易にクリックしない」「公式サイトや公式アプリからアクセスする」を挙げています。

1. Androidでは、チャット一覧の右上のメニュー（︙）から、リンク済みデバイスの画面を開きます（WhatsAppのヘルプのAndroid版の説明です。※英語サイト・自動翻訳推奨）。
2. 覚えのない端末をタップして、ログアウトします。

見直す設定

見直すのは、WhatsAppの「2段階認証」です。IPAは相談状況のページで「多要素認証が設定可能なサービスにおいては、積極的にご利用されることを推奨。」と書いています。警察庁も、2026年10月のレターで、ワンタイムパスワードなどを用いた多要素認証が有効だとしています。

WhatsAppでは、設定のアカウントの中にある「2段階認証」をオンにして、パスワードを決めます（以前は6桁のPINでしたが、パスワードに切り替わっている途中だそうです。WhatsAppのヘルプのAndroid版の説明。※英語サイト・自動翻訳推奨）。このパスワードは、誰にも教えないでください。

もし押してしまったら

ぼくは【START】を押していません。読んでいる方の中には、押してしまった、コードを入れてしまった、という方もいると思うので、書いておきます。

1. それ以上は何も入力しない。電話番号やコードを求められても、進めない。
2. WhatsAppからログアウトされていたり、新しい端末で登録されたという知らせが出ていたりしたら、アプリで登録し直し、SMSで届く6桁のコードを入れて取り戻す。そうすると、ほかの端末は全部ログアウトされるそうです（WhatsAppのヘルプ。※英語サイト・自動翻訳推奨）。パスワードや2段階認証は、すでに入り込んだ相手を追い出せず、追い出せるのはこの登録し直しだけ、とヘルプにあります。このコードは、家族や友人にも教えない。
3. 先ほどのリンク済みデバイスの画面で、覚えのない端末をログアウトする。
4. 「2段階認証」をオンにして、パスワードを決める。
5. 同じパスワードを使い回しているサービスがあれば、パスワードを変える。IPAは、長く複雑で、使い回さないパスワードを勧めています。
6. 知り合いに、不審なメッセージが届くかもしれないと伝える。IPAの事例では、乗っ取られたアカウントから、知り合いにお金を求めるメッセージが送られていました。
7. 乗っ取られた自分のアカウントを報告すると、WhatsAppに停止されて、アカウントやデータを失うことがあるそうです。報告より先に、取り戻す。
8. お金を求められても、払わない。迷ったら、先に書いた相談先に電話する。

家族や友人にも伝える

同じ通知が、家族や友人にも届いているかもしれません。届いた通知の画面を見せて、「押さないで、ブロックしてね」と伝えておくだけで、被害のきっかけを1つ減らせます。

スマホの通知だけでなく、電話や訪問で来る詐欺に備えたい家族がいる方もいると思います。警察庁は、詐欺の電話をアプリでブロックする対策として、無料の推奨アプリを案内しています（警察庁 SOS47「警察庁推奨アプリ」）。

実家のご両親に渡すなら、マンガ形式の本もあります。紹介文には、犯人グループがとくに狙っているのは高齢者だとあり、目次には「「自分は大丈夫」がいちばん危ない！」の項目が入っています。2016年の発売で、中心になっているのは振り込め詐欺や悪徳商法のようです。

まとめ

最後に、覚えておきたいことを3つだけにします。

1. 【START】は押さない。ボタンの文字を見ても、開く先は想像がつきません。
2. ブロックする。画面に出ている「ブロック」で足ります。
3. 設定を1つ見直す。WhatsAppの「2段階認証」をオンにして、リンク済みデバイスに覚えのない端末がないかも、ついでに見ます。

ぼくは最初から「絶対詐欺だよね」と思っていて、調べ終えても、その見立ては変わりませんでした。いちばん大事なのは、24時間と言われても慌てなくていいことと、届いたこと自体は、受け取った方のせいではないことだと思います。同じ通知が届いて不安になった方の、落ち着くきっかけになれば嬉しいです。