【X(旧Twitter)】DMで「名前 l.instagram.com/?… 」が届いたのは何？乗っ取り？問題と注意点について

2021年12月28日現在、次のような内容のDMが突然届いた、というユーザーが増加しています（※以前より届くケースがあったものの、最近再び増加中）。

(Twitterの表示名) l.instagram.com/?(Twitterのユーザー名)...

自分のユーザー名が書かれており、URLが自分に関連しているもののように感じますが、大きな特徴は「l.instagram.com」という、instagram関連らしきURLが掲載されている点です。

このURLに対しては、「自分のInstagramアカウントに関連するのかも」であったり、「Instagramは使っていないはずなのに」などと感じてしまうかもしれません。

リンク先が気になってURLをタップして開いたユーザーは、Instagramとは関係がなさそうに見える、「Stalker」というTwitter関連のサイトが表示されるケースが多いようです。

このリンク先ページには「LOG IN WITH TWITTER」というボタンがあり、Twitter連携ログインができるようになっています。

しかし、Twitter連携ログインを行うと、連携ログインを許可するページに記載のある「このアプリケーションは次のことができます。」以下の権限、例えばツイートの投稿やダイレクトメッセージ(DM)の閲覧・送信などを連携先アプリに許可することになります。

したがって、よく分からないままに「Twitterログインしたら何かが見えるのかも？」などと考えて、どのような目的のアプリなのかが理解できていない状態でTwitter連携ログインを行ってしまい、不必要な権限をアプリに与えてしまわないように注意してください。

今回のDMに含まれているURL（ドメイン）の「l.instagram.com」は、Instagramのストーリーに貼り付けてある「リンク（URL)」スタンプをタップしたときに、一度経由することになるドメインです（※Twitterで「t.co」を経由するのに似ています）。

したがって、「l.instagram.com」はInstagram内の機能で利用されているドメインではあるものの、実際に「https://l.instagram.com/」で始まるにアクセスした後に表示されるページはInstagramが運営するページとは限らず、様々なInstagram「以外」の運営するサイトに飛ばされる可能性があります。

そのため、「何かInstagramのページが開くっぽい」という期待はしてしまわずに、「謎のページへのURLだ」という感覚で対応するようにしてみてください。

※したがって、今回のDMにおいて「Instagram」が関わっているのはこの「一度アクセスするURL」だけであり、現時点で分かっている範囲で「Instagramアカウントが乗っ取られる」というわけではなく、それは「Twitterが乗っ取られた（意図しないDMを送信してしまった・送信してしまうらしい）」という話と「URLにInstagramと書いてある」という話とが混ざった結果広まっている話であると思われます（2021年12月28日時点）。

このDMの送信元ユーザーが、このDMを意図せずばらまいてしまっていた、フォロワーの人たち多数から「届いた」との連絡を受けて困っている、などの場合には、よく「アカウント乗っ取り」とも言われる、「Twitter連携アプリ」によるDM送信が行われたものと思われます。

そうしたDM送信を停止したい場合には、「アプリとセッション（https://mobile.twitter.com/settings/apps_and_sessions）」ページにアクセスし、「連携しているアプリ」へと進み、連携アプリの一覧を確認してみてください。

※この「アプリとセッション」のURLがうまく開けない場合は、Twitterのメニューの「設定とプライバシー」から「セキュリティとアカウントアクセス」→「アプリとセッション」と進んでみてください。

それぞれのアプリをタップすると、許可を実行した日時や、どのような権限（Twitter機能の利用）を許可しているか等を確認できます。

そして、「アプリの許可を取り消す」ボタンをタップして許可を取消すことも可能なので、不要なアプリ（もう使っていないアプリ）や、不審なアプリ（許可した覚えのないようなアプリ）等について、許可の取消を検討してみてください。

その他、「Twitter連携アプリ」とは別の原因（パスワードがバレて他人にログインされてしまっている状態）の可能性に関しては、同じ「アプリとセッション（https://mobile.twitter.com/settings/apps_and_sessions）」画面の「セッション」や「アカウントアクセス履歴」「ログインしている端末とアプリ」についても、不審なログインがないかを確認し、場合によっては「他の全てのセッションからログアウト」等の実行を検討してみてください。