【Facebook】身に覚えのない「友達リクエスト」の大量送信!ボット化されたアカウントの掃除

自分の意思に反して、見知らぬユーザーへ大量の友達リクエストが送られていることに気づいたら、あなたのアカウントは「ボット( Bot )」として利用されています。これはパスワードの流出だけでなく、ブラウザの脆弱性や、悪質なスクリプトを埋め込んだ外部連携アプリが、あなたの認証トークンを勝手に操作( Unauthorized Execution )している証拠です。
放置すると、FacebookのセキュリティAIに「スパム発信源」と判定され、アカウント自体が永久停止されるリスクがあります。本記事では、勝手なリクエスト送信を物理的に停止させ、すでに送ってしまった大量の未承認リクエストを効率的に一括削除するクリーンアッププロトコルを詳説します。

—

1. 技術仕様:なぜ勝手に「リクエスト」が送られるのか?

人間が操作していないのにリクエストが飛ぶ現象には、エンジニアリング的な裏付けがあります。

自動送信の論理メカニズム

・Graph APIの悪用:Facebookが開発者向けに提供している Graph API の /me/friends などのエンドポイントが、連携アプリ経由で悪用されています。攻撃者はあなたのアクセストークンを用いて、サーバー側から直接リクエストコマンドを発行します。
・ブラウザオートメーション( Browser Automation ):PCがマルウェアに感染している場合、ブラウザのバックグラウンドで Puppeteer や Selenium のような自動操作ツールが動き、人間がクリックするふりをしてリクエストボタンを連打( Clickjacking )します。
・クッキー窃取( Cookie Theft ):ログイン状態のCookieが盗まれた場合、攻撃者は自前のスクリプトにそのCookieを載せ、あなたの「本人性」を偽装してHTTPリクエストを送信し続けます。

—

2. 実践:送信中のリクエストを「物理停止」させるフロー

現在進行形の攻撃を止めることが最優先です。以下の手順でボットをシャットダウンします。

手順①:全セッションの強制失効( Kill Switch )

1. [設定] > [アカウントセンター] > [パスワードとセキュリティ] > [ログインの場所] を開きます。
2. 「ログアウトするデバイスを選択」をタップし、「すべて選択」 してログアウトを実行します。これにより、ボットが保持している古いセッションやトークンが物理的に無効化されます。

手順②:パスワードと二段階認証の再定義

パスワードを変更することで、再度トークンが発行されるのを防ぎます。この際、必ず 「他のデバイスからログアウトする」 にチェックを入れてください。これにより、攻撃者のスクリプトが持つ認証情報が完全に「賞味期限切れ」となります。

—

3. 応用:送信済みのリクエストを「一括キャンセル」する技術

ボットによって送られた数千件のリクエストを一つずつ消すのは現実的ではありません。

送信済みリクエスト管理画面へのアクセス

1. スマホアプリの「友達」アイコンをタップします。
2. 「リクエスト」の横にある [すべて見る] をタップします。
3. 右上の「・・・」メニュー、または上部のリンクから [送信済みリクエストを表示] を選択します。
4. ここで、ボットが勝手に送ったリクエストの一覧が表示されます。最新のOS環境では、ここから [一括選択] や [高速キャンセル] を行うことが可能です。

※PCブラウザで実行する場合は、 https://www.facebook.com/friends/requests/?outgoing=1 に直接アクセスすることで、送信済みリストを技術的に効率よく管理できます。

—

4. 深掘り:ボット化の「感染源」を特定するログ解析

「なぜ自分だったのか」を特定するために、Metaが提供するアクティビティログを解析します。

・IPアドレスの照合:[アクティビティログ] > [セキュリティとログイン情報] > [ログインの場所] を確認します。自分が使っていない時間帯、または不明な地域からのアクセスがあれば、そのIPアドレスが「ボットの司令塔( C&Cサーバー )」の場所です。
・アプリの許可項目の監査:[設定] > [アプリとウェブサイト] を確認し、「友達リストへのアクセス」 を許可している不審なアプリを特定します。リクエストの自動送信は、多くの場合、こうしたアプリの権限悪用から始まります。

—

5. エンジニアの知恵:『レート制限( Rate Limiting )』を利用した自己防衛

ITエンジニアがアカウントをボット化から守るために意識している「システムの限界」についてです。

・短時間の大量アクションの回避:Facebookのサーバーには、一人のユーザーが短時間に行える操作数( $N_{limit}$ )に制限があります。ボットはこの制限を回避するために「ゆっくり、しかし確実に」リクエストを送り続けます。
・「信頼できる連絡先」の再構築:ボット化を経験したアカウントは、FacebookのAIによって「リスク有り」とタグ付けされます。信頼を回復するためには、しばらくの間、新しいアプリ連携を一切断ち、信頼できる既存の友達とのインタラクション( Engagement Score )を増やすことで、アカウントの『レピュテーション(健全性スコア)』を正常化させる必要があります。

まとめ:ボット化解除・クリーンアップチェックリスト

身に覚えのない友達リクエストの大量送信は、あなたのアカウントが外部の意図によって操られている明確なサインです。しかし、セッションの強制終了とパスワードの再構築、そして「送信済みリクエスト」のクリーンアップという論理的な手順を踏めば、必ずアカウントの主導権を取り戻せます。ボット化という「デジタルな病」からアカウントを救い出し、二段階認証という強固な『ワクチン』で再発を完璧に防ぎましょう。