何が起きているのか

発端は9月26日夜、まとめ系アカウントが「ブロック人数を調べられるサイトの利用者が乗っ取られる現象が確認されている」と投稿したことだ。
得体の知れないサイトへの連携やID、パスワード入力を避けるよう求め、約80万回表示された。
翌27日未明には別アカウントが「ブロックチェッカー」と記し、vercel.app上の診断サイトを名指しして注意を拡散した。
これに先立ち9月26日朝、ネットの裏側を解説する投稿者が同系統サイトを解析し、入力情報が外部へ送られ、二段階認証コードまで求められ得ると指摘した。
失敗しても集計中と見せかけて再試行する、との説明も付いた。
被害の声も上がり、ある利用者は「ブロック診断の被害にあいました。バカした。パスワードは変えたが危険が残る」と避難用アカウントへの誘導を呼びかけた。
注意喚起への返信でも「もしかし私も乗っ取られました。絶対にログインしないで」との書き込みが出た。
公式の被害総数は公表されていない。
ただし同じ定型文「あなたの結果は○人」を付ける投稿が複数見え、使った人か、奪われた後の宣伝かの判別がつきにくい状態になっている。

なぜ公式ではブロック人数を一括確認できないのか

Xの仕様上、特定の相手からブロックされているかは、その人のプロフィールを自分で開いて表示を見る方法が基本になる。
一方、自分をブロックしている全員の一覧や正確な人数を外部サイトへ返す公式の仕組みはない。
API有料化後、かつての第三者ツールの多くは終了した。
それでも「人数がすぐ分かる」「一覧が見られる」と歌うサイトが残る。

ここに最初の危険がある。
できないはずの機能を無料で見せる時点で、認証情報か投稿権限の取得が目的になりやすい。
かわいい画面や診断完了の演出、シェアボタンは、入力を急がせるための装飾にすぎない。
ログイン通知が出ても確認用だと書かれていても、公式の説明ではない。

入力した瞬間に何が奪われるのか

外部サイトにユーザー名とパスワードを入れる行為は、そのサイト運営者にログインそのものを渡すのに等しい。
解析側の指摘では、二段階認証コードの入力まで求められる場合がある。
成功すれば身に覚えのない投稿、フォロワーへの誘導、プロフィールや登録情報の変更が起きうる。

危険はアカウント単体で終わらない。
奪われた側が同じ診断リンクを貼るため、「知人が使っているから大丈夫」に見える。
2025年秋の同型事案でも、乗っ取られたアカウントが本物だと誤認させる投稿をしていた、と注意喚起側が説明した。
画面を開いただけでは完了しない。入力した時点が分岐点になる。
正規の連携なら、入力欄はx.com側にあり、見知らぬドメインへパスワードを直接書かせない。
vercel.appやpages.devなど、無料ホスティング上の診断ページに認証情報を書く必要は、公式利用では発生しない。

近年くり返されている同型の乗っ取り

同じ餌は何度も使われている。
2025年4月から5月は「Xブロックチェック」が広がり、連携後に宣伝投稿が自動で出る報告が相次いだ。
2025年10月はblockcheck.pages.devなどに誘導する投稿が拡散し、Twilog公式がパスワード入力を警告した。
2026年4月にも「○人にブロックされてました」型が再燃し、2026年6月時点の解説でもブロック確認サイト全般へのログイン回避が求められていた。

別の衣も多い。
2024年以降の「誰がプロフィールを見たか」、2025年5月から7月のストーカーリストやx.comを装ったDMも、公式に存在しない閲覧者リストを餌にした。
2025年11月には「アカウントの価値」診断で広い投稿権限を渡す例が出た。
2026年9月には凍結や不正利用を装うDMから外部へ誘導する連鎖も報告されている。
好奇心型と不安煽り型の違いはあるが、外部へ秘密を書かせる点は共通する。

使ってしまった人の対処と次に引っかからない確認リスト

入力した、コードを送った、連携した、のいずれかがあれば先にパスワードを変更する。
続けて全セッションからログアウトし、設定の連携アプリから見知らぬサービスを解除する。
可能なら認証アプリかパスキーへ切り替える。
身に覚えのない投稿やDMが残る場合は、フォロワーへ「本アカウントからの連絡は無視してほしい」とサブアカウントで伝える例がある。
X公式は被ブロック人数の一括診断を提供していない。知人が使っていても根拠にしない。
ログインはx.comだけを見る。
診断、足跡、価値、凍結解除を名乗る外部欄にパスワードを書かない。
設定でセッションと連携アプリを定期的に確認する。
人数が気になっても、相手のプロフィールを個別に開く以上の公式手段はない。
その限界を知ることが、今回いちばん安価な防御になる。