Have I Been Pwnedとは？安全性・使い方・流出していた場合の対処法を解説｜サイバーセキュリティ.com

  1. ホーム /
  2. コラム /
  3. Have I Been Pwnedとは？安全性・使い方・流出していた場合の対処法を解説
             

Have I Been Pwnedとは？安全性・使い方・流出していた場合の対処法を解説



「自分のメールアドレスが流出していないか調べたい」「Have I Been Pwnedに入力して大丈夫？」——そんな疑問をお持ちではないでしょうか。Have I Been Pwned（HIBP）とは、過去の情報漏洩で流出したメールアドレスやパスワードを無料で調べられるサービスです。本記事では安全性・使い方・流出していた場合の対処法まで初心者向けにわかりやすく解説します。

先に結論を言うとHave I Been Pwnedは入力したメールアドレスやパスワードをサーバーに保存しない設計になっており、FBI・英国NCAとも公式連携する信頼性の高いサービスです。ただし「流出していた＝即アカウント乗っ取り」ではなく、発見後の対処が重要です——これがポイントです。

Have I Been Pwnedとは

Have I Been Pwnedの意味と概要

Have I Been Pwned（ハブ・アイ・ビーン・ポーンド）とは、過去に世界中で発生した情報漏洩事件（データブリーチ）で流出したメールアドレスやパスワードが、ダークウェブ上のデータベースに登録されていないかを無料で確認できるサービスです。略称は「HIBP」で、世界最大規模の流出データ検索サービスとして広く利用されています。

メールアドレスを入力するだけで、過去にどのサービスから・いつ・どんな情報が流出したかを即座に確認できます。企業の情報システム担当者から一般ユーザーまで、セキュリティ対策の第一歩として世界中で活用されています。

「Pwned」の語源と読み方

「Pwned（ポーンド）」とはオンラインゲームのスラングで「完全にやられた・支配された」を意味します。チェスの駒「Pawn（ポーン）」のスペルをタイピングミスした「Pwn」が定着した言葉で、ゲームで完敗したときに使われます。

つまりサービス名「Have I Been Pwned」は直訳すると「私はハックされたことがある？」という問いかけそのものです。ストレートでわかりやすいネーミングがユーザーに広く受け入れられた要因のひとつです。

誰が運営しているのか（Troy Hunt氏とは）

Have I Been Pwnedはオーストラリアのセキュリティ研究者Troy Hunt（トロイ・ハント）氏が2013年に個人プロジェクトとして立ち上げたサービスです。2013年のAdobe社の大規模情報漏洩（1億5,000万件）がきっかけで開発され、現在では150億件以上のアカウント情報を収録する世界最大規模のサービスに成長しました。

Microsoft・1Password・Firefoxなど主要企業・ブラウザとの連携実績もあり、グローバルで広く信頼されているセキュリティインフラの一つとして認知されています。

Have I Been Pwnedで確認できる内容

HIBPでは以下の情報を調べることができます。

  • メールアドレスの流出履歴（いつ・どのサービスから流出したか）
  • パスワードの流出履歴（そのパスワードが過去に流出したことがあるか）
  • 流出したデータの種類（パスワード・氏名・生年月日・電話番号など）
  • Emotetなどのマルウェア感染によって流出した情報

なお2025年5月のリニューアルにより、電話番号の確認機能は廃止されました。現在はメールアドレスとパスワードの確認が中心となっています。

Have I Been Pwnedの仕組み

データベースの規模と収集方法

HIBPのデータベースには2026年時点で2,000件以上の侵害事案と150億件以上のアカウント情報が登録されています。世界中で発生したデータブリーチの情報を継続的に収集・インデックス化しており、ダークウェブ上に流通している流出データを調査することで新たな漏洩を随時追加しています。

k-Anonymity方式でパスワードを安全に確認する仕組み

「パスワードをHIBPに入力して大丈夫？」という不安を持つ方は多いでしょう。HIBPはk-Anonymity（k-匿名性）という方式を採用しており、実際のパスワードがサーバーに渡ることはありません。

仕組みは以下のとおりです。

  1. ユーザーのパスワードをSHA-1というアルゴリズムでハッシュ値（意味不明な文字列）に変換する
  2. そのハッシュ値の先頭5文字だけをHIBPのサーバーに送信する
  3. サーバーは先頭5文字が一致するハッシュのリストを返す
  4. ユーザーの端末側でリストと自分のハッシュを照合する

サーバーには「先頭5文字のみ」しか渡らないため、実際のパスワードが外部に漏れることはありません。プライバシーを守りながら安全に確認できる設計になっています。

Data Breach（情報漏洩）とAccount Takeover（アカウント乗っ取り）の違い

HIBPを使う上で最も重要な誤解を解消します。「流出が確認された＝すぐにアカウントが乗っ取られる」わけではありません。

**Data Breach（データブリーチ・情報漏洩）**とは、サービスがハッキングされてIDやパスワードが外部に流出した事件のことです。HIBPが検出できるのはこの段階です。

**Account Takeover（アカウント乗っ取り）**とは、流出した情報を使って攻撃者が実際にアカウントにログインする行為です。流出したデータはダークウェブで販売され、他のサービスへの不正ログイン試行（クレデンシャルスタッフィング）に悪用されます。

つまり流出が確認された場合でも、パスワードを変更済みであったり多要素認証（MFA）を設定していたりすれば、乗っ取りを防げる可能性があります。発見後の対処が鍵となります。

Have I Been Pwnedの安全性

入力したメールアドレスは保存されない

HIBPにメールアドレスを入力しても、そのデータはサーバーに記録・保存されません。ダークウェブ上にある既存のデータベースと照合するだけの仕組みのため、入力した情報が外部に流出する心配はほぼありません。

またパスワードの確認には前述のk-Anonymity方式を採用しており、実際のパスワードがサーバーに渡ることもありません。

FBI・英国NCAとの公式連携

HIBPは過去に米国連邦捜査局（FBI）と英国国家犯罪庁（NCA）と公式に情報を共有したと発表しています。2021年5月にFBIが保有するパスワードデータを追加し、同年12月にはNCAが調査中に発見した5億8,500万件以上のパスワードをHIBPのデータベースに提供しています。

政府機関と連携している点は、サービスの信頼性を裏付ける重要な根拠です。

Microsoft・1Password・Firefoxとの連携実績

HIBPは世界の主要企業・サービスにも採用されています。Microsoftは自社の認証基盤にHIBPのデータを組み込んでおり、パスワードマネージャーの1PasswordやブラウザのFirefox（Mozilla Monitor）もHIBPのデータベースを活用しています。こうした実績がHIBPの信頼性をさらに裏付けています。

Have I Been Pwnedの使い方

メールアドレスを確認する方法

  1. Have I Been Pwned（https://haveibeenpwned.com）にアクセスする
  2. トップページの検索窓にメールアドレスを入力する
  3. 「pwned?」ボタンをクリックする

「Good news – no pwnage found!」が表示された場合：登録されているデータベースには流出履歴がありません。ただし流出していないことを100%保証するものではありません。

「Oh no — pwned!」が表示された場合：流出が確認されています。流出したサービス名・日時・漏洩したデータの種類が一覧表示されるので、対処法のセクションを参考に速やかに対応しましょう。

パスワードを確認する方法

  1. HIBPのトップページ上部のタブから「Passwords」を選択する
  2. 確認したいパスワードを入力して「pwned?」をクリックする

「Data Breaches」と表示された場合：流出履歴はありません。

「Oh no — pwned!」と表示された場合：そのパスワードは過去に流出しており、攻撃者のリストに載っている可能性があります。同じパスワードを使用している全サービスで速やかに変更してください。

通知設定をする方法（流出時に自動通知）

メールアドレスを登録しておくと、将来そのアドレスが新たな流出に含まれた際に自動でメール通知を受け取れます。

  1. HIBPのトップページ上部のタブから「Notify me」をクリックする
  2. 通知を受け取りたいメールアドレスを入力して「Notify me」をクリックする
  3. 登録したメールアドレスに確認メールが届くので承認する

一度設定しておくと継続的に監視してくれるため、早期発見に非常に有効な機能です。

企業向けドメイン監視機能

企業の情報システム担当者向けに、ドメイン全体（例：@example.com）を一括監視する機能も提供されています。自社ドメインのメールアドレスが新たな流出に含まれた際にアラートを受け取れます。

無料プランでは個別のメールアドレス確認が中心ですが、有料APIプランではドメイン単位での自動監視・大量検索・MSP向けのマルチドメイン管理などが利用可能です。

流出していた場合の対処法

まずやること（パスワードを即変更）

流出が確認されたら最初にすべきことはパスワードの変更です。特に以下のケースは緊急性が高くなります。

  • 流出したサービスで今もそのパスワードを使用している
  • 同じパスワードを他のサービスでも使い回している
  • 流出した情報にパスワードが含まれている

新しいパスワードは英大文字・英小文字・数字・記号を組み合わせた12文字以上を設定し、サービスごとに異なるパスワードを使いましょう。パスワードマネージャーの活用が管理の効率化に役立ちます。

多要素認証（MFA）を設定する

パスワードが変更されても、過去に流出したパスワードが悪用されるリスクは完全にはなくなりません。多要素認証（MFA）を設定することで、パスワードが漏れてもログインをブロックできます。

スマートフォンの認証アプリ（Google AuthenticatorやMicrosoft Authenticatorなど）やSMS認証、物理セキュリティキーなど、対応しているサービスではできる限りMFAを有効にしましょう。

同じパスワードを使い回している場合の対応

パスワードの使い回しは最も危険な習慣のひとつです。1つのサービスで流出したパスワードが他のサービスへの不正ログイン試行（クレデンシャルスタッフィング）に悪用されます。

流出が確認されたパスワードと同じものを使用している全サービスでパスワードを変更してください。量が多い場合はパスワードマネージャーを活用して、サービスごとに異なる強固なパスワードを管理することを強くおすすめします。

企業・組織として取るべき対応

組織の従業員アカウントが流出していた場合は個人への対応にとどまらず、組織レベルの対応が必要です。該当アカウントのパスワードをリセットし、影響範囲を調査して関係者への報告・記録を行います。また今後の流出を早期発見するために、HIBPのドメイン監視機能や企業向けセキュリティソリューションの導入を検討しましょう。

Have I Been Pwnedを使う際の注意点

流出していないからといって安全とは限らない

HIBPに流出履歴がないからといって、情報が完全に安全とは言えません。HIBPのデータベースはダークウェブ上に公開された流出データをもとにしており、まだ表面化していない流出や非公開の流出は検知できません。定期的な確認と日頃のセキュリティ習慣の維持が重要です。

日本語に対応していない

HIBPはすべて英語表記です。直感的にわかりやすい画面設計になっているため基本的な操作は難しくありませんが、詳細な分析には英語の読み取りが必要になります。日本語で利用したい場合はMozilla Foundationが提供する「Mozilla Monitor」がおすすめです。HIBPのデータベースを活用しており、完全に日本語対応しています。

対策は自分で取る必要がある

HIBPはあくまでも流出しているかどうかを確認するツールです。確認した後の対策（パスワード変更・MFA設定など）は自分で行う必要があります。流出を確認したまま放置すると被害リスクが高まるため、確認後は速やかに適切な対処を行いましょう。

よくある質問（FAQ）

Have I Been Pwnedは無料で使える？

メールアドレスとパスワードの個別確認・通知設定は完全無料で利用できます。企業向けの有料APIプランも提供されており、ドメイン単位の一括監視・大量検索・マルチドメイン管理などの高度な機能が利用可能です。個人利用であれば無料機能で十分なケースがほとんどです。

流出していた場合、すぐにアカウントが乗っ取られる？

流出していても即座にアカウントが乗っ取られるわけではありません。流出したデータがダークウェブで販売され、攻撃者が他サービスへのログイン試行に使用するまでにはタイムラグがあります。また流出後にパスワードを変更済みであれば被害リスクは大幅に下がります。ただし速やかな対処が重要なことに変わりはありません。

日本語で使えるサービスはある？

Mozilla Foundationが提供する「Mozilla Monitor」が完全日本語対応しています。HIBPと同じデータベースを活用しているため同様の確認が可能です。ただしより詳細なデータを確認したい場合はHIBP本体を利用する必要があります。またUSEN ICT Solutionsが提供する「アカウント流出チェッカー」はドメイン単位での確認に対応した日本語サービスで、企業での利用に適しています。

まとめ

Have I Been Pwnedとは、過去の情報漏洩で流出したメールアドレスやパスワードを無料で確認できるサービスです。入力データはサーバーに保存されず、k-Anonymity方式でパスワードも安全に確認できます。FBI・英国NCAとの公式連携実績もあり信頼性は高い一方、流出していた場合の対処は自分で行う必要があります。

「流出していた＝即乗っ取り」ではないため、パスワード変更・MFA設定・通知設定を組み合わせて早期発見と被害防止に努めましょう。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。