無料会員登録
「自分のメールアドレスやパスワードが過去の情報漏えいに含まれていないか確認したい」と考えたとき、よく利用されるサービスの一つがHave I Been Pwned（HIBP）です。メールアドレスを入力することで、過去に公表されたデータ侵害に含まれていたかを確認できます。
Have I Been Pwnedで「pwned」と表示されても、現在使っているパソコンやスマートフォンが直ちにハッキングされているという意味ではありません。過去の漏えいデータに該当するメールアドレスなどが含まれていたことを示すもので、その情報が現在の不正ログインに悪用されているかどうかは別途確認する必要があります。
特に注意したいのが、漏えいしたパスワードを別サービスでも使い回しているケースです。過去に流出した認証情報がパスワードリスト攻撃やアカウント乗っ取りに利用される可能性があります。
そこで本記事では、Have I Been Pwnedとは何か、メールアドレスやパスワードで確認できること、検索結果の見方、Pwned Passwordsを利用する際の注意点、漏えいが見つかった場合の対処法までを解説します。
Have I Been Pwnedとは
Have I Been Pwned（HIBP）は、自分のメールアドレスやパスワードが、過去に公表された情報漏えいデータへ含まれていないか確認できるサービスです。
メールアドレスが過去の漏えいに含まれていたか確認する
Have I Been Pwnedの公式サイトでは、メールアドレスを検索することで、過去に確認されたデータ侵害の中に該当アドレスが含まれていたかを調べられます。
「自分のメールアドレスがどこかから漏えいした可能性があるか」を確認する、初期的なチェック手段として利用できます。
どのサービスのデータ侵害に含まれていたか確認する
検索結果では、該当メールアドレスが確認されたデータ侵害について、対象となったサービスなどが表示されます。
過去に利用していたサービスが含まれている場合は、そのサービスで使用していた認証情報を現在も使い回していないか確認することが重要です。
漏えいした可能性のあるデータ種別を確認する
侵害内容によっては、メールアドレスだけでなく、氏名、電話番号、パスワードなどが漏えい対象として示される場合があります。
どの情報が含まれていたかによって、その後に必要な対策は変わります。
パスワードが既知の漏えい集合に含まれるか確認する
HIBPには「Pwned Passwords」という仕組みもあり、特定のパスワード文字列が既知の漏えい集合に含まれているかを確認できます。
ただし、パスワードそのものは重要な認証情報です。第三者が運営する不明なサイトへ入力せず、正規のHave I Been Pwnedであることを確認したうえで利用することが重要です。
「pwned」はハッキングされたという意味なのか
「pwned」は、インターネット上で「侵害された」「やられた」「乗っ取られた」といった意味で使われるスラングです。
ただし、HIBPで「pwned」と表示されたからといって、現在利用している端末までリアルタイムで侵害されていることを意味するわけではありません。
Have I Been Pwnedの検索結果の見方
HIBPでは、メールアドレスが既知のデータ侵害に含まれているかによって主に異なる結果が表示されます。
「Good news — no pwnage found!」と表示された場合
「Good news — no pwnage found!」は、HIBPが把握している漏えいデータの中では、入力したメールアドレスが確認されなかったことを意味します。
ただし、「一度も情報漏えいしていない」「アカウントが絶対に安全」という証明ではありません。未公表の侵害や、HIBPへ収録されていない漏えい情報は検索結果に反映されない可能性があります。
「Oh no — pwned!」と表示された場合
「Oh no — pwned!」と表示された場合は、少なくとも一つの既知のデータ侵害に該当メールアドレスが含まれていたことを意味します。
この結果だけで現在の端末がマルウェア感染しているとは判断できません。
重要なのは、漏えいしたサービスで当時利用していたパスワードや、同じメールアドレス・パスワードを使っている他サービスへの影響を確認することです。
検出なしでも安全とは限らない
HIBPは非常に有用な確認手段ですが、世界中のすべての情報漏えいを網羅しているわけではありません。
そのため、検出されなかった場合でも、固有パスワード、MFA、ログイン監視などの基本的なアカウント保護は継続する必要があります。
Have I Been Pwnedでメールアドレスを確認する方法
メールアドレスの漏えい状況を確認する場合は、検索広告や類似サイトではなく、HIBPの公式サイトを利用します。
公式ドメインを確認する
利用する際は、Have I Been Pwnedの正規ドメインであることを確認してください。
漏えい確認サービスを装って、メールアドレスやパスワードを収集するフィッシングサイトへ誘導される可能性もあるため注意が必要です。
メールアドレスを検索する
公式サイトの検索欄へ確認したいメールアドレスを入力し、既知の漏えいデータに含まれているか確認します。
該当した漏えい内容を確認する
ヒットした場合は、どのデータ侵害に含まれていたか、どの種類の情報が漏えい対象だったかを確認します。
特に「Passwords」が含まれている場合は、当時使用していた認証情報の見直しを優先します。
現在の利用状況と照合する
過去に漏えいしたパスワードを現在も使用していないか、似たパスワードへ変更して使っていないかを確認します。
漏えい情報が古くても、現在のサービスで同じ認証情報を利用していれば、不正ログインに悪用される可能性があります。
Pwned Passwordsでパスワードを確認するときの注意点
Pwned Passwordsは、パスワード自体が既知の漏えい集合に含まれているかを確認する仕組みですが、利用方法には注意が必要です。
非公式サイトへパスワードを入力しない
「このパスワードが漏えいしているか調べます」と案内する不明なWebサイトへ、現在使用中のパスワードを入力することは避けてください。
確認サービスそのものが認証情報を収集している可能性があります。
業務用・高権限パスワードをむやみに入力しない
管理者アカウントや業務システムなど、重要な認証情報については特に慎重に扱う必要があります。
企業では、組織のセキュリティポリシーやパスワード管理システムに従って確認してください。
ヒットしたパスワードは利用をやめる
既知の漏えい集合に含まれるパスワードは、攻撃者が保有する辞書やリストに含まれている可能性があります。
現在使っている場合は、サービスごとに異なる固有パスワードへ変更してください。
Have I Been Pwnedで「pwned」と表示された場合の対処法
漏えいが確認された場合は、過去の漏えい情報そのものを消すことはできません。重要なのは、その情報が現在の不正アクセスに悪用されない状態へ変更することです。
該当サービスのパスワードを変更する
現在も該当サービスを利用している場合は、新しいパスワードへ変更します。
過去に利用したものではなく、長くランダムな固有パスワードを利用してください。
使い回しているサービスも変更する
同じパスワードを他のサービスで利用している場合は、それらも変更します。
末尾の数字だけを変えた派生パスワードなども、攻撃者に推測される可能性があるため見直してください。
MFA・パスキーを有効化する
対応しているサービスでは、多要素認証やパスキーを設定します。
特にメールアカウントは、他サービスのパスワードリセット先として利用されるため優先的に保護することが重要です。
ログイン履歴・セッションを確認する
見覚えのない端末、地域、IPアドレスなどからログインされていないか確認します。
不審なセッションがある場合は、全端末からのログアウトやセッション失効を行います。
メール・回復情報・連携アプリを確認する
メールの自動転送、回復用メールアドレス、電話番号、OAuth連携アプリ、APIトークンなどに見覚えのない変更がないか確認します。
- 該当したデータ侵害と漏えい情報の種類を確認します。
- 現在も利用しているパスワードなら変更します。
- 同じ・似たパスワードを利用しているサービスも変更します。
- MFAやパスキーを有効化します。
- ログイン履歴と既存セッションを確認します。
- メール・回復情報・連携アプリを確認します。
HIBPで漏えいを確認しただけなら、必ずしも現在被害が出ているとは限りません。しかし、身に覚えのないログインや設定変更がある場合は、すでに認証情報が悪用された可能性を考慮する必要があります。
Have I Been Pwnedで漏えいが見つかった後に注意したい被害
漏えいしたメールアドレスやパスワードは、時間が経過した後でも攻撃に利用されることがあります。
パスワードリスト攻撃
過去に流出したメールアドレスとパスワードの組み合わせを、別のWebサービスへ大量に試す攻撃です。
パスワードを使い回していると、一つのサービスの漏えいから複数アカウントが乗っ取られる可能性があります。
メールアカウントの乗っ取り
メールが乗っ取られると、他サービスから届くパスワード再設定メールや認証通知を攻撃者に取得される可能性があります。
精巧なフィッシングメール
漏えいした氏名、メールアドレス、電話番号などを組み合わせ、本物らしいフィッシングメールやSMSが送られる場合があります。
他サービスへの不正ログイン
通販、SNS、クラウド、金融関連サービスなどへ同じ認証情報を使っている場合、不正アクセスが連鎖する可能性があります。
HIBPは被害を確定するサービスではない
Have I Been Pwnedは、過去の情報漏えいを確認するための早期警戒・棚卸しツールです。
「pwned」と表示されたことと、現在実際に第三者がアカウントへログインしたことは別です。実害の有無は各サービスのログや端末の痕跡から確認する必要があります。
不正ログインが疑われる場合に確認すること
HIBPで漏えいが確認され、さらに身に覚えのないログインや設定変更がある場合は、現在進行中のアカウント侵害を疑って対応します。
見覚えのないログイン通知がある
自分が利用していない地域や端末からログインされている場合は、第三者が認証情報を利用した可能性があります。
パスワード変更通知が届く
自分で操作していないパスワードリセットや変更通知が届いた場合は、アカウントの取得を試みられている可能性があります。
メール転送や回復情報が変更されている
攻撃者が侵害後もアクセスを維持するために、自動転送や回復先を変更することがあります。
知らない端末・連携アプリがある
見覚えのないログイン端末やOAuthアプリなどが登録されている場合も、アカウント侵害を疑う材料になります。
漏えいした認証情報による不正アクセスをフォレンジック調査で確認する方法
Have I Been Pwnedで過去の情報漏えいが確認されても、その情報だけでは現在の不正アクセスの有無や被害範囲までは分かりません。
不審なログイン・認証の痕跡
対象サービスのログイン履歴や各種監査ログを確認し、通常とは異なる端末、地域、時刻などからアクセスされていないかを整理します。
フィッシングサイトへのアクセス履歴
ブラウザや端末の記録から、認証情報を入力した可能性のある偽サイトへのアクセスを確認できる場合があります。
端末から認証情報が盗まれた可能性
過去のデータ漏えいではなく、現在の端末に不審なアプリやマルウェアが存在し、認証情報が盗まれた可能性がないか確認します。
他サービスへの被害拡大
同じメールアドレスや使い回しパスワードを利用していたサービスについて、不正ログインや設定変更が発生していないか確認します。
認証情報漏えい・不正アクセスをフォレンジック調査会社に相談する
HIBPで「pwned」と表示されたことだけであれば、必ずしもフォレンジック調査が必要とは限りません。まずはパスワード変更やMFAなど、認証情報の保護を優先してください。
一方、身に覚えのないログイン、メール転送設定の追加、アカウント情報変更、金融サービスの不審利用などが確認されている場合は、単なる「過去の漏えい」ではなく、現在の不正アクセスへ発展している可能性があります。
端末を初期化したり履歴を削除したりすると、侵入経路や被害範囲を確認する痕跡が失われる恐れがあります。実際の不正利用が疑われる場合は、ログや端末の状態を保全したうえでフォレンジック調査会社への相談を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
Have I Been Pwnedは、自分のメールアドレスやパスワードが過去の既知の情報漏えいに含まれていないかを確認するためのサービスです。「pwned」と表示されても、現在の端末がハッキングされていることを直接意味するわけではありません。
漏えいが見つかった場合は、対象サービスと使い回し先のパスワードを変更し、MFAやパスキーを設定してください。あわせて、ログイン履歴、メール転送、回復情報、連携アプリなども確認することが重要です。
また、HIBPで漏えいが確認されたうえに、見覚えのないログインや設定変更が実際に発生している場合は、すでに認証情報が悪用されている可能性があります。パスワード変更だけで原因が分からない場合は、端末やサービス側のログを保全し、必要に応じてフォレンジック調査で侵入経路と被害範囲を確認してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
