無料会員登録
「自分のパスワードが漏洩していないか確認したい」と感じたとき、検索して見つけた“漏洩チェッカー”へパスワードそのものを入力したくなるかもしれません。しかし、出所の分からないサイトへ認証情報を入力する行為は、確認のつもりが新たな情報流出につながる可能性があります。
安全に確認するには、まずメールアドレス単位で過去の流出履歴を確認し、ブラウザやOSに備わっているパスワード診断機能を利用する方法が基本です。Have I Been PwnedやGoogle パスワード マネージャー、Appleの「セキュリティに関する勧告」などを使えば、既知の漏洩情報や使い回し、脆弱なパスワードを確認できます。
もし漏洩が確認された場合は、警告が出たサービスだけでなく、同じパスワードや似たパスワードを使っている他サービスも見直す必要があります。パスワード変更だけで終わらせず、MFA、既存セッション、回復情報、メール転送設定まで確認することが重要です。
そこで本記事では、パスワード漏洩を安全に確認する方法、漏洩が見つかった場合の対処、使い回しパスワードの危険性、MFAやパスキーの設定、不正ログインが疑われる場合に確認すべきポイント、フォレンジック調査で被害範囲を確認する方法までを解説します。
パスワード漏洩を安全に確認する方法
パスワード漏洩を確認するときは、パスワードそのものを不明なサイトへ入力するのではなく、信頼できるサービスや端末標準の診断機能を使います。
Have I Been Pwnedでメールアドレスを確認する
Have I Been Pwnedでは、メールアドレスを入力することで、既知の情報漏えいデータに含まれているかを確認できます。
表示される内容から、どのサービス由来の漏えいか、メールアドレスやパスワード、電話番号など、どの項目が流出対象だったのかを確認できます。
「Oh no — pwned!」と表示された場合は、そのメールアドレスが既知の漏えい情報に含まれていることを意味します。
一方、「漏洩履歴なし」と表示されても、未公表の侵害や未収録の漏えいが存在しないことまで保証するものではありません。
Google パスワード マネージャーで確認する
ChromeやGoogle パスワード マネージャーでは、保存済みの認証情報について、漏洩の可能性、使い回し、脆弱性などを確認できます。
警告が出た場合は、そのパスワードを安全ではないものとして扱い、速やかに変更してください。
iPhone・iPad・Macの「セキュリティに関する勧告」を確認する
Apple端末では、保存済みパスワードについて漏洩、再利用、弱いパスワードなどの警告が表示される場合があります。
警告が出たアカウントは、公式アプリや公式サイトから直接パスワードを変更します。
Firefoxや他のパスワードマネージャーの診断機能を使う
Firefoxや各種パスワードマネージャーにも、漏洩情報や使い回しを確認する機能があります。
普段利用しているパスワード管理環境の診断機能を使う方が、出所不明の外部サイトへ認証情報を入力するより安全です。
会社用メールアドレスは社内ルールを優先する
業務用メールアドレスは、外部サービスへ入力すること自体が社内規程で制限されている場合があります。
企業アカウントについては、自分の判断だけで外部チェックサービスへ投入せず、情報システム部門やIR手順を優先してください。
パスワード漏洩が見つかった場合に最初に行うこと
漏洩が確認された場合は、重要度の高いアカウントから順に保護していきます。
メールアカウントを最優先で保護する
Gmail、Outlook、Apple Account、会社メールなどは、他サービスのパスワード再設定先として使われることが多いため、最優先で保護します。
メールアカウントが侵害されると、攻撃者が他サービスのパスワードリセットメールを受け取れる可能性があります。
漏洩したパスワードを変更する
警告が出たサービスでは、これまで使ったことのない新しいパスワードへ変更します。
パスワードマネージャーで生成した、長くランダムな固有パスワードを使う方法が有効です。
同じ・似たパスワードを使うサービスも変更する
同じパスワードを複数サービスで使っている場合は、すべて変更します。
また、「Summer2024!」から「Summer2025!」のように少しだけ変えたパスワードも推測されやすいため、完全に別の文字列へ変更してください。
MFA・パスキーを有効化する
多要素認証を有効にし、可能であれば認証アプリ、FIDO2/WebAuthnのセキュリティキー、パスキーなどを利用します。
SMS認証だけに依存しない構成にすると、認証情報が漏れた場合の被害を抑えやすくなります。
ログイン履歴・既存セッションを確認する
見覚えのない端末、IP、地域、ブラウザなどからのログインがないか確認します。
不審なセッションがある場合は、必要に応じて「すべての端末からログアウト」や全セッション失効を実行してください。
回復情報・転送設定を確認する
回復用メールアドレス、電話番号、復旧コード、MFA登録端末、メール転送設定などが勝手に変更されていないか確認します。
- メールアカウントを最優先で保護します。
- 漏洩したパスワードを変更します。
- 同じ・似たパスワードを使う他サービスも変更します。
- MFAまたはパスキーを設定します。
- ログイン履歴と既存セッションを確認します。
- 回復先・メール転送・連携アプリを確認します。
パスワード変更だけで完了とせず、攻撃者が既存セッションやOAuth連携、回復情報を残していないか確認することが重要です。
パスワード使い回しが危険な理由
パスワード漏洩で最も被害が広がりやすいのが、同じ認証情報を複数サービスで使い回しているケースです。
メールアカウントの乗っ取り
メールが侵害されると、他サービスのパスワード再設定や本人確認に悪用される可能性があります。
SNS・ECサイトへの不正ログイン
攻撃者は、他社から漏えいしたメールアドレスとパスワードの組み合わせを別サービスへ試すことがあります。
金融・決済サービスの不正利用
銀行、カード、EC、暗号資産取引所などで同じパスワードを使っていると、不正決済や送金に発展する可能性があります。
クラウド・業務SaaSへの侵入
Microsoft 365、Google Workspace、VPN、クラウド管理画面などで同じ認証情報を使っていると、業務データへ被害が広がる可能性があります。
「少しだけ変えたパスワード」も避ける
末尾の数字や年だけを変えたパスワードは、漏洩したパスワードから推測されることがあります。
サービスごとに完全に異なるパスワードを使うことが重要です。
安全な新しいパスワードの作り方
漏洩後にパスワードを変更するときは、短く覚えやすいものへ戻すのではなく、長く一意なものへ変更します。
サービスごとに固有のパスワードを使う
一つのサービスから情報が漏れても、他サービスまで侵害されないようにします。
長くランダムな文字列を使う
氏名、誕生日、電話番号、ペット名など推測しやすい情報は避けます。
パスワードマネージャーを利用する
各サービスごとに長いランダム文字列を生成し、パスワードマネージャーで保存すると管理しやすくなります。
可能ならパスキーへ移行する
対応サービスでは、パスワードよりもパスキーの利用を検討します。
フィッシング耐性を高められる認証手段として有効です。
パスワード漏洩後に確認すべき不正ログインのサイン
漏洩が見つかっただけでは、すでに不正アクセスが起きているとは限りません。一方、次のような異常がある場合は、認証情報が実際に悪用されている可能性があります。
見覚えのないログイン履歴がある
普段利用しない地域、端末、ブラウザ、IPなどからの成功ログインがないか確認します。
知らない端末・セッションが登録されている
アカウントの「ログイン中の端末」や「セッション」一覧を確認し、不明なものを失効します。
回復用メール・電話番号が変更されている
攻撃者がアカウントを維持するため、回復先を自分の情報へ変更する場合があります。
メール転送・受信ルールが追加されている
メールアカウントが侵害されると、自動転送や受信ルールを追加して継続的にメールを監視されることがあります。
OAuth連携・アプリパスワードに覚えがない
パスワード変更後も、悪意あるOAuthアプリや長期トークンが残っていればアクセスが続く可能性があります。
不審な取引・送信・設定変更がある
自分が送っていないメール、SNS投稿、購入、送金、プロフィール変更などがある場合は、実害が発生している可能性があります。
銀行・カード・ECのパスワードが漏洩した場合の対処法
対象が金融・決済サービスの場合は、認証情報だけでなく取引履歴も確認します。
送金・利用明細を確認する
銀行、証券、カード、暗号資産などで、身に覚えのない取引がないか確認します。
注文・ポイント履歴を確認する
通販サイトでは、不正注文やポイント利用が行われていないか確認します。
登録先・配送先の変更を確認する
攻撃者が配送先住所や登録電話番号を変更していないか確認してください。
不審な取引があれば事業者へ連絡する
身に覚えのない利用がある場合は、カード会社、銀行、サービス提供者へ速やかに連絡します。
画面や通知は削除せず保存する
不審なログイン通知、取引履歴、メールなどは、日時が分かる状態で保存しておくと後の調査に役立ちます。
パスワード漏洩確認で避けるべきこと
漏洩確認のつもりが、新たな情報流出につながらないよう注意が必要です。
出所不明の漏洩チェッカーへパスワードを入力する
漏洩確認をうたうサイトが、入力されたパスワードを収集する可能性もあります。
パスワードそのものを確認したい場合も、信頼できるパスワードマネージャーの機能を利用してください。
パスワードをメール・チャット・AIへ貼り付ける
現在利用中のパスワードを第三者へ共有しないでください。
検索広告経由のチェックサイトを使う
正規サービスに似せた偽サイトへ誘導される可能性があります。
漏洩通知メール内のリンクから直接ログインする
「パスワードが漏洩しました」というフィッシングメールもあります。
公式アプリやブックマーク、自分で入力した公式URLから確認してください。
パスワード変更だけで対応を終える
既存セッション、OAuth連携、回復先、メール転送などが残っている場合があります。
認証情報周辺の設定までまとめて確認することが重要です。
パスワード漏洩を防ぐための最低限の運用
パスワード漏洩は完全に防げない場合がありますが、漏洩しても被害が広がりにくい運用にできます。
サービスごとに固有パスワードを使う
一つのサービスから漏れても、他サービスまで侵害されない構成にします。
パスワードマネージャーを利用する
各サービスごとに長いランダム文字列を生成・保存します。
MFA・パスキーを設定する
メール、金融、クラウド、SNSなど重要なサービスには多要素認証を設定します。
メールアカウントを最優先で保護する
メールはパスワード再設定の起点になるため、他サービスより優先して強化します。
定期的にログイン履歴を確認する
不審なアクセスが長期間残らないよう、定期的に端末・セッション・連携アプリを確認します。
パスワード漏洩後の不正アクセスをフォレンジック調査で確認する方法
漏洩したパスワードが見つかっただけでは、実際にその認証情報が悪用されたかまでは分かりません。見覚えのないログインや設定変更がある場合は、端末や各サービスの記録を組み合わせて確認します。
不審なログイン・認証履歴
各サービスのログイン履歴、IP、端末、地域、時刻などを確認し、普段と異なるアクセスがないか調査します。
認証情報が盗まれた可能性のある端末
複数サービスで同時に不正ログインが発生している場合は、パスワード使い回しだけでなく、端末側の侵害も確認します。
フィッシング・マルウェアの痕跡
ブラウザ履歴、不審な拡張機能、実行履歴、EDRなどから、偽サイトやインフォスティーラーが関係していないか確認します。
他サービスへの被害拡大
同じメールアドレスや旧パスワードを使っていたサービスで、不正アクセスや設定変更がないか確認します。
情報・金銭被害の範囲
不正送信、ファイルアクセス、決済、送金などが発生していないかを確認します。
パスワード漏洩後の不正アクセスをフォレンジック調査会社に相談する
漏洩履歴が見つかっただけで、見覚えのないログインや実害がない場合は、まずパスワード変更、MFA設定、セッション確認を行えば対応できるケースがあります。
一方、見覚えのないログイン、メール転送、回復情報の変更、不正決済、複数サービスへの侵入などが確認されている場合は、漏洩した認証情報が実際に悪用された可能性があります。
端末を初期化したり、ログやブラウザ履歴を削除したりすると、どこから認証情報が漏れ、どの範囲まで悪用されたのかを確認する痕跡が失われる恐れがあります。被害範囲を明らかにしたい場合は、現在の状態を保全し、フォレンジック調査会社への相談を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
パスワード漏洩が心配な場合は、出所不明の「漏洩チェッカー」へパスワードそのものを入力せず、Have I Been Pwnedによるメールアドレス単位の確認や、Google パスワード マネージャー、Appleの「セキュリティに関する勧告」など、信頼できる機能を利用してください。
漏洩が見つかった場合は、メールアカウントを最優先で保護し、警告されたパスワードと同じ・似たパスワードを使うすべてのサービスを変更します。あわせてMFAやパスキーを有効化し、ログイン履歴、既存セッション、回復情報、メール転送、OAuth連携なども確認することが重要です。
また、見覚えのないログイン、不正決済、設定変更などがすでに発生している場合は、漏洩した認証情報が実際に悪用されている可能性があります。パスワード変更後も異常が続く場合は、ログや端末を消さずに保全し、必要に応じてフォレンジック調査で侵入経路と被害範囲を確認してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
