朝、メールを開くと、しばらく使っていなかったサービスから「不正アクセスによる情報流出のお知らせ」が届いている。対象はメールアドレスとパスワード、場合によっては氏名や電話番号。読み進めるうちに、そのパスワードをほかのどこで使ったかを思い出そうとして、少し血の気が引く。たいていの人は、ここで手当たり次第にパスワードを変え始めると思う。
気持ちはよく分かるけれど、慌てて全部を変えようとすると、変えた先のメモが散らばったり、肝心のメールアカウントを後回しにしたり、途中で疲れて残りを放置したりしがちだ。流出への対応は、勢いよりも順番のほうが効く。まず、自分のどの情報がどこで漏れているのかを確かめる。次に、被害が広がりやすいアカウントから順に変える。最後に、パスワードが漏れても入られない仕組みを足す。
この記事では、その最初の一歩に使える「Have I Been Pwned」というサービスの読み方と、そこから先の順番を、手を動かす順に並べていく。
流出の範囲は、Have I Been Pwnedのメールアドレス検索で確かめる
Have I Been Pwned(略してHIBP)は、オーストラリアのセキュリティ研究者Troy Huntが2013年12月に始めた、流出データの照会サービスだ。きっかけは同じ年に起きたAdobeの大規模な流出で、公開当初はAdobeを含む5件の流出データから始まった。いまでは千件を超える流出が登録され、延べ150億件を超えるアカウントが調べられるようになっている。個人が使う範囲の機能は、すべて無料だ。
使い方は単純で、トップページの入力欄に自分のメールアドレスを入れて調べるだけでよい。登録されている流出の中にそのアドレスがあれば、どのサービスで、いつ漏れたのかが新しい順に並ぶ。それぞれの流出には、漏れた項目の種類も書かれている。メールアドレスだけなのか、パスワードまで含まれるのか、電話番号や住所、生年月日まであるのか。ここがいちばん大事なところで、メールアドレスだけの流出と、パスワードまで漏れた流出とでは、このあとやることの重さがまったく違う。
一覧を見るときに知っておきたい点がいくつかある。まず、出会い系や医療系のように、登録していた事実だけで本人が困るようなサービスの流出は「センシティブ」として扱われ、誰でも見られる検索結果には出ない。自分のアドレスの持ち主であることを確かめたうえで初めて表示される。次に、流出は企業のサーバーから盗まれたものだけではない。パソコンに入り込んだ情報窃取型のマルウェアが、ブラウザーに保存されたIDとパスワードを、入力先のサイトと一緒に抜き取った記録(スティーラーログ)も登録されている。これに名前が出ている場合は、どこかのサービスではなく、自分の端末そのものが感染していた可能性を考えたほうがいい。
もう一つ、届いたお知らせの対象サービスがHIBPの一覧に無いこともよくある。登録されるのは、流出データが実際に出回り、確かめられたものだけだからだ。一覧に無いからといって安心せず、お知らせに書かれた項目を自分の流出の範囲として扱う。そのうえで、一覧に出てきたほかの流出も合わせて、パスワードを変えるべき先の候補に書き出しておく。
検索の画面からは、無料の通知サービスにも登録できる。メールアドレスを登録しておくと、今後そのアドレスを含む流出が見つかったときに知らせが届く。自分のドメインでメールを運用している人なら、ドメインの持ち主であることを確かめれば、そのドメインのアドレスをまとめて調べることもできる。
パスワードそのものが出回っているかは、Pwned Passwordsで調べる
メールアドレスの検索とは別に、HIBPには「Pwned Passwords」という、パスワードそのものを調べる機能がある。これまでの流出で出回ったパスワードを集めたもので、ここに見つかったパスワードは、誰のものであれ、攻撃者が総当たりに使う一覧にすでに載っていると考えてよい。2021年からは、アメリカの連邦捜査局(FBI)が捜査の過程で見つけた、犯罪に使われていたパスワードも提供されるようになり、登録数はいまも増え続けている。
パスワードを他人のサイトに打ち込むこと自体に抵抗があるのは当然だと思う。この機能は、そこをうまく避ける作りになっている。入力したパスワードは、まず自分の端末の中でSHA-1という方式で40文字の英数字(ハッシュ値)に変換される。HIBPに送られるのは、そのうち先頭の5文字だけだ。サーバーは、先頭5文字が同じハッシュ値の残りの部分を数百件まとめて返し、どれが一致するかの照合は手元の端末で行う。サーバー側には、どのパスワードを調べたのかが分からない。この仕組みは、Cloudflareにいた写真のJunade Aliとともに作られ、いまも同社の配信網に乗って動いている。
とはいえ、ウェブページの入力欄に大事なパスワードを打つのは、気分のいいものではない。普段使いには、パスワードマネージャーに組み込まれた照会のほうが向いていると思う。1Passwordの「Watchtower」やBitwardenの報告機能は、保存しているパスワードを同じ仕組みでまとめて照会し、出回っているもの、使い回しているもの、弱いものに印を付けてくれる。Firefoxの「Mozilla Monitor」もHIBPのデータを使っている。Chromeにも、保存したパスワードの流出を調べる「パスワード チェックアップ」が組み込まれている。
結果の読み方は単純だ。見つかったパスワードは、使っている場所すべてで変える。見つからなかったからといって安全とは限らないが、少なくとも出回っている一覧には載っていない、という意味になる。
変える順番は、メール、お金、使い回した先
範囲が分かったら、いよいよパスワードを変える。私がいちばん勧めたいのは、流出したサービスより先に、メールアカウントを変えることだ。ほとんどのサービスは、パスワードを忘れたときの再設定用リンクをメールで送ってくる。メールアカウントに入られてしまえば、攻撃者はほかのサービスのパスワードを好きなように再設定できる。逆に言えば、メールさえ守れていれば、ほかのアカウントを取り返す道は残る。流出したパスワードをメールでも使っていたなら、ここが最優先だ。
次に、お金に直結するアカウントを変える。銀行やクレジットカード、証券口座、ネット通販、スマートフォンの決済アプリ、そしてスマートフォン本体の契約やAppleやGoogleのアカウントのように、支払い手段が登録されているものだ。そのあとで、流出したサービス自体のパスワードを変える。流出の知らせが届くころには、そのサービス側でパスワードの再設定を求められていることも多い。
残るのは、同じパスワードを使い回していた先だ。流出したIDとパスワードの組み合わせは、ほかのサイトでも順番に試される。これは「パスワードリスト攻撃」と呼ばれ、使い回しが一つでも残っていれば、そこから入られる。思い出せる範囲で書き出し、仕事のアカウント、SNS、ショッピングサイト、その他の順に変えていく。もう使っていないサービスは、パスワードを変えるより退会してしまったほうが早い。
新しいパスワードは、覚えやすさより長さを優先する。アメリカ国立標準技術研究所(NIST)が2025年に改訂したパスワードの指針では、パスワードだけでログインさせる場合は15文字以上、2段階認証と組み合わせる場合でも8文字以上を求めている。記号を必ず混ぜるような決まりは求めず、代わりに流出したパスワードの一覧と照合して、載っているものは使わせないことを求めている。同じ指針は、漏れた証拠がないのに定期的な変更を強いることもやめるよう求めている。変えるのは、漏れたと分かったときでよい。
こうして考えると、長くて使い回しの無いパスワードを人間の記憶だけで管理するのは現実的ではない。今回の作業を機にパスワードマネージャーへ移しておくと、次に流出の知らせが届いたときの作業がずっと短くなる。
2段階認証とパスキーを足して、パスワードが漏れても入られないようにする
パスワードを変え終えたら、同じ順番で2段階認証を足していく。メール、お金のアカウント、仕事のアカウントの順だ。2段階認証を設定しておけば、パスワードが漏れていても、それだけではログインできない。流出のたびに慌てる回数そのものが減る。
確認の方法にはいくつか種類がある。SMSで届く6桁のコードは手軽だが、電話番号を乗っ取られると破られる。それより安全なのが、Google AuthenticatorやMicrosoft Authenticatorのような認証アプリだ。設定画面に出るQRコードをアプリで読み取ると、30秒ごとに変わる6桁のコードが表示されるようになる。写真の画面のように、設定の途中で復旧用のコードが表示されることが多い。スマートフォンをなくしたときにログインするための大事な控えなので、必ず印刷するか、パスワードマネージャーに保存しておく。
さらに一歩進めるなら、パスキーがある。パスキーはパスワードの代わりに端末の中の鍵でログインする仕組みで、本物のサイトでしか使えないため、偽のログイン画面にだまされて入力してしまう心配がない。そもそも漏れるパスワードが存在しないので、今回のような流出とは無縁になる。英国の国家サイバーセキュリティセンターも、使えるところではパスキーを、使えないところでは2段階認証を勧めている。対応しているサイトでは、パスワードを変えるついでにパスキーも登録しておくと、次からのログインも指紋や顔の認証だけで済んで楽になる。
変えたあとに残る、ログイン中の端末と、流出を装ったメール
パスワードを変えても、すでにログインしている端末からはそのまま使えてしまうサービスがある。攻撃者がすでに入り込んでいた場合、パスワードを変えただけでは追い出せない。主要なサービスには、ログイン中の端末の一覧や、すべての端末からログアウトする設定がある。見覚えのない端末や場所があれば外し、ほかのアプリに与えている連携の許可も見直しておく。メールアカウントなら、知らない転送設定やフィルターが足されていないかも確かめたい。届いたメールを黙って外へ転送する設定は、見落とされやすい。
もう一つ気をつけたいのが、流出したデータを使ったフィッシングだ。本物のサービス名や自分の氏名、過去の注文内容が書かれたメールが届くと、つい信じてしまう。「流出の補償手続き」や「パスワードの再設定」を名目にリンクを踏ませる手口は多い。パスワードの変更は、メールのリンクからではなく、自分でブックマークした公式サイトやアプリから行うと決めておくと迷わない。クレジットカードの番号まで漏れていた場合は、カード会社に連絡して利用明細を見てもらい、必要なら番号を替えてもらう。
最後に、スティーラーログに自分の名前が出ていた場合は、パスワードを変える前に端末を調べたい。感染したままの端末で新しいパスワードを入力すると、それもまた抜き取られてしまう。セキュリティソフトで端末全体を調べ、怪しければ別の端末からパスワードを変えるほうが確実だ。
流出に気づいてからの順番
ここまでの流れを、手を動かす順に並べておく。
| 順番 | やること | 目安 |
|---|---|---|
| 1 | HIBPでメールアドレスを調べる | 漏れた項目にパスワードがあるかを見る。お知らせの対象サービスも範囲に含める |
| 2 | Pwned Passwordsで照会する | パスワードマネージャーの照会機能でまとめて調べると楽 |
| 3 | メールアカウントのパスワードを変える | ほかのアカウントの再設定の起点になるので最優先 |
| 4 | お金のアカウントを変える | 銀行・カード・証券・通販・決済アプリ・AppleやGoogleのアカウント |
| 5 | 流出したサービスと、使い回した先を変える | 使っていないサービスは退会する |
| 6 | 2段階認証とパスキーを足す | SMSより認証アプリ。復旧用コードは必ず控える |
| 7 | ログイン中の端末と連携を見直す | メールの転送設定とフィルターも確かめる |
| 8 | 通知サービスに登録する | 次の流出に早く気づける |
流出の知らせは、届いた瞬間がいちばん不安で、手を動かし始めると少しずつ落ち着いてくる。最初の10分でHIBPを調べ、メールのパスワードを変えるところまで進めば、最悪の事態はひとまず避けられる。残りは、その日のうちに一つずつ片付けていけばいい。全部終わったころには、パスワードマネージャーと2段階認証に守られた、前より少し頑丈なアカウントが手元に残っているはずだ。