自分のデータは漏えいした?確認方法とデータ侵害後の対処法

自分のデータは漏えいした?確認するにはどうすればよいですか?

データ侵害とは、Have I Been Pwned(HIBP)の説明では、アクセス制御の不備やソフトウェアのセキュリティ上の弱点などにより、脆弱なシステムでデータが意図せず露出するインシデントです^[2]。HIBPは侵害情報を集約し、個人データがどこで露出したかを確認できるようにしています^[2]。データが漏えいしたかを最も手早く確認するには、ここでメールアドレスを検索します。

2026年11月3日時点で、HIBPのホームページには侵害されたウェブサイトが1,048件、侵害されたアドレスが17,846,896,404件登録されています^[1]。公開検索では、一度に1つのメールアドレスまたはユーザー名の結果のみが返されます^[2]。ドメイン全体の検索は別機能で、そのドメインにアクセスする権限があることの確認が必要です^[2]。

自分の結果に侵害が表示されないことがあるのはなぜですか?

HIBPは一部の侵害を「機密性が高い」ものとして扱います。確認済みのメールアドレスの所有者だけが、ダッシュボードにサインインし、そのアドレスでメールを受信できると確認することで閲覧できます^[2]。HIBPには、Ashley Madison や Adult FriendFinder(2015年と2016年)を含む90件の機密性の高い侵害が登録されています^[2]。そのため、通常の検索では、あなたのアドレスに関わる可能性のあるすべての侵害が表示されるわけではありません。

該当なしなら、データは安全ですか?

いいえ。HIBPは、検索は大半の侵害を対象とし、機密性の高いものはサインインが必要だと述べています^[2]。本ガイドの推論では、サービスに取り込まれていない侵害はそもそも表示されません。パスワードについては、「no pwnage found」という結果は必ずしも良いパスワードであることを意味せず、単にサイトに登録されていないだけだとHIBPは述べています^[4]。該当なしの結果は判断材料の1つと考え、固有のパスワードや多要素認証といった基本的な対策は常に続けてください。

Have I Been Pwned は安全で信頼できますか?

HIBPの設計は、保持する情報を限定しています。侵害で流出したメールアドレスを取り込む際、パスワードは一緒に取り込まれません。別サービスの Pwned Passwords が、1つのパスワードを既知の侵害と照合します^[2]。HIBPは、パスワードを個人を特定できるデータと並べて保存することはなく、すべてのパスワードを SHA-1 でハッシュ化していると述べています^[2]。公開検索は一度に1つのアドレスに限られます^[2]。

HIBP自身は何について注意を促していますか?

HIBPは、検索されたメールアドレスを収集していないとは利用者が確証を持てないことを認め、収集していないと明言したうえで、意図や安全性が気になる人は使わないよう述べています^[2]。この率直な注意書きを、無料のリスク評価サービスという同サービス自身が示す目的と照らして判断してください^[2]。

このガイドが扱っていないことは何ですか?

本ガイドは、HIBPの資金提供者や運営者、第三者による監査の有無については説明していません。サイト自身の About ページを読み、納得できるかを判断してください。納得できない場合でも、後の節で紹介する対策は検索サービスなしで機能します。固有のパスワード、多要素認証、そして米国居住者ならクレジットフリーズです。

「pwned」とは何を意味し、結果はどう読めばよいですか?

「Pwned」はビデオゲーム文化で「owned」のリートスピーク風の変形として生まれた語で、誰かに支配された、または侵害されたことを意味します^[2]。ただしHIBPでの登録は、どこかであなたのデータが露出したことを意味します。本ガイドの解釈では、誰かがあなたのアカウントにログインした証拠ではありません。

侵害のラベルは何を意味しますか?

• 機密性が高い(Sensitive):公開検索には表示されず、確認済みのアドレス所有者だけが閲覧できます^[2]。
• 未検証(Unverified):データは本物ですが、出所が合理的な疑いを超えて証明されてはいません^[2]。
• 捏造(Fabricated):名前の挙がったサイトに由来する可能性は低いものの、実在するメールアドレスが含まれています^[2]。
• 退役(Retired):恒久的に削除されたものです。HIBPには Ticketek と VTech の2件の退役済み侵害があり、侵害は通常、データが他所で取引や再配布されていない場合に退役されます^[2]。

HIBPは、未検証や捏造の侵害にも実在する個人情報が含まれるため、引き続き掲載しています^[2]。したがって、登録は特定の企業が攻撃された証拠にはなりません。HIBPは、捏造されたデータでも売買される可能性があると述べています^[2]。

自分のパスワードが漏えいしたかどうかは、どう確認しますか?

Pwned Passwords は、1つのパスワードを既知の侵害と照合するHIBPの別サービスです^[2]。k-匿名性を用いており、パスワードは端末上でハッシュ化され、SHA-1 ハッシュの先頭5文字だけがAPIに送られ、返されたサフィックスとの照合は手元で行われます^[4]。HIBPは、このサービスが月に180億件を超えるリクエストを処理していると述べています^[4]。

アカウントが別でも、漏えいしたパスワードが問題になるのはなぜですか?

攻撃者は、露出したメールアドレスとパスワードの組み合わせを使って、被害者の他のアカウントへのアクセスを試みます。この手法はクレデンシャルスタッフィングと呼ばれます^[4]。そのため、侵害にパスワードが関わっていた場合、FTCは似たパスワードを使うすべてのアカウントで変更するよう助言しています^[3]。HIBPは、NISTのガイドラインが、過去に侵害されたデータセットとパスワードを照合することを推奨しているとも述べています^[4]。

結果はどう活用すればよいですか?

1. 現在使っている、または過去に使ったパスワードを、Pwned Passwords のページで確認します。
2. 見つかった場合は、すべての場所で使うのをやめ、アカウントごとに固有のパスワードへ置き換えてください。FTCはパスワードマネージャーの利用を検討するよう提案しています^[3]。
3. 見つからなくても、それを安全の保証と受け取らないでください。「no pwnage found」は必ずしも良いパスワードであることを意味せず、単にサイトに登録されていないだけです^[4]。

データ侵害の後、まず何をすべきですか?

適切な手順は、何が露出したかによって異なります。自分の状況に当てはまる項目から進めてください。

1. パスワードを変更する。侵害にパスワードが関わっていた場合は、該当企業と、似たパスワードを使うすべてのアカウントで、ただちに変更します。パスワードマネージャーの利用を検討し、多要素認証(MFA)を有効にしてください。MFAは、パスワードが露出してもアカウントを守れる場合があります^[3]。
2. オンラインアカウントが露出した場合。ログインしてパスワードを変更し、可能ならユーザー名も変更します。ログインできない場合は、企業に連絡してアカウントの復旧または閉鎖を依頼します。パスワードを使い回した他のすべての場所でも変更してください^[7]。
3. 社会保障番号が露出した場合(米国)。企業が無料のクレジットモニタリングを提供するなら受け入れ、無料の信用情報レポートを取得して身に覚えのない口座がないか確認し、クレジットフリーズまたは不正警告を検討します^[8]。FTCのデータ侵害ガイドは、無料レポートの入手先として annualcreditreport.com を挙げ、フリーズを見送る場合でも少なくとも不正警告を検討するよう述べ、早めの確定申告を勧めています^[7]。
4. 公式ツールを使う。FTCの IdentityTheft.gov/databreach は、露出した情報の種類に応じた手順を示します^[7]。
5. データが悪用された場合。IdentityTheft.gov で報告してください^[8]。個別の回復プランが提示されます^[5]。

これらのサービスには、侵害を知らせる予期しないメッセージのリンクをたどらず、自分でアドレスを入力してアクセスしてください。

侵害後、クレジットフリーズや不正警告を設定すべきですか?

この節は米国の制度について説明しています。2018年9月21日以降、米国の連邦法により、消費者はクレジットフリーズを無料で設定でき、従来手数料を取っていた州でも無料になりました^[5]。FTCも、フリーズの設定と解除は無料だとしています^[9]。米国以外の読者は、自国の信用情報や個人情報保護の制度を確認してください。本ガイドでは扱っていません。

クレジットフリーズとは何ですか?

クレジットフリーズは解除するまで続き、クレジットスコアには影響しません^[9]。有効な間は、自分自身を含め誰も新たな与信を開設できません。与信の申請、就職、賃貸、保険の際には、一時的に解除できます^[9]。FTCは、フリーズが就職、賃貸、保険加入の申請に影響しないと述べ^[10]、自分名義で新規口座が開設されるのを防ぐ最善の方法だとしています^[10]。全国規模の3つの信用情報機関(Equifax、Experian、TransUnion)すべてに請求する必要があります。オンラインまたは電話で依頼すれば、機関は1営業日以内にフリーズを設定し、解除は1時間以内に行わなければなりません^[5]。親は16歳未満の子どもの信用情報も無料でフリーズできます^[5]。

不正警告とは何ですか?

不正警告は1つの機関に請求するだけで、その機関が残る2つに通知します^[5]。2018年の法律により、警告の期間は90日から1年に延長されました^[5]。標準の警告は1年間有効で、無料で更新できます。身元詐称の被害者向けの延長警告は7年間有効です^[10][9]。信用情報レポートへのアクセスは制限されません^[10]。

どちらを選ぶべきですか?

FTCのデータ侵害ガイドは、フリーズを見送る場合でも少なくとも不正警告を検討するよう述べています^[7]。助言の方向は一致しています。フリーズのほうが保護は手厚く、不正警告は軽めの代替策です。自国に同等の制度がない場合でも、パスワードと MFA の手順は引き続き有効です。

メールアドレスが乗っ取られたのか、漏えいしただけなのか、どう見分けますか?

漏えいとアカウントの乗っ取りは別の出来事です。漏えいとは、第三者が脆弱なシステムでデータを露出させたことを指します^[2]。乗っ取りとは、誰かがあなたになりすましてログインすることです。本ガイドの解釈では、侵害チェッカーが答えるのは前者であって後者ではありません。登録は露出を示すものであり、他人によるログインを示すものではないからです。

漏えいはどのように乗っ取りにつながりますか?

主な原因はパスワードの使い回しです。攻撃者は露出したメールアドレスとパスワードの組み合わせで、被害者の他のアカウントへのアクセスを試みます^[4]。パスワードを使い回していた場合は、使ったすべての場所で変更してください^[7]。FTCは、MFAがパスワードの露出後でもアカウントを守れる場合があると述べています^[3]。

ログインできなくなった場合は?

企業に連絡してアカウントの復旧または閉鎖を依頼してください^[7]。乗っ取りの兆候はサービスごとに異なるため、本ガイドでは列挙しません。各サービスのアカウント活動やセキュリティのページを確認してください。データが悪用された場合は IdentityTheft.gov で報告すると^[8]、個別の回復プランが提示されます^[5]。

侵害が起きたとき誰が費用を負担し、コストの数字は何を意味しますか?

侵害コストの見出しが示すのは、インシデントが組織に与える負担であり、あなた個人の負担ではありません。

IBMの2026年版 Cost of a Data Breach Report では、侵害1件あたりの世界平均コストは499万ドルです。これは、2025年3月から2026年2月の間に602の組織で起きた侵害に基づく調査で、Ponemon Institute が実施し、IBMが後援・分析したものです^[6]。同じリリースは、悪意ある侵害の4件に1件がAIを利用したものだったと述べています^[6]。

2025年版では、世界平均コストは488万ドルから9%減の444万ドルとなり^[12]、5年ぶりの減少でした^[11][12]。一方、米国の侵害の平均コストは過去最高の1,022万ドルに達しました^[11]。

これらの数字はどう読めばよいですか?

これらは個々の被害者ではなく、組織を対象とした Ponemon Institute の調査です^[6]。各年版は標本が異なるため、444万ドルから499万ドルへの変化は、正確な傾向ではなく背景情報として扱ってください。どの数字も、あなた個人が見込むべき損失ではありません。個人にとっての現実的な対応は、前の各節で示した手順です。

侵害チェックサービスの利点と限界は何ですか?

利点

• 2026年11月3日時点で登録されている1,048のウェブサイトの中で、自分のアドレスがどこで露出したかを、無料で素早く知れます^[1]。
• パスワードはメールアドレスとは別に扱われます。一緒に取り込まれることはなく、個人を特定できるデータと並べて保存されることもありません^[2]。
• 機密性の高い侵害は、確認済みのアドレス所有者にだけ表示されます^[2]。
• パスワードの確認では、SHA-1 ハッシュの先頭5文字しか送信されません^[4]。

欠点

• HIBPは、検索は大半の侵害を対象とし、機密性の高いものはサインインによる確認が必要だと述べています^[2]。
• 一部の登録は未検証または捏造であるため、該当したからといって特定の企業が攻撃されたとは限りません^[2]。
• HIBPは、検索されたアドレスを収集していないとは確証を持てないと認めていますが、収集していないと明言しています^[2]。
• パスワードが「見つからない」という結果は、必ずしもそのパスワードが良いことを意味しません^[4]。

チェッカーは、どのパスワードから変更すべきかを判断するのに役立ちます。本ガイドの見方では、固有のパスワードや MFA といった習慣の代わりにはなりません。FTCは MFA の有効化を勧め、パスワードマネージャーの利用を検討するよう提案しています^[3]。

今後はどうなり、まだ分かっていないことは何ですか?

ホームページの数値はリアルタイムで変わります。2026年11月3日に表示された1,048のウェブサイトにわたる17,846,896,404件のアドレスは、後で見る数字とは一致しません^[1]。コスト面では、IBMの平均は488万ドル^[12]から、2025年版の444万ドル^[11][12]、そして2026年の499万ドルへと推移しました^[6]。2026年の調査では、悪意ある侵害の4件に1件がAIを利用したものでした^[6]。これらの数字から、AIを利用した攻撃が今後もコストを押し上げ続けるかどうかは判断できません。

このガイドでは分からないこと

• 漏えいした認証情報が、どのくらいの頻度でアカウント乗っ取りにつながるか。出典付きの数値は示されていません。
• 米国以外の制度。他国の侵害通知の権利や信用情報の保護は扱っていません。
• イランからのアクセス。侵害チェッカー、パスワードマネージャー、MFA アプリにイランから接続または支払いができるかについて、信頼できる情報源がなかったため、主張は行いません。同地域の読者もパスワードと MFA の手順は実践できますが、信用情報機関の手順は米国の信用情報ファイルにのみ適用されます。

HIBPの合計値は変化するため、新たな侵害のニュースを聞いたら再検索するのは、手間のかからない良い習慣です。