「Have I Been Pwned」を使ってパスワードが漏洩しているかチェックする方法を解説

2023年3月27日2023年4月13日

1. パスワードは簡単に漏洩する
2. 漏洩しているパスワードをチェックできる「Have I Been Pwned」とは
3. パスワードを定期的にチェックしよう
4. 参考

パスワードは簡単に漏洩する

SNSやWebサービスなどではIDとパスワードによる認証を必要とすることがあります。中でも規模が大きなSNSやWebサービスは、毎日のようにサイバー攻撃を受けており、ユーザーのIDとパスワードが漏洩してしまうケースも少なくありません。つまり、自分がいくら気を付けてIDとパスワードを管理していたとしても、漏洩してしまっては意味がないのです。

「ユーザーには自衛できる手段がないのか」と不安に思うかもしれません。実は漏洩したIDとパスワードをデータベースとして管理して、自由に検索できるWebサイトがあります。それが「Have I Been Pwned」というWebサイトです。

このサイトでパスワードが漏洩しているかどうかを確認し、もし漏洩が確認できたら速やかにパスワードを変更するなどの対策が取れます。

漏洩しているパスワードをチェックできる「Have I Been Pwned」とは

「Have I Been Pwned」について

「Have I Been Pwned」ではSNSや企業のWebサイトなどから漏洩したIDとパスワードのデータベースを構築しており、ユーザーは使用しているパスワードが漏洩しているかどうか、自由に検索できるようになっています。

さまざまな機能をもつHave I Been Pwnedですが、このサイトでチェックしたいことは以下の２つです。

メールアドレスを入力して、それに紐づいているパスワードが漏洩しているかどうか
パスワードを入力して、そのパスワードが漏洩しているかどうか

まずはこの２つの機能を使って、自分が使用しているパスワードが漏洩しているか確認してみましょう。

Have I Been Pwned: Check if your email has been compromised in a data breach

Have I Been Pwned allows you to search across multiple data breaches to see if your email addres ...

https://haveibeenpwned.com/

「Have I Been Pwned」は信頼できるサービス？

「Have I Been Pwned」はパスワードのデータベースというセンシティブなデータを取り扱っているため、ユーザーからすると信頼できるサービスであるかどうか気になります。

「Have I Been Pwned」を運営しているのは、オーストラリアのセキュリティ専門家であるTroy Hunt氏です。セキュリティの専門家として信頼できる方ですが、個人が運営しているWebサイトであることに若干不安を感じる方もいるでしょう。

この点についてMalwarebytes LABSというサイトが「"Have I been pwnd?"– What is it and what to do when you *are* pwned」という記事を公開しています。このWebページでは「Have I Been Pwned」の安全性について、以下のように解説しています。

「Have I Been Pwned」では明示的なログの保存は行っていない
イギリスやオーストラリア、ルーマニアなどの政府と協力して政府ドメインの侵害を監視している
「Have I Been Pwned」で得られるデータはメールアドレス、ユーザー名、侵害されたWebサイトのリストのみであり、Windows Azure上に保存されている
最大限の透明性をもってサービスを運営している

上記のようにTroy Hunt氏は「Have I Been Pwned」を安全かつ信頼性の高いWebサイトとして運営しています。Webサイトの運営に協力している政府もあるくらいですが、やはりサービスを利用するかどうかの判断は自己責任となります。

メールアドレスを入力してチェック

「Have I Been Pwned」の具体的な使い方を解説します。まずは自分のメールアドレスを入力して、それに紐づいているWebサービスの中からパスワードが漏洩しているもののリストを表示させましょう。

ページを表示させて「email or phone（international format）」の部分にメールアドレスを入力して「pwned?」ボタンをクリックします。

もしメールアドレスに紐づいているパスワードが漏洩しているWebサイトがあると、上記のように「Oh no — pwned!」というメッセージが表示されます。ページを下にスクロールさせると、パスワードが漏洩しているWebサイトのリストが表示されます。

このリストに表示されているWebサイトでは、過去にパスワード漏洩のインシデントが発生しており、その際に自分のメールアドレスとパスワードなどの情報が漏洩していることが確認されています。もしこのリストに含まれているWebサイトのアカウントを現在でも所有しているのであれば、速やかにパスワードを変更するべきです。