パスワード漏洩のチェック方法|Have I Been Pwned の照合の仕組みと、見つかった後の対処

ブラウザにパスワードの漏洩の警告が出たり、ニュースで大規模な流出を見たりすると、自分のパスワードは大丈夫かと気になります。けれども、確認するためにパスワードをどこかのサイトに入力するのは、それ自体が危うく感じられるはずです。

この記事は、自分や会社のパスワードが漏洩していないかを確認したい方と、社内の点検の方法を決める情シスの方に向けて書いています。漏洩のチェックで何が分かるのか、パスワードを送らずに照合できる仕組み、見つかったときに何から変えるかを順に整理します。

Have I Been Pwned と Google の説明は、2026 年 11 月 9 日時点で公式サイトに掲載されている内容です。

結論:確認するのは「アドレス」と「パスワード」の 2 つ

• 漏洩のチェックには 2 種類あります。 メールアドレスが流出したサービスに含まれていたかを調べるものと、パスワードそのものが流出データに含まれているかを調べるものです
• パスワードの照合は、パスワードを送らずにできます。 Have I Been Pwned の Pwned Passwords は、ハッシュの先頭 5 文字だけを受け取り、最後の照合は手元で行う仕組みです
• 「漏洩していない」は「安全」ではありません。 短いパスワードや使い回しは、流出データに無くても破られやすいままです
• 見つかったら、お金と管理者の権限に関わるアカウントから変えます。 同じパスワードを使っているほかのサービスも、あわせて変えます
• チェックをうたうサイトに、パスワードをそのまま入れないでください。 偽のサイトが紛れていることがあります

「漏洩している」とは何を指すか

メールアドレスが、流出したサービスに含まれている

あるサービスから会員の情報が流出すると、メールアドレスとパスワード(多くはハッシュ)が一緒に出回ります。Have I Been Pwned のトップページでメールアドレスを入れると、そのアドレスが含まれていた流出の一覧が分かります。2026 年 11 月 9 日時点で、トップページには 1,049 のサイトから流出した、約 178 億件のアカウントが登録されていると表示されています。

ここで分かるのは「どのサービスで流出したか」です。そのサービスで使っていたパスワードを、ほかでも使っていないかを確認するきっかけになります。

パスワードが、流出データに含まれている

もう 1 つは、パスワードの文字列そのものが過去の流出データに出てきたかどうかです。誰のアカウントのものかは関係ありません。流出データに出てくるパスワードは、攻撃者が総当たりの候補として最初に試す一覧に入っています。自分しか使っていないつもりの文字列でも、ほかの誰かが同じものを使って流出していれば、同じく危険です。

アメリカの NIST のガイドライン(SP 800-63B)も、サービスの側で新しいパスワードを受け付けるときに、過去の流出データを含む禁止リストと照合するよう求めています。

パスワードを送らずに照合する仕組み(k-匿名性)

Have I Been Pwned の Pwned Passwords は、照合のためにパスワードを受け取りません。k-匿名性と呼ばれる仕組みで、次の 4 段階で照合します。例として、パスワードが password の場合を書きます。

1. 手元でハッシュにする。password の SHA-1 は 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 です
2. 先頭の 5 文字だけを送る。https://api.pwnedpasswords.com/range/5BAA6 を問い合わせます
3. 同じ 5 文字で始まるハッシュの残りを、まとめて受け取る。応答には、先頭が 5BAA6 のハッシュの残り 35 文字と、それぞれが流出データに出てきた回数が並びます
4. 手元で照合する。自分のハッシュの残り 1E4C9B93F3F0682250B6CF8331B7EE68FD8 が一覧にあれば、そのパスワードは流出データに含まれています

送るのは 5 文字だけです。同じ 5 文字で始まるハッシュは多数あるため、サービスの側は、どのパスワードを調べたのかを特定できません。公式ページも、パスワードそのものも完全なハッシュも送らずに照合できると説明しています。

さらに、問い合わせに Add-Padding: true を付けると、応答の行数が 800〜1,000 件のランダムな数になるよう、回数が 0 の行が追加されます。応答の大きさから、どの 5 文字を問い合わせたかを通信の途中で推測されにくくするためです。追加された行は回数が 0 なので、照合では無視します。API キーや契約は必要なく、Pwned Passwords には回数の制限もないと公式の資料に書かれています。

パスワードの漏洩を確認する方法

Have I Been Pwned

メールアドレスの流出は、トップページで調べられます。今後の流出を通知する登録もできます。パスワードの照合は、上の Pwned Passwords を使うパスワード管理ツールやサービスを通して行うのが一般的です。

Google パスワード チェックアップ

Chrome や Google アカウントに保存したパスワードを、まとめて確認できます。Google のヘルプによると、確認できるのは「漏洩している」「複数のアカウントで使用されている」「脆弱である」の 3 つです。Chrome では、Google パスワード マネージャーを開き、左側の「チェックアップ」を選びます。Chrome 以外のブラウザでは passwords.google.com を開きます。

パスワード管理ツールの点検の機能

会社で使うパスワード管理ツールの多くに、保存したパスワードを点検する機能があります。個人のブラウザではなく、会社の共有アカウントをまとめて確認したいときはこちらが向きます。製品ごとの違いは パスワード管理ツール比較 で整理しています。

気をつけたいこと

「パスワードの安全性をチェック」とうたって、パスワードの入力を求めるサイトがあります。中には、入力された値をそのまま集める偽のサイトもあります。また、「パスワードが漏洩しました」というメールやショートメッセージのリンクからサイトを開くのも避けてください。確認するときは、ブラウザに保存した機能か、会社で決めたツールを使います。

見つかったときにやること

1. 見つかったサービスのパスワードを、新しい値に変える。少しだけ変えた値(末尾の数字を足すなど)ではなく、まったく別の値にします
2. 同じパスワードを使っているほかのサービスも変える。攻撃者は、流出したメールアドレスとパスワードの組をほかのサービスでも試します
3. 2 段階認証を設定する。パスワードが漏れても、2 段階目が無ければサインインできないようにします
4. サインインの履歴を見る。心当たりのないサインインがあれば、そのサービスの手順に沿って対処します

会社のアカウントで見つかった場合は、変える順番を決めておくと迷いません。お金に関わるもの(銀行、決済、広告)、管理者の権限を持つもの(クラウド、ドメイン、社内システムの管理画面)、会社の名前で発信するもの(SNS、メール配信)の順が目安です。

総務省のサイトは、流出した事実がなければ、パスワードの定期的な変更は不要としています。逆にいえば、漏洩が分かったことは、パスワードを変えるべきはっきりした理由になります。

Samurai App の「点検」で分かること

Samurai App の「パスワード」の画面には「点検」のタブがあり、開ける保管庫の項目をまとめて 4 つの観点で確認します。

• 「漏えいしたパスワード」:Have I Been Pwned の流出データに含まれるパスワードを並べ、「○件の漏えいに含まれています」と回数を出します。照合は上の k-匿名性の仕組みで、ブラウザが SHA-1 の先頭 5 文字だけを送り、残りの照合はブラウザの中で行います。問い合わせには Add-Padding を付けています。Samurai App のサーバーは経由しません
• 「弱いパスワード」:よく使われるパスワード(123456 や password など)、8 文字未満のもの、12 文字未満で文字の種類(小文字・大文字・数字・記号)が 1 つだけのものを並べます
• 「安全でない URL」:http で始まる URL です。通信が暗号化されず、入力したパスワードを途中で読まれるおそれがあります
• 「カードの有効期限」:期限が切れたカードと、30 日以内に切れるカードです

タブを開くとすぐに照合が始まり、同じパスワードは 1 回だけ問い合わせます。照合に失敗しても、ほかの 3 つは表示され、「再試行」で照合だけをやり直せます。項目を押して修正し、保存すると結果が更新されます。

できないこともあります。

• 使い回しは確認しません。保管庫の中で同じパスワードを使っている項目は、点検の対象外です
• メールアドレスの流出は調べません。アドレスの確認は Have I Been Pwned のトップページで行ってください
• 強さの判定は簡易です。辞書を使った推測のしやすさまでは測りません
• 開けない保管庫は点検されません。自分がメンバーでない保管庫は対象外です

詳しくは パスワード管理 のページをご覧ください。

よくある質問

パスワードの漏洩チェックは無料でできますか?

Have I Been Pwned のメールアドレスの確認と、Google パスワード チェックアップは無料で使えます。Pwned Passwords の API も、API キーや契約なしで使えると公式に書かれています。

Chrome でパスワードの漏洩の警告が出たら、どうすればよいですか?

表示されたサイトのパスワードを変え、同じパスワードを使っているほかのサイトも変えてください。Chrome の Google パスワード マネージャーの「チェックアップ」で、ほかに漏洩しているパスワードが無いかもあわせて確認できます。

漏洩していなければ、今のパスワードのままで大丈夫ですか?

流出データに無くても、短いパスワードや使い回しは破られやすいままです。サービスごとに別の長いパスワードにし、2 段階認証を設定しておくのが基本です。

会社のメールアドレスの漏洩を、まとめて確認できますか?

Have I Been Pwned には、サインインした後に自社のドメインを登録して検索する機能があります。登録の手順や料金の条件は、公式サイトで確認してください。漏洩の事例と、社内で決めておくことは 生成AIの情報漏洩の事例 でも紹介しています。

出典

• Have I Been Pwned(Have I Been Pwned)
• Pwned Passwords(Have I Been Pwned)
• API v3 ドキュメント(Have I Been Pwned)
• Domain Search(Have I Been Pwned)
• パスワード チェックアップ(Google アカウント ヘルプ)
• NIST SP 800-63B Digital Identity Guidelines: Authentication and Authenticator Management(NIST)
• 安全なパスワードの設定・管理(総務省 国民のためのサイバーセキュリティサイト)
• パスワード(使い方)(Samurai App)

Have I Been Pwned・Google・公的機関の説明は、2026 年 11 月 9 日時点で各公式サイトに掲載されている内容を確認したものです。