# 個人情報の流出を確認する方法｜Have I Been Pwnedの使い方

メールアドレスやパスワードの流出を確認する方法を解説。Have I Been Pwned、Mozilla Monitor、Googleのパスワード チェックアップなど正規の確認サービスの使い方と、流出時の対処をまとめます。

自分のメールアドレスやパスワードが流出していないかは、Have I Been Pwned（HIBP）などの確認サービスで調べられます。メールアドレスを入力すると、過去に公開された情報漏えい事案に含まれていたかが一覧で表示されます。見つかった場合は、そのサービスと、同じパスワードを使っていたサービスのパスワードをすぐに変えてください。

<Points>

- Have I Been Pwnedには1,048件の漏えい事案、約178億件のアカウントが登録されている（2026年10月時点の表示）
- パスワードはGoogleパスワードマネージャーの「パスワード チェックアップ」などで、流出・使い回し・弱さをまとめて確認できる
- 流出データそのものを探して「リークサイト」を見に行くのは危険。確認は正規のサービスだけで行う

</Points>

## 情報が流出したことに気づくきっかけ

個人情報の流出に気づく経路は、大きく分けて3つあります。

<Figure title="流出に気づく主な経路">

| 経路 | 内容 |
| --- | --- |
| 事業者からの通知 | 個人情報保護法では、一定の漏えいが起きた事業者は本人に通知しなければならない。通知が難しい場合は、公表や問い合わせ窓口の設置などで代える |
| 確認サービス | 公開された漏えい事案のデータとメールアドレスを照合する |
| 不審な兆候 | 身に覚えのないログイン通知、パスワード変更の通知、なりすましメールの増加 |

</Figure>

個人情報保護法では、要配慮個人情報を含む漏えいや、1,000人を超える漏えい、不正アクセスなど不正な目的による漏えいなどが起きた場合、事業者は個人情報保護委員会への報告と本人への通知が必要になります。事業者側の義務については[情報漏えい時の報告義務と損害賠償](/data-breach-reporting/)で詳しく解説しています。

ただし、すべての流出が通知されるわけではありません。海外のサービスから漏れた場合や、流出に事業者自身が気づいていない場合もあるため、確認サービスで自分から調べることにも意味があります。

## Have I Been Pwnedで確認する

Have I Been Pwned（HIBP）は、情報セキュリティの分野で講演や執筆を続けるTroy Hunt氏が2013年から運営している、情報漏えいの検索・通知サービスです。公式サイトでは、誰でも無料で使えるリソースと説明されています。2026年10月時点のトップページには、1,048件の漏えい事案と、178億4,689万件あまりの漏えいアカウントが登録されていると表示されています。

使い方は簡単です。

<Steps>
<Step title="公式サイトを開く">

ブラウザに `haveibeenpwned.com` と入力して開きます。検索結果の広告や、メールに書かれたリンクから開かないよう注意してください。

</Step>
<Step title="メールアドレスを入力して確認する">

トップページの入力欄にメールアドレスを入れて確認します。含まれていた漏えい事案があれば、時系列で一覧表示されます。見つからなければ、その旨が表示されます。

</Step>
<Step title="漏れた情報の種類を確認する">

事案ごとに、メールアドレスのほかにどんな情報（パスワード、氏名、電話番号など）が含まれていたかを確認します。

</Step>
<Step title="通知を登録する">

「Notify me」から登録すると、今後の漏えい事案にメールアドレスが含まれていた場合に知らせてもらえます。

</Step>
</Steps>

HIBPに登録されているのは、公開・流通した漏えい事案のうち、運営者が把握したものです。「見つからない」は「一度も漏れていない」という意味ではありません。

## パスワードの流出を確認する

メールアドレスだけでなく、使っているパスワード自体が流出済みのリストに含まれていないかも確認できます。

<Compare>
<Column title="Pwned Passwords（HIBP）">

- パスワードが流出済みのリストに含まれるかを調べる
- パスワードは手元でSHA-1ハッシュに変換され、先頭5文字だけが送られる（k-匿名性）
- 照合は手元の端末で行われ、パスワード自体は送信されない

</Column>
<Column title="パスワード チェックアップ（Google）" tone="accent">

- Googleパスワードマネージャーに保存したパスワードをまとめて確認する
- 漏洩したもの、使い回しているもの、推測されやすいものを検出する
- Chromeの「パスワードと自動入力」か、passwords.google.com から実行する

</Column>
</Compare>

ふだんパスワード管理アプリを使っているなら、アプリに組み込まれたチェック機能を使うのが手軽です。Googleのパスワード チェックアップでは、漏洩時のアラートを passwords.google.com の設定でオンにしておくこともできます。

Pwned Passwordsのように、パスワードを入力して調べるサービスを使うときは、仕組みを説明している正規のサービスであることを必ず確認してください。正体のわからないサイトにパスワードを入力するのは、それ自体が流出の原因になります。

## そのほかの正規の確認サービス

ブラウザやOSの提供元も、流出を確認する機能を用意しています。

<Figure title="主な確認サービス（2026年10月時点）">

| サービス | 運営 | 主な機能 |
| --- | --- | --- |
| Have I Been Pwned | Troy Hunt氏 | メールアドレスの漏えい事案検索、通知、Pwned Passwords |
| Mozilla Monitor | Mozilla | メールアドレスの漏えい検索と、対処のガイド。漏えいの監視は無料と案内されている |
| パスワード チェックアップ | Google | Googleパスワードマネージャーに保存したパスワードの漏洩・使い回し・弱さの確認 |

</Figure>

Mozilla Monitorは、メールアドレスを入力して無料スキャンを行うと、見つかった漏えいごとに対処の手順を案内してくれます。新しい漏えいが見つかったときの通知も登録できます。

<Note tone="caution" title="流出データを探しに行かない">

「自分の情報が載っているか確かめたい」と、ダークウェブのリークサイトや流出データを配布しているサイトを探すのはやめてください。マルウェアに感染したり、詐欺に誘導されたりするおそれがあります。確認は、ここで紹介したような運営者が明らかな正規のサービスだけで行います。

</Note>

<Note title="要追記：実体験">（ここに実際に自分のメールアドレスをHIBPやMozilla Monitorで確認した結果の画面と、見つかった事案への対応を書く）</Note>

## 流出がわかったときの対処

確認サービスで流出が見つかったら、漏れた情報の種類に応じて対処します。

<Steps>
<Step title="パスワードを変更する">

該当するサービスのパスワードを変更します。同じパスワードを使っていたほかのサービスも、すべて別のパスワードに変えます。

</Step>
<Step title="多要素認証やパスキーを設定する">

パスワードが漏れても不正ログインされにくいよう、多要素認証を有効にします。対応していれば[パスキー](/passkey/)に切り替えます。

</Step>
<Step title="ログイン履歴や利用明細を確認する">

身に覚えのないログインや注文、カードの利用がないかを確認します。カード情報が含まれていた場合はカード会社に連絡します。

</Step>
<Step title="フィッシングに警戒する">

漏れたメールアドレスや氏名を使ったフィッシングメールが届くことがあります。リンクは開かず、公式アプリなどから確認してください。見分け方は[フィッシング詐欺の見分け方](/phishing-check/)にまとめています。

</Step>
</Steps>

不正ログインや金銭の被害が出ている場合は、警察のサイバー事案相談窓口に相談できます。警察庁のサイトからオンラインで受け付けています。技術的な相談はIPAの情報セキュリティ安心相談窓口（03-5978-7509、平日10時〜17時）、事業者の個人情報の取り扱いについての苦情や相談は個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、平日9時30分〜17時30分）が窓口です。

## よくある質問

### Q. メールアドレスを入力して確認しても大丈夫ですか？

運営者が明らかな正規のサービスを使ってください。Have I Been Pwned、Mozilla Monitor、Googleのパスワード チェックアップは、いずれも運営者と仕組みが公開されています。メールやSNSで送られてきた「流出確認サイト」のリンクは、フィッシングの可能性があるので開かないでください。

### Q. 「流出なし」と出たら安心してよいですか？

確認サービスが把握している漏えい事案に含まれていない、という意味にとどまります。サービスごとに違うパスワードを使い、多要素認証を設定しておくことが基本の対策です。

### Q. 流出していたのは古いサービスで、もう使っていません。何かすべきですか？

同じパスワードをほかのサービスで使っていないかを確認し、使っていれば変更してください。使っていないアカウントは、退会できるなら退会しておくと、今後の流出の影響を減らせます。

### Q. 企業から「個人情報が漏えいした」という通知が届きました。本物でしょうか？

通知のメールに書かれたリンクや電話番号は使わず、その企業の公式サイトでお知らせが出ているかを確認してください。漏えいの通知を装ったフィッシングも考えられます。

出典: [Have I Been Pwned](https://haveibeenpwned.com/)、[Have I Been Pwned「About」](https://haveibeenpwned.com/About)、[Have I Been Pwned「Pwned Passwords」](https://haveibeenpwned.com/Passwords)、[Mozilla Monitor](https://monitor.mozilla.org/)、[Google アカウント ヘルプ「パスワード チェックアップ」](https://support.google.com/accounts/answer/9457609?hl=ja)、[個人情報保護委員会「漏えい等の対応とお役立ち資料」](https://www.ppc.go.jp/personalinfo/legal/leakAction/)、[個人情報保護委員会「個人情報保護法ガイドライン（通則編）」](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)、[個人情報保護委員会「個人情報保護法相談ダイヤル」](https://www.ppc.go.jp/personalinfo/pipldial/)、[警察庁「サイバー事案に関する相談窓口」](https://www.npa.go.jp/bureau/cyber/soudan.html)、[IPA「情報セキュリティ安心相談窓口」](https://www.ipa.go.jp/security/anshin/about.html)