自分のメールアドレスやパスワードが流出していないかは、Have I Been Pwned（HIBP）などの確認サービスで調べられます。メールアドレスを入力すると、過去に公開された情報漏えい事案に含まれていたかが一覧で表示されます。見つかった場合は、そのサービスと、同じパスワードを使っていたサービスのパスワードをすぐに変えてください。
情報が流出したことに気づくきっかけ
個人情報の流出に気づく経路は、大きく分けて3つあります。
流出に気づく主な経路
| 経路 | 内容 |
|---|---|
| 事業者からの通知 | 個人情報保護法では、一定の漏えいが起きた事業者は本人に通知しなければならない。通知が難しい場合は、公表や問い合わせ窓口の設置などで代える |
| 確認サービス | 公開された漏えい事案のデータとメールアドレスを照合する |
| 不審な兆候 | 身に覚えのないログイン通知、パスワード変更の通知、なりすましメールの増加 |
個人情報保護法では、要配慮個人情報を含む漏えいや、1,000人を超える漏えい、不正アクセスなど不正な目的による漏えいなどが起きた場合、事業者は個人情報保護委員会への報告と本人への通知が必要になります。事業者側の義務については情報漏えい時の報告義務と損害賠償で詳しく解説しています。
ただし、すべての流出が通知されるわけではありません。海外のサービスから漏れた場合や、流出に事業者自身が気づいていない場合もあるため、確認サービスで自分から調べることにも意味があります。
Have I Been Pwnedで確認する
Have I Been Pwned（HIBP）は、情報セキュリティの分野で講演や執筆を続けるTroy Hunt氏が2013年から運営している、情報漏えいの検索・通知サービスです。公式サイトでは、誰でも無料で使えるリソースと説明されています。2026年10月時点のトップページには、1,048件の漏えい事案と、178億4,689万件あまりの漏えいアカウントが登録されていると表示されています。
使い方は簡単です。
公式サイトを開く
ブラウザに
haveibeenpwned.comと入力して開きます。検索結果の広告や、メールに書かれたリンクから開かないよう注意してください。メールアドレスを入力して確認する
トップページの入力欄にメールアドレスを入れて確認します。含まれていた漏えい事案があれば、時系列で一覧表示されます。見つからなければ、その旨が表示されます。
漏れた情報の種類を確認する
事案ごとに、メールアドレスのほかにどんな情報（パスワード、氏名、電話番号など）が含まれていたかを確認します。
通知を登録する
「Notify me」から登録すると、今後の漏えい事案にメールアドレスが含まれていた場合に知らせてもらえます。
HIBPに登録されているのは、公開・流通した漏えい事案のうち、運営者が把握したものです。「見つからない」は「一度も漏れていない」という意味ではありません。
パスワードの流出を確認する
メールアドレスだけでなく、使っているパスワード自体が流出済みのリストに含まれていないかも確認できます。
Pwned Passwords（HIBP）
- パスワードが流出済みのリストに含まれるかを調べる
- パスワードは手元でSHA-1ハッシュに変換され、先頭5文字だけが送られる（k-匿名性）
- 照合は手元の端末で行われ、パスワード自体は送信されない
パスワード チェックアップ（Google）
- Googleパスワードマネージャーに保存したパスワードをまとめて確認する
- 漏洩したもの、使い回しているもの、推測されやすいものを検出する
- Chromeの「パスワードと自動入力」か、passwords.google.com から実行する
ふだんパスワード管理アプリを使っているなら、アプリに組み込まれたチェック機能を使うのが手軽です。Googleのパスワード チェックアップでは、漏洩時のアラートを passwords.google.com の設定でオンにしておくこともできます。
Pwned Passwordsのように、パスワードを入力して調べるサービスを使うときは、仕組みを説明している正規のサービスであることを必ず確認してください。正体のわからないサイトにパスワードを入力するのは、それ自体が流出の原因になります。
そのほかの正規の確認サービス
ブラウザやOSの提供元も、流出を確認する機能を用意しています。
主な確認サービス（2026年10月時点）
| サービス | 運営 | 主な機能 |
|---|---|---|
| Have I Been Pwned | Troy Hunt氏 | メールアドレスの漏えい事案検索、通知、Pwned Passwords |
| Mozilla Monitor | Mozilla | メールアドレスの漏えい検索と、対処のガイド。漏えいの監視は無料と案内されている |
| パスワード チェックアップ | Googleパスワードマネージャーに保存したパスワードの漏洩・使い回し・弱さの確認 |
Mozilla Monitorは、メールアドレスを入力して無料スキャンを行うと、見つかった漏えいごとに対処の手順を案内してくれます。新しい漏えいが見つかったときの通知も登録できます。
流出がわかったときの対処
確認サービスで流出が見つかったら、漏れた情報の種類に応じて対処します。
パスワードを変更する
該当するサービスのパスワードを変更します。同じパスワードを使っていたほかのサービスも、すべて別のパスワードに変えます。
多要素認証やパスキーを設定する
パスワードが漏れても不正ログインされにくいよう、多要素認証を有効にします。対応していればパスキーに切り替えます。
ログイン履歴や利用明細を確認する
身に覚えのないログインや注文、カードの利用がないかを確認します。カード情報が含まれていた場合はカード会社に連絡します。
フィッシングに警戒する
漏れたメールアドレスや氏名を使ったフィッシングメールが届くことがあります。リンクは開かず、公式アプリなどから確認してください。見分け方はフィッシング詐欺の見分け方にまとめています。
不正ログインや金銭の被害が出ている場合は、警察のサイバー事案相談窓口に相談できます。警察庁のサイトからオンラインで受け付けています。技術的な相談はIPAの情報セキュリティ安心相談窓口（03-5978-7509、平日10時〜17時）、事業者の個人情報の取り扱いについての苦情や相談は個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、平日9時30分〜17時30分）が窓口です。
よくある質問
メールアドレスを入力して確認しても大丈夫ですか？
運営者が明らかな正規のサービスを使ってください。Have I Been Pwned、Mozilla Monitor、Googleのパスワード チェックアップは、いずれも運営者と仕組みが公開されています。メールやSNSで送られてきた「流出確認サイト」のリンクは、フィッシングの可能性があるので開かないでください。
「流出なし」と出たら安心してよいですか？
確認サービスが把握している漏えい事案に含まれていない、という意味にとどまります。サービスごとに違うパスワードを使い、多要素認証を設定しておくことが基本の対策です。
流出していたのは古いサービスで、もう使っていません。何かすべきですか？
同じパスワードをほかのサービスで使っていないかを確認し、使っていれば変更してください。使っていないアカウントは、退会できるなら退会しておくと、今後の流出の影響を減らせます。
企業から「個人情報が漏えいした」という通知が届きました。本物でしょうか？
通知のメールに書かれたリンクや電話番号は使わず、その企業の公式サイトでお知らせが出ているかを確認してください。漏えいの通知を装ったフィッシングも考えられます。
出典: Have I Been Pwned、Have I Been Pwned「About」、Have I Been Pwned「Pwned Passwords」、Mozilla Monitor、Google アカウント ヘルプ「パスワード チェックアップ」、個人情報保護委員会「漏えい等の対応とお役立ち資料」、個人情報保護委員会「個人情報保護法ガイドライン（通則編）」、個人情報保護委員会「個人情報保護法相談ダイヤル」、警察庁「サイバー事案に関する相談窓口」、IPA「情報セキュリティ安心相談窓口」
