自分のメールアドレスがデータ漏洩に含まれていないか確認する方法

データ漏洩が自分のメールに実際にもたらすもの

企業がデータ漏洩の被害に遭ったとき、攻撃者が盗んだものを自分たちだけで抱え込むことはめったにありません。メールアドレス、パスワード、氏名、電話番号などのアカウント詳細のデータベースはコピーされ、取引され、やがてセキュリティ研究者が「ブリーチダンプ」と呼ぶ形で公開されます。時間とともに、個々のダンプは巨大な統合リスト — しばしばコンボリストと呼ばれます — にまとめられ、フォーラムやファイル共有サイトで自由に出回ります。そのメールアドレスが重要なアカウントのものである必要はありません。2013年に登録したフォーラム、一度だけ使ったショッピングサイト、もう存在しないサービスのどれもが発生源になり得ます。漏洩が起きたのは相手のサーバーですが、そのツケを負うのはこちらです。

実際の危険は通常、元の漏洩そのものではなく、その後に起きることです。攻撃者はこうしたリストを使ってクレデンシャルスタッフィング攻撃を仕掛けます。流出したメールとパスワードの組み合わせを、パスワードの使い回しに賭けて、何百もの他のサービスで試すのです。侵害されたペット愛好フォーラムのパスワードが、メインのメールアカウントを守るものと同じだったら、フォーラムの漏洩はメールアカウントの乗っ取りに変わります。流出したアドレスは標的型フィッシングの材料にもなります。どのサービスを使っているかを知る攻撃者は、はるかに説得力のある偽メールを作れるからです。だからこそ、自分のアドレスがさらされたかどうか — そしてどこで — を知ることは、単なる好奇心ではなく、本当に役立つのです。

漏洩チェックサービスの仕組み

漏洩チェックサービスは、シンプルなインデックス化の問題を解決しています。研究者は、ブリーチダンプが浮上するたびにそのコピーを入手し、データが本物であることを検証し、影響を受けたメールアドレスを検索可能なデータベースに読み込みます。アドレスを入力すると、サービスは既知のどの漏洩にそれが含まれていたか、各漏洩がいつ発生したか、どのカテゴリーのデータ — パスワード、電話番号、住所など — がさらされたかを教えてくれます。最も定評のあるサービスであるHave I Been Pwnedは、数百件のインシデントにわたって数十億件の漏洩アカウントをカタログ化しており、個人にも、自社ドメインを監視する企業にも広く使われています。

もっともな反論として、パスワードが流出したかどうかを確認するためにウェブサイトにパスワードを入力するなんてひどい考えに聞こえる — そして、間違ったサイトに入力すれば実際にひどい結果になります。Have I Been Pwnedのパスワードチェック機能は、k-匿名性と呼ばれる技術でこの問題を回避しています。ブラウザがパスワードをローカルでハッシュ化し、そのハッシュの最初の5文字だけをサーバーに送信します。サーバーはその5文字で始まるすべての流出ハッシュ — 通常数百件の候補 — を返し、ブラウザがローカルで一致を確認します。サービス側はパスワードを一切見ることがなく、それを特定できるだけのハッシュ断片さえ受け取りません。この設計の全容はサービスの作者によって公開されており、その後、パスワードマネージャーやブラウザの漏洩チェック機能にも採用されています。

Pwned Passwordsを支えるk-匿名性モデルは、Have I Been Pwnedを運営するTroy Huntが詳しく解説しています: Troy Hunt — Pwned Passwordsとk-匿名性モデル ↗

アドレスの確認手順

まずはhaveibeenpwned.comのHave I Been Pwnedから始めましょう。検索ボックスにメールアドレスを入力して送信します。結果は、安心できる空の一覧か、自分のアドレスを含む漏洩の時系列リストのどちらかで、各項目にはインシデントの簡単な説明とさらされたデータの種類が付いています。データの種類は注意深く読んでください。メールアドレスだけが流出した漏洩は厄介事で済みますが、パスワードやパスワードハッシュが流出した漏洩は即座の対応を要求します。実際に使っているすべてのアドレスについてチェックを繰り返しましょう。今も転送されてくる古いアドレスも含みます。それらで登録したアカウントも同じように脆弱だからです。

せっかくなので、漏洩通知にも登録しておきましょう。Have I Been Pwnedにアドレスを登録すると、新たに読み込まれた漏洩にそれが現れたときにメールで知らせてくれます — 忘れてしまいがちな手動チェックを、自動アラートに変えられるのです。通知サービスはアラートを有効にする前に、そのアドレスを本人が管理していることを検証するため、他人のアドレスを勝手に購読することはできません。ほとんどのユーザーにとって、この一手間が価値の大半をもたらします。漏洩は絶えず発見されており、今日クリーンなアドレスが来月読み込まれるダンプに現れるかもしれません。

Mozilla Monitor（旧Firefox Monitor）は、同じ基盤の漏洩データの上に構築された、堅実な第二の選択肢です。同様のアドレス検索に加え、無料のMozillaアカウントに紐付いた継続的な監視を提供し、各漏洩について段階的な解決ガイダンス付きで結果を表示します。両方のサービスを使っても費用はゼロで、数分で済みます。カスタムドメインを所有しているなら、Have I Been Pwnedはドメイン全体の監視も提供しており、自分のドメインのアドレスがいずれかの漏洩に現れるたびに報告してくれます — info@やcontact@のような推測しやすいアドレスは、気づかれないまま露出を蓄積していくため、これは有用です。

公式FAQでは、アドレスの確認方法と漏洩データの取り扱いに関する詳しい説明が読めます: Have I Been Pwned — よくある質問 ↗

Mozillaの無料監視サービスは、継続的なアラートと解決ガイダンスを提供します: Mozilla Monitor — 無料のデータ漏洩監視 ↗

アドレスが漏洩に含まれていた場合の対処法

第一に、漏洩したサービスのパスワードを変更してください — そして決定的に重要なのは、同じまたは似たパスワードを使っていた他のすべてのサービスでも変更することです。攻撃者は使い回しを前提としており、数字や感嘆符を付け足す程度の変化では自動推測を防げません。順序が大事です。まずメインのメールアカウントを守ってください。それは他のすべてのアカウントの復旧手段だからです。受信トレイを掌握した攻撃者は、他のアカウントの大半のパスワードを意のままにリセットできます。

第二に、すべてのアカウントに一意なランダムパスワードを生成して、使い回しの問題を根本から断ちましょう。実際にはパスワードマネージャーを使うということです。この一つの変更で、将来の漏洩は連鎖する緊急事態から封じ込め可能なものに変わります。流出したパスワードで開くアカウントはちょうど一つだけで、それを交換するのに1分しかかかりません。パスキーを提供しているサービスでは、迷わずそちらを選んでください。パスキーはデバイスに紐付いた暗号認証情報であり、サービスのデータベースに流出し得る共有シークレットが存在しないため、サービスが侵害されても、攻撃者がアカウントに対して再利用できるものは何も露出しません。パスワードを使い続ける重要なアカウントでは二要素認証を有効にし、できればSMSではなく認証アプリを使いましょう。

第三に、さらされたデータを現実的に扱いましょう。流出したパスワードは交換できますが、流出したメールアドレスはできません。アドレスが出回った以上、スパムの増加とより巧妙なフィッシングが無期限に続くと想定してください。漏洩したサービスに言及するメールには特に警戒を。攻撃者はまさにその種の標的型の餌を送るために漏洩リストを使うからです。決済データがさらされた漏洩なら、明細を監視し、カードの再発行を検討してください。政府発行のID番号のような身元データがさらされたなら、お住まいの国で利用できる不正利用アラートや信用凍結の仕組みを調べてください。

エイリアスと使い捨てアドレスで将来の露出を減らす

ここまではすべて事後対応です。漏洩対策の予防版は、そもそも本来のアドレスを保持するデータベースの数を減らすことです。収集されなかったアドレスは決して流出しないからです。継続的な関係を持つサービスにはメールエイリアスが適したツールです。エイリアスプロバイダーはサービスごとに専用の転送アドレスを与えるため、漏洩でさらされるのはそのエイリアスだけで、後から無効化できます。侵害されたアドレスは死に、本来の受信トレイは無傷で、誰が流出させたかも正確にわかります。

一回限りのやり取り — ホワイトペーパーのダウンロード、割引コードの取得、二度と戻らないサービスのテスト — には、使い捨てアドレスのほうがすっきりした選択です。PureTempMailのようなサービスの一時受信トレイは数分から数時間だけ存在し、認証メールを受け取ると、すべてのデータとともに期限切れになります。そのサービスが数年後に必然的に侵害されたとき、ダンプに含まれるのは、もはや存在せず、本人と一度も結び付けられたことのないアドレスです。そもそも渡していないデータだけが、漏洩チェックの結果に決して現れないことが保証されたデータなのです。

やってはいけないこと

実際に使っているパスワードを、素性の知れない「パスワードチェッカー」サイトに絶対に入力しないでください。Have I Been Pwnedのパスワードチェックを安全にしているのは前述のk-匿名性設計であり、信頼できるパスワードマネージャーも同じプロトコルを使っています — しかし、パスワードを求めるフォームを置いただけの怪しいサイトは、単にそれを収集しているだけかもしれません。パスワードを確認したいなら、Have I Been Pwnedを直接使うか、パスワードマネージャーやブラウザに組み込まれた漏洩チェック機能を通じて行ってください。そこではパスワード自体を送信せず、ハッシュ化されたデータに対してチェックが行われます。

漏洩被害に遭ったと一方的に知らせてくるメールにも、同じくらい懐疑的になってください。特にログインページへのリンクや支払いを要求するものには要注意です。正当な漏洩通知はパスワードを尋ねませんし、Have I Been Pwnedのアラートが結果を見るためにログインを求めることは決してありません。関連する詐欺として、不都合な情報を握っていると主張し、証拠として実際に流出したパスワードの一つを挙げるものがあります。そのパスワードは本物ですが、それは古いブリーチダンプから来たものであり、デバイスへの不正アクセスから来たものではありません。最後に、これらの無料サービスがすでに提供している公開漏洩データを詰め替えただけの、有料の「ダークウェブスキャン」製品は不要です。

現実的なルーティン

漏洩による露出は、一度直せば終わる出来事ではなく、管理し続ける背景条件です。妥当なルーティンは短いものです。使用中のアドレスをHave I Been Pwnedで確認し、そこかMozilla Monitorで通知を購読し、パスワードマネージャーで一意なパスワードに移行し、提供されているところではパスキーを採用し、長期的な連絡手段を本当に必要とするサービスにだけ本来のアドレスを渡す。エイリアスが「信頼はするが分離したい」中間領域をカバーし、使い捨てアドレスが一時的なものすべてをカバーします。どのステップも難しくはなく、それらを合わせれば、次の漏洩のニュースは個人的な緊急事態ではなく、何事もない出来事に変わります。

本来のアドレスを保持するサービスの数を減らすことが、最良の長期的防御です。実践的なテクニックは関連記事で解説しています: メールアドレスをスパムから守る方法