情報漏洩の確認方法、メール1つで今すぐ調べる手順
画像出典: 写真: mikemacmarketing（CC BY 2.0 / Wikimedia Commons）
自分の情報が漏れているかは、メールアドレスを「Have I Been Pwned」で検索する、ブラウザのパスワード点検機能を使う、利用中サービスからの通知を探す、の3つで確認できます。結果が「漏れていた」「漏れていなかった」「判定できない」のどれでも、やることはパスワードの使い回しをやめることと多要素認証の有効化に集約されます。個人情報保護法では一定規模以上の漏えいは本人への通知が義務なので、通知が来ていないかの確認も有効な一次手段です。
自分のメールアドレスが過去の漏洩データに含まれているかは、無料で照合できます。アドレスを入力するだけで公開済みの漏洩データと突き合わせてくれるサービスがあり、ブラウザに保存したパスワードの点検機能も同じ役割を果たします。所要時間はどちらも1〜2分です。
正直なところ、確認しても「漏れていた」と出ることは珍しくありません。ただ、漏れていたと分かった後にやることは決まっていて、そこまで含めて順番に見ていけば、不安のまま放置するよりずっと落ち着きます。
そもそも漏洩はどのくらい起きているのか？
件数の規模感を知っておくと、自分が巻き込まれる確率の感覚がつかめます。個人情報保護委員会（個人情報の取り扱いを監督する国の機関）がまとめた令和7年度の年次報告では、企業・行政機関からの漏えい等報告は19,417件で、前年度比8%減でした。うち民間事業者における個人データの漏えい等事案は17,139件で、過去最多だった前年度の19,056件から約1割減っています。
減ってはいますが、1年で1万7千件という水準は変わっていません。自分が使っているサービスのどれかが含まれていると考えて確認したほうが現実的な数字です。
手口の側も動いています。
| 年次 | 不正アクセス行為の認知件数 |
|---|---|
| 令和3年（2021年） | 1,516件 |
| 令和7年（2025年） | 7,190件 |
警察庁公表の集計をもとに作成
上の表のとおり、4年で約4.7倍という増え方です。令和7年の内訳では、インターネットバンキングでの不正送金等が4,747件で全体の約66%、証券会社のインターネット取引サービスでの不正アクセスが1,484件を占めます。お金が動く口座が狙われやすい、ということがこの内訳から読み取れます。
ランサムウェア（データを暗号化して身代金を要求する攻撃）の被害も、2026年上半期に123件で、2020年下半期の統計開始以降、半期として最多でした。
自分のメールアドレスが漏れているか確認する方法は？
一番手早いのは「Have I Been Pwned」です。2013年12月にセキュリティ研究者のTroy Huntが開設した無料サービスで、既知の漏洩データベースに自分のメールアドレスが含まれているかを照合してくれます。登録は不要で、個別のメールアドレスの検索は無料です（ドメイン単位でまとめて監視する機能は有料プランが必要な場合があります）。
- サイトを開くブラウザで haveibeenpwned.com にアクセスします。よくある質問のページに仕組みの説明があります。
- メールアドレスを入力する普段使っているアドレスを入れて検索します。仕事用・プライベート用など複数ある人は、1つずつ全部調べてください。
- 結果を読む含まれていた場合は、どのサービスの漏洩で、どの種類の情報（メールアドレス、パスワード、氏名など）が含まれていたかが一覧で表示されます。
同サイトには「Pwned Passwords」という機能もあり、特定のパスワード文字列が過去の漏洩データに含まれていたかをSHA-1ハッシュ（文字列を不可逆な符号に変換したもの）で照合します。パスワードそのものや個人情報とは紐付けない設計になっています。
Pwned Passwords の照合はハッシュで行われ、入力した文字列が個人情報と結び付けられない設計だと公表されています。それでも気になる場合は、次に説明するブラウザの点検機能を使えば、自分のパソコンやスマホの中で保存済みパスワードの点検が完結します。
ブラウザのパスワード点検機能はどう使う？
Google パスワードマネージャーおよびChromeの「セーフティチェック」は、保存済みのパスワードが既知の漏洩データと一致していないかを自動でチェックし、弱いパスワードや使い回しも検出します。2020年9月のChrome 86以降は、漏洩が確認された保存済みパスワードのリセットを支援する機能も入っています。
この機能は週に1,400万回使われており、導入以降Chromeに保存された漏洩資格情報が37%減少したとの報告があります。保存しているパスワードが多い人ほど、1回の点検で得られる情報が多くなります。
- 漏洩が確認されたパスワード（最優先で変更する）
- 使い回しているパスワード（1つ漏れると他も開く）
- 短い・単純で弱いパスワード
企業からの通知は確認したほうがいい？
これが見落とされがちな一次確認手段です。個人情報保護法第26条では、事業者は「個人の権利利益を害するおそれが大きい」漏えい等が生じた場合、個人情報保護委員会への報告と本人への通知が義務づけられています（2022年4月1日施行）。
対象となるのは、要配慮個人情報の漏えい、財産的被害のおそれがあるもの、不正の目的によるおそれがあるもの、1,000件を超える漏えい、の4類型です。報告の期限は速報がおおむね3〜5日以内、確報が60日以内という目安が示されています。本人への通知には、漏えいした情報の概略・原因・被害拡大防止策などを分かりやすく伝えることが求められます。
つまり、自分が使っているサービスで一定規模以上の漏洩が起きたなら、メールか公式サイトでの発表という形で知らせが来ているはずだということです。迷惑メールフォルダに振り分けられていることもあるので、サービス名で受信箱全体を検索してみてください。
確認した結果ごとに、何をすればいい？
結果は3通りに分かれます。それぞれの行き先を決めておきます。
漏れていた場合
該当サービスのパスワードを変更し、同じパスワードを使っていた他のサービスもすべて変更します。順番としては、お金が動くもの（ネットバンキング、証券、決済）から先に手をつけてください。不正アクセスの内訳で全体の約66%がインターネットバンキングでの不正送金等だった点を踏まえると、ここが一番被害に直結します。あわせて多要素認証を有効にします。
漏れていなかった場合
「公開された漏洩データに今のところ含まれていない」という意味で、今後も安全という保証ではありません。やることは漏れていた場合と同じで、パスワードの使い回しをやめ、多要素認証を有効にする作業を前倒しで済ませておく、という扱いになります。
判定できない場合
古いアドレスを思い出せない、複数のアドレスのうちどれで登録したか分からない、検索結果の意味が読み取れない——このどれかに当たったときは、確認を続けるより先に対策側へ進んでください。確認は「どこが危ないか」を知るための手段であって、対策そのものではありません。パスワードの使い回し解消と多要素認証の有効化は、漏洩の有無が分からなくても効果が変わりません。
これらの方法で分かるのは「公開された漏洩データに含まれているか」までです。公開されていない漏洩や、漏洩したデータが実際に悪用されているかどうかは、この確認では分かりません。だからこそ、結果に関わらず対策を済ませておく意味があります。
今すぐできる対策は何から？
IPA（情報処理推進機構）が繰り返し呼びかけている基本は3つです。パスワードの使い回しをやめてサービスごとに異なるものを設定すること、多要素認証（パスワードに加えてSMSコードや認証アプリなど別の確認を組み合わせる方式）を有効化すること、不審なメール・SMS内のリンクや添付ファイルを開かないことです。
- お金が動く口座から変えるネットバンキング・証券・決済サービスのパスワードを、他と重複しないものに変更します。
- 多要素認証をオンにする同じサービスの設定画面で、2段階認証・多要素認証の項目を探して有効化します。
- 残りを順に片付けるブラウザの点検結果で「使い回し」と出たものを、上から順に変更していきます。
手口の最新の動きも押さえておくと役に立ちます。IPAは2026年8月3日、国内のインターネットバンキングで6月下旬以降に不正送金被害が急増し、地方銀行を中心に20件以上の注意喚起が出ていると発表しました。手口は不審メールやスパイウェアによる顧客情報（ID・パスワード等）の窃取で、実際に不正送金の被害が発生しています。
同じ呼びかけの中でIPAは、ワンタイムパスワードをメールで受け取る方式を横取りする新しい手口と、不正なポップアップ画面を表示させる旧来の手口の両方に注意するよう促しています。多要素認証を設定するなら、メール受信よりも認証アプリや端末側の認証を選べるサービスでは、そちらを優先したほうが安全側に寄ります。
確認を「毎回やる作業」にしない方法
漏洩の確認を定期的に手作業で回すのは続きません。ブラウザのパスワードマネージャーやパスワード管理アプリに保存を任せておけば、点検機能が自動で漏洩との照合をしてくれるので、通知が来たときだけ対応すれば済みます。使い回しをやめる作業も、管理アプリに任せるほうが現実的です。
よくある質問
Have I Been Pwned は無料で使えますか？
個別のメールアドレスを検索する機能は無料で、登録も不要です。ドメイン単位でまとめて監視する機能については有料プランが必要な場合があります。
漏洩が確認されたら、まずどのサービスのパスワードから変えるべきですか？
ネットバンキング・証券・決済など、お金が動くサービスから変更してください。警察庁公表の集計では不正アクセス行為のうちインターネットバンキングでの不正送金等が4,747件で全体の約66%を占めており、被害が金銭に直結しやすいためです。
企業が漏洩を起こしたら、必ず本人に連絡が来るのですか？
個人情報保護法第26条により、要配慮個人情報の漏えい・財産的被害のおそれ・不正目的によるおそれ・1,000件超の漏えいの4類型に当たる場合は、個人情報保護委員会への報告と本人への通知が義務づけられています。この4類型に当たらない漏えいでは本人通知の義務はありません。
確認して「漏れていない」と出たら、対策は不要ですか？
不要にはなりません。この結果は「公開された漏洩データに現時点では含まれていない」という意味で、公開されていない漏洩や今後の漏洩は分かりません。パスワードの使い回しをやめ、多要素認証を有効にする対策は結果に関わらず有効です。
※記事で使用した内容・数値は変更される場合があります。最新情報は公式サイトをご確認ください。