パスワード漏洩チェック

正直な限界

ここでチェックするのは Pwned Passwords の漏洩コーパスのみです。数百件の既知のデータ漏洩から集められたパスワードです。「見つかりませんでした」は「既知の漏洩では見られなかった」という意味であり、「安全」という意味ではありません。

メールアドレスの漏洩照会はここでは提供していません。Have I Been Pwned のメール漏洩 API は有料サブスクリプションサービスのため、本ページで無料提供を約束することはしません。

漏洩データ：Have I Been Pwned — Pwned Passwords（haveibeenpwned.com/Passwords）。

漏洩コーパスとは — そして回数には何の意味があるのか

漏洩コーパスとは、実際のデータ漏洩から収穫されたパスワードの集合です。あるサービスが侵害され、そのパスワードデータベースが漏洩すると、そこに含まれるパスワード（通常はハッシュとして保存されています）が収集され、重複が除去され、索引化されるため、誰でも特定のパスワードがその中に含まれているかを問い合わせることができます。Have I Been Pwned の Pwned Passwords コーパスには、数百件の漏洩から集められた 10 億を超えるパスワードが含まれており、新しい漏洩が表面化するたびに増え続けています。この規模こそがチェックの意義そのものです。あなたが 5 秒で考えついたパスワードは、まったく同じ形で、他の何千人もの人がすでに考えついている可能性が非常に高く、もしそれが漏洩したデータベースに一度でも含まれていたなら、攻撃者はすでにリストを持っており、到達できるあらゆるログインページで試す準備ができています。

このチェックは、k-匿名性（k-anonymity）と呼ばれる仕組みのおかげで、パスワードを明かすことなく機能します。パスワードはブラウザ内で SHA-1 を使ってハッシュ化され、40 文字の指紋が生成されます。その指紋の最初の 5 文字だけがサービスに送られます。サービスはその 5 文字を共有するすべての指紋サフィックス（通常は 800 件ほど）を返し、ブラウザはそのリストの中から自分のサフィックスをローカルで探します。5 文字あれば、数百の似たパスワードの中に 1 件のパスワードを隠すのに十分であり、サービスがどのパスワードについて尋ねられたのかを知ることができないほど短いのです。パスワード自体がネットワークを横切ることも、サーバーログに触れることも、URL に現れることもありません。

見つかった、見つからなかった — そして次にすべきこと

回数がゼロより大きい場合、そのパスワードが漏洩でそれだけの回数見られたことを意味します。数百万回という回数（「password」は 5,000 万回以上見られています）は、すべてのクレデンシャルスタッフィング攻撃で最初に試される推測の 1 つであることを意味し、メールや銀行を始めとして、使用しているすべての場所で変更すべきです。回数が小さくても合格ではありません。たった 1 回の登場でも、そのパスワードが攻撃者の単語リストに入っていることを意味し、おそらく推測可能なパターンに従っているサインでもあります。名前と年、キーボード上の連続キー、数字を 1 文字だけ置き換えた一般的なフレーズなどです。どちらの場合も対処法は同じです。パスワードジェネレーターで生成した、他のどこでも使ったことのない一意のパスワードに置き換え、頭の中やメモファイルではなくパスワードマネージャーに保管してください。

回数がゼロなのは良い知らせですが、厳密な限界があります。そのパスワードが、このコーパスが把握している漏洩では見られなかったということにすぎません。パスワードが強いかどうか、推測可能かどうか、まだ表面化していない漏洩にすでに含まれているかどうかについては何も語りません。短くて馴染みのあるパスワードはコーパスに存在しなくても、数分で推測攻撃に敗れる可能性があり、10 のサイトで使い回しているパスワードは、1 件の漏洩で 10 件すべてを失います。「見つかりませんでした」をパスワードを保持する許可とみなせるのは、それが長く、ランダムで、正確に 1 か所だけで使われている場合に限ります。3 つのテストのいずれかに不合格なら、やはり変更してください。このチェックが教えてくれるのは露出の有無であり、強さではありません。

パスワードが安全かどうかを尋ねるために、パスワードをチャットボットや AI アシスタントに貼り付けてはいけません。チャットは会話記録を保持します。あなたのパスワードは他者のサーバーに保存され、モデルの訓練や調整に使われ、後の回答でそのまま引用される可能性さえあります。漏洩チェックの目的と正反対のことです。同じ規則は、フォームにパスワードを入力して判定を約束するあらゆるウェブサイトにも当てはまります。このページのようにローカルでハッシュ化し、仕組みを示してくれない限り、パスワードが送信され保存されているものと想定してください。漏洩チェックがやる価値があるのは、まさに秘密を誰にも渡さずに実行できるからであり、その性質は、質問が小さく感じられるときでさえ守る価値があります。

平易な言葉で説明するチェック

よくある質問