ホーム / 私のパスワードは漏えいしていますか？

私のパスワードは漏えいしていますか？

数十億件の漏えい認証情報と照合 —— パスワードをどこにも送らずに。

仕組み

このツールは、パスワードが Have I Been Pwned の漏えい認証情報データベースに含まれるかを確認します。ブラウザー内でパスワードの SHA-1 ハッシュを計算し、そのハッシュの先頭 5 文字だけを API に送信します。サービスは一致するハッシュ後半の一覧を返し、照合はブラウザー内で行われます —— パスワードも、完全なハッシュさえも、端末の外に出ません。この手法を k-匿名性と呼びます。

パスワードがここに表示されたら、直ちにどこでも使うのをやめてください。漏えいしたパスワードは攻撃者が真っ先に試すものです。データベースにないパスワードでも、短かったり予測できたりすれば安全ではありません —— 強度チェッカーとパスワードマネージャーを使ってください。

パスワードが見つかった場合の対処

一致は、このパスワードそのものがすでに攻撃者のリストにあることを意味します。すぐに対応してください：

使ったすべてのサイトで変更します。信頼できる端末から、この順で：まずメール（他のすべてをリセットできます）、次にネットバンキングとカードを保存しているアカウント、その後 SNS。
使い回していたなら、このパスワードを使ったすべてのアカウントを侵害されたものとみなします。漏えいした 1 つだけではありません。
サイトごとに固有の生成パスワードを設定し、二要素認証を有効にします（SMS ではなく認証アプリかハードウェアキー）。
メールアドレスも Have I Been Pwned で検索します。漏えいはパスワード以外も含むのが普通です。
その後数週間はフィッシングを想定してください。攻撃者はあなたのメールと古いパスワードを持ち、それを餌に使います。予期しない「セキュリティ警告」のリンクからは決して操作しないこと。

見つからなかったパスワードでも、短かったり予測できたりすれば安全ではありません。守るのは長さとランダム性です。

強力なパスワードを生成しましたか？安全に保管する場所が必要です →

よくある質問

パスワードはサーバーに送られますか？

いいえ。SHA-1 ハッシュの先頭 5 文字だけです。API は数百件の候補を返し、照合はブラウザー内で行われます —— Have I Been Pwned が使う k-匿名性モデルです。

見つからなかった —— 私のパスワードは安全？

既知の公開漏えいには出ていない、という意味です。弱い、または使い回したパスワードは依然として破られたり推測されたりします。安全にするのは長さとランダム性です。

見つかった場合はどうすれば？

使ったすべてのサイトで変更し、まずメールと銀行から。サイトごとに固有の生成パスワードへ切り替え、二要素認証を有効にしてください。