あなたのデータはすでにどこかで流通しているかもしれない
大規模なデータ漏洩事件が発生するたびに、影響を受けるアカウント数は通常数百万件に達します。2021年のFacebookのデータ漏洩には5億件以上のアカウントデータが含まれており、2019年のコレクション漏洩事件は7億件を超えるメールアドレスとパスワードの組み合わせを含んでいます。これらのデータは流出後、ダークウェブの様々なフォーラムや販売チャネルを通じて流通し、クレデンシャルフィルを待つ攻撃者のターゲットになります。 ほとんどの被害者は、自分の情報が漏洩していることに全く気づいていません。なぜなら、サービスプロバイダーがすべての影響を受けたユーザーに積極的に通知するわけではなく、通知が非常に遅れることもあれば、実際には通知が来ないこともあるからです。 そのため、自分から確認することが意義深いのです。プロバイダーに知らせるのを待つ必要はなく、直接公開されたツールで自分で確認することができます。
Have I Been Pwned：最も広く使われている漏洩調査ツール
URL：haveibeenpwned.com Have I Been Pwnedは、セキュリティ研究者のトロイ・ハントによって作成され、運営されているデータ漏洩調査サービスで、現在では12億以上のアカウント記録が様々な漏洩事件から収録されています。トロイ・ハントは法執行機関やセキュリティコミュニティと長年にわたり協力しており、業界で最も信頼されているデータベースの1つとなっています。 調査方法： ウェブサイトにアクセスした後、検索ボックスに自分のメールアドレスを入力し、調査ボタンをクリックするだけで、数秒で結果が表示されます。 結果ページでは、そのメールアドレスが既知の漏洩事件に含まれているか、どの事件に該当するのか、各事件の漏洩日、影響を受けたデータの種類（パスワード、電話番号、住所、クレジットカード情報など）が示されます。 結果があなたのメールアドレスが漏洩事件に含まれていることを示した場合、その事件で使用されていたサービスが現在利用しているものであるか、漏洩したデータにパスワードが含まれているかを確認する必要があります。パスワードが含まれている場合、そのサービスのアカウントパスワードを直ちに変更する必要があります。 Have I Been Pwnedは、通知サブスクリプション機能も提供しており、メールアドレスを入力すると、将来このメールが新しい漏洩事件に含まれた場合、あなたは自動的に通知を受け取ることができます。
Pwned Passwords：直接パスワードの漏洩を確認する
Have I Been Pwnedには、Pwned Passwordsという追加機能もあり、一組のパスワードが漏洩データベースに含まれているかを調べることができます。 URL：haveibeenpwned.com/Passwords パスワードを入力すると、システムはそのパスワードがデータベース内に何回出現したかを通知します。あるパスワードが数百万回出現した場合、それは非常に一般的なパスワードであり、辞書攻撃の最優先のターゲットとなります。 このツールは、プライバシーを保護するためにk-Anonymityと呼ばれる技術を使用しており、調査時にはパスワードハッシュ値の最初の5文字だけが送信され、完全なパスワードは送信されないため、実際に使用しているパスワードを入力しても、Have I Been Pwnedのサーバーに完全に送信されることはありません。
Firefox Monitor：Mozillaアカウントに統合された漏洩監視
URL：monitor.firefox.com Firefox Monitorは、MozillaがHave I Been Pwnedデータベースを基に構築した漏洩監視サービスで、よりユーザーフレンドリーなビジュアルインターフェースと継続的な監視機能を提供します。 Firefoxアカウントにログインした後、複数のメールアドレスを監視に設定することができ、Monitorはこれらのアドレスが新しい漏洩事件に該当するかを継続的に追跡し、問題を特定した際に通知を送信します。また、確認済みの漏洩アカウントのリストと対処手順を提供し、体系的に確認および処理することができます。
Googleのパスワード漏洩警告機能
Google Chromeを使用しており、Googleパスワード管理ツールにパスワードを保存している場合、Googleはこれらのパスワードを漏洩情報と照合し続け、保存されたパスワードが既知の漏洩データベースに含まれている場合、ブラウザで警告を表示します。 この機能は追加設定を必要とせず、GoogleアカウントでChromeにログインし、パスワードを保存することで自動的に有効になります。定期的にpasswords.google.comのパスワード健康チェックページにアクセスすると、漏洩、再利用、強度不足にマークされたパスワードのリストが表示されます。
アカウントデータ漏洩を発見した後は、この順番で対処する 漏洩結果を確認した後は、パニックになる必要はありませんが、順番に対処する必要があります。 漏洩したサービスとデータタイプを確認 どのサービスが漏洩したのか、漏洩したデータの種類を確認してください。もしそれがただのメールアドレスであれば、リスクは比較的限られています。しかし、パスワードが含まれている場合は、直ちに対処する必要があります。 影響を受けたサービスのパスワードを変更 そのサービスにアクセスし、全く新しい強力なパスワードに直ちに変更してください。このパスワードは他のどこでも使ったことがないものであるべきです。 他のサービスに同じパスワードを使用しているか確認 複数のサービスで同じパスワードを使用している場合、すべて変更する必要があります。攻撃者は、1つのアカウントとパスワードを取得すると、他の一般的なサービスにログインしようとすることがよくあるため、この手法はクレデンシャルフィル攻撃と呼ばれます。 影響を受けたサービスの二段階認証を有効にする パスワードを変更した後、二段階認証が有効になっていることを確認してください。これにより、仮にパスワードが再度漏洩しても、攻撃者はパスワードだけではログインできなくなります。 次のテーマに進む：パスワード管理ツールはどのように選ぶか？1Password、Bitwarden、LastPassの比較と選択に関する説明
データ漏洩調査に関するユーザーからのよくある質問
自分のメールをHave I Been Pwnedに入力するのは安全ですか？このサイトは私のデータを収集しますか？
Have I Been Pwnedは、セキュリティコミュニティの中で最も信頼されているツールの1つで、トロイ・ハント本人が管理しています。彼はセキュリティ業界で非常に高い知名度を持ち、公開された職業記録があります。サイトでは調査時に本当に入力したメールアドレスが送信されますが、トロイ・ハントは公式な場で数回にわたり、サイトが調査記録を保存したり販売したりすることはないと説明しています。 この点に懸念がある場合は、Firefox Monitorを選択することができ、Mozillaというより正式な機関のもと同様の機能を提供しています。または、Googleパスワード管理ツールの内蔵漏洩警告機能を直接利用する方法もあります。この場合、メールアドレスを第三者のサイトに入力する必要がありません。
調査結果が私のデータが漏洩していると言っていますが、そのサービスは以前から使用していません、対処が必要ですか？
必要ですが、優先順位は状況によって判断できます。最も重要な確認点は、そのサービスで使用したパスワードが、現在使用している他のサービスと同じかどうかです。もし同じであれば、そのサービスをすでに使用していなくても、そのパスワードは依然としてリスクを伴うため、すべての使用中のサービスで変更する必要があります。 そのサービスが独立したパスワードを持っていたり、すでに使用していなかったりして、漏洩したのがメールアドレスだけであれば、実際のリスクは比較的限られますが、そのメールは今後より多くのスパムやフィッシングメールを受け取る可能性が高くなります。このメールアドレスはすでに様々なマーケティングや詐欺リストに掲載されています。
私のアカウント情報が漏洩している場合、攻撃者はすぐに私のアカウントにログインできますか？
これは漏洩したデータの種類とあなたのアカウントの現在のセキュリティ状態によります。もし漏洩したデータがあなたのパスワードを含んでいて、アカウントに二段階認証が設定されていない場合、理論的にはこのデータを持っている人があなたのアカウントにログインを試みることができます。しかし、データ漏洩からその利用までには通常一定の時間差があり、漏洩したデータがダークウェブで流通してから、攻撃者がそれを取得し利用するまでに時間がかかります。漏洩を発見したら直ちにパスワードを変更し、二段階認証を有効にすることで、このリスク経路を多くの場合において効果的に遮断することができます。アカウントがすでに侵害されたと仮定すべきではありませんが、対処を先延ばしにすべきではありません。
1つの重要なポイント： データ漏洩は常にあなたが防げるものではありませんが、発見後にどれだけ迅速に対処するかはあなたが制御できることです。Have I Been Pwnedでは、この確認プロセスが数分で済むようになっており、影響を受けたパスワードを変更し、二段階認証を有効にすることが、その後のリスクを最も直接的に最小限に抑える2つのステップです。