「私のメルアド、漏れてない？」を数秒で確かめる方法〜Have I Been Pwnedの紹介と付き合い方

「Have I Been Pwned」というサービスがあるらしいので調べてみました。

最近、ニュースなどで企業の大規模な個人情報流出を目にする機会が増えました。

「もしかして自分のデータもどこかで漏れているのでは……？」と、不安を感じたことがある方も多いのではないでしょうか。

そんなときに役立つのが、この「Have I Been Pwned（ハブ・アイ・ビーン・ポーンド）」というセキュリティチェックサービスです。

今回は、このサービスがどんなものなのか、そして私たち一般のネットユーザーはどう付き合っていけばよいのかを分かりやすくご紹介します。


そもそもどんなサービス？
「Have I Been Pwned（略称：HIBP）」は、オーストラリアの著名なセキュリティ専門家であるトロイ・ハント氏が2013年から運営している、国際的にも信頼の厚いWebサービスです。

サイトの検索窓に普段使っているメールアドレスを入力するだけで、過去の大規模な情報漏洩データの中に自分のアドレスが含まれていないかを照合してくれます。

ちなみに、サービス名にある「Pwned（ポーンド）」とは、英語のネットスラングで「（ハッカーなどに）やられた！」「乗っ取られた」という意味を持っています。
直訳すると「私、ハックされちゃいましたか？」という、少しユーモラスで直球な名前ですね。


アドレスを入力しても安全なの？
「流出を調べるサイトに自分のメールアドレスを入れること自体、危なくないの？」
と心配になるかもしれません。

結論から言うと、このサービスは非常に安全な設計がなされています。

入力したメールアドレスが収集・悪用されることはありません。
また、米連邦捜査局（FBI）などの公的機関や、主要ブラウザ（Google ChromeやSafari）、各種パスワード管理ツールなども、このサービスのデータベースと公式に連携して安全確認を行っています。


実際に検索するとどうなる？
検索ボタンを押すと、結果は大きく2つに分かれます。

* 緑の画面が出た場合（Good news — no pwnage found!）
  HIBPが把握している漏洩データベースには、あなたのメールアドレスは見つかりませんでした。ひとまず安心です。

* 赤の画面が出た場合（Oh no — pwned!）
  過去のいずれかの情報漏洩データに、あなたのアドレスが含まれていたことを意味します。画面の下にスクロールすると、「どのサービスから」「いつ」「どんなデータ（パスワード、電話番号、住所など）」が漏れたのかが具体的にリストアップされます。


赤い画面（流出）が出たらどうすべき？
赤色が出ると少し驚いてしまいますが、慌てる必要はありません。大切なのは、次の対処を落ち着いて行うことです。

* 同じパスワードの使い回しを今すぐやめる
  攻撃者が狙うのは、漏洩した「IDとパスワードの組み合わせ」を使って、他のショッピングサイトやSNS、ネット銀行などへ片っ端から不正ログインを試みる手口（リスト型攻撃）です。
該当するサービスと同じパスワードを他のサイトでも使っている場合は、速やかに別の強固なパスワードへ変更してください。

* メインのメールや最重要アカウントのパスワードを変える
  他サービスのパスワード再設定通知が届くメインのメールアドレスや、Apple / Googleアカウントなどは最優先で保護しましょう。

* 2段階認証（多要素認証）を有効にする
  万が一パスワードが相手に知られてしまっても、スマホへの通知や認証アプリによる「2段階認証」を設定しておけば、不正ログインの大半を食い止めることができます。


このサービスとの賢い「付き合い方」
とても便利なHIBPですが、決して「万能の盾」ではありません。

* 即時反映ではない：
　データが漏洩してからHIBPに登録されるまでにはタイムラグがあります。「緑色だったから100%安全」と思い込まないことが大切です。

* 日本のローカルな漏洩はカバーされないこともある：グローバルなサービスには非常に強いですが、国内の中小通販サイトなどの漏洩は登録されないケースもあります。

そのため、このサービスは「定期的な健康診断」のような感覚で使うのがおすすめです。

* 年に1〜2回、あるいは大きな情報漏洩ニュースを見かけたタイミングで、家族や自分のアドレスをチェックしてみる。

* サイト内の「Notify me」という機能にメールアドレスを登録しておき、今後もし流出が確認されたら自動でアラートメールを受け取れるようにしておく。

おわりに
どれだけ気をつけてネットを使っていても、利用しているサービス側の事故で情報が漏れてしまうリスクをゼロにすることはできません。

だからこそ、「漏れる前提」で対策をしておくことが大切になります。　パスワードを使い回さないこと、2段階認証を設定すること。
そして時々「Have I Been Pwned」で現状を確かめてみること。

まだ試したことがない方は、ぜひ一度ご自身のメールアドレスをチェックしてみてはいかがでしょうか。

〈了〉