データ侵害で個人情報が流出したかを確認する方法

データ侵害の通知を一度も受け取ったことがなくても、あなたの個人情報は知らないうちにネット上で出回っているかもしれません。

小売業者や本人確認企業が関わる最近の情報漏えい事件は、厄介な現実を浮き彫りにしました。個人情報は、被害者が気づくよりずっと前に流出していることがあります。流出の一部は数分で確認できますが、すべての漏えいを見つけ出せるツールはありません。

重要なのは、どこを調べるべきか、「該当あり」の結果が実際に何を意味するのか、そして盗まれた情報が悪用される前に何をすべきかを知ることです。

情報が流出したかを確認する方法

手軽に始められる手段の一つが「Have I Been Pwned」です。既知のデータ侵害を集めたデータベースに、自分のメールアドレスが含まれているかを無料で調べられるサービスです。

センシティブな侵害は、影響を受けた個人のプライバシーを守るため、公開検索の結果から除外されています。こうした侵害の結果を見るには、調べるメールアドレスの所有権を確認する必要があります。

このサービスは侵害データを集約し、検索可能にしています。ただし、個々のメールアドレスと一緒にパスワードが表示されることはありません。データセットの中には、「未検証」や「捏造」と分類されたものも含まれます。こうしたデータは、侵害の主張が確認できない場合や、データが掲載企業から流出したものではない場合でも、実在するメールアドレスを含んでいる可能性があります。

メールアドレスを確認する手順は次のとおりです。

1. Have I Been Pwnedにアクセスし、メールアドレスを入力します。
2. 一致した侵害と、流出したとされる情報の種類を確認します。
3. 過去に使った他のメールアドレスでも検索します。買い物、SNS、金融関連のアカウントに使った古いアドレスも対象です。
4. 影響を受けたサービスをいまも使っているかを確認します。パスワードを使い回している場合は特に注意が必要です。
5. 侵害通知に登録し、メールアドレスを認証して今後のアラートを受け取れるようにします。センシティブな侵害の記録を確認するには、メールアドレスの所有権を認証したうえで、Have I Been Pwnedのダッシュボードで「Personal」の下にある「Breaches」セクションを開きます。

すでにアクセスできなくなった古いメールアドレスでも検索できます。ただし、最初の所有権の認証と侵害通知の受信には、調べるメールアドレスの受信トレイにアクセスできる必要があります。パスキーを登録済みのユーザーは、新たな認証リンクがなくてもダッシュボードにアクセスできる場合があります。

「該当あり」は、あなたのメールアドレスがHave I Been Pwnedに登録されたデータセットに含まれていることを意味します。しかし、掲載されたものがすべて、名前の挙がった企業への侵害が確認された事例というわけではありません。また、メールアカウントが乗っ取られた、他のアカウントに不正アクセスされた、パスワードが盗まれたと断定することもできません。

該当するアカウントを保護した後も、過去の侵害記録は表示され続けることがあります。同様に重要なのは、「該当なし」でも情報の安全が保証されるわけではないという点です。このサービスが対象とするのは把握しているデータだけで、侵害された情報の中には、公に検索できる状態にならないものもあります。

Googleの パスワードマネージャーや、Appleに標準搭載されているパスワードのセキュリティ推奨機能も役立ちます。保存したパスワードのうち、既知の漏えいに含まれていたものや、対応が必要なものを見つけられます。

Have I Been PwnedのPwned Passwordsツールを使えば、パスワードが既知の侵害に含まれていないかも調べられます。このサービスはパスワードをメールアドレスとは別に照合し、どのアカウントがそのパスワードを使っていたかは明かしません。データベースにパスワードが見つかった場合は、そのパスワードの使用をやめてください。そして、現在使っているすべてのアカウントで、強力で固有の新しいパスワードに変更します。

現在使っているパスワードの確認には、信頼できるパスワードマネージャー内蔵のセキュリティチェッカーも選択肢です。見慣れない侵害確認サイトにパスワードを入力するのは避けてください。

こうした確認は、顧客アカウントが関わるインシデントの後に特に有効です。たとえばeSecurity Planetは、 ASOSのアカウント乗っ取りが顧客13万8,828人に影響した事例を取り上げました。この事例は、不審な動きに気づいていなくても、アカウントのセキュリティに注意を払うべき理由を示しています。

個人情報が漏えいした場合の対処法

次の一手は、流出した情報によって異なります。メールアドレスの流出と、パスワード、社会保障番号、運転免許証の盗難とでは、リスクが違います。

パスワード関連のインシデントについて、 米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、強力で固有のパスワードを使うよう推奨しています。理想的には、パスワードマネージャーで管理します。

多要素認証も重要な防御策です。ただし、認証方式によって効果は異なります。パスキーやセキュリティキーのようなフィッシング耐性のある方式は、一般に認証情報の窃取に対してより強力な保護を提供します。

政府発行の身分証明書が絡む場合、リスクはさらに複雑になります。eSecurity Planetは、 2026年9月にテキサス州へ提出された届け出で、IDScanのインシデントによる影響者が1,300万人と記載されたことも報じました。政府発行の身分証明情報が流出した場合の、長期にわたるリスクが浮き彫りになっています。

社会保障番号などのセンシティブな個人識別データについては、 IdentityTheft.govで回復のためのガイダンスを確認できます。

消費者は、Equifax、Experian、TransUnionを通じて、信用情報を無料で凍結することもできます。クレジットフリーズをかけると、信用報告書へのアクセスが制限されます。これにより、なりすまし犯が新たなクレジットアカウントを開設しにくくなります。手続きは各信用情報機関に個別に行う必要があり、凍結は解除するまで続きます。

eSecurity Planetが National Public Dataの情報漏えいの報道で説明したとおり、センシティブな個人識別情報が流出した場合は、パスワードの変更だけでなく追加の対策が必要になることがあります。

侵害通知が本物かを確認する方法

情報が盗まれたと伝えるメッセージのすべてが、当事者の企業から届くわけではありません。サイバー犯罪者は、情報漏えいの報道を利用して巧妙なフィッシングメールを送り、悪意あるリンクをクリックさせたり、パスワードを入力させたりします。

侵害通知を受け取ったら、不意に届いたリンクをたどらず、企業の公式サイトに直接アクセスしてください。公表されたセキュリティ告知を探し、どの情報が影響を受けたのかを確認します。必要であれば、確かな窓口を通じて企業に問い合わせてください。

米連邦取引委員会（FTC）は、不意に届いたリンクを避けるよう消費者に呼びかけています。連絡する際は、正当だとすでに把握しているウェブサイトや電話番号を使うよう勧めています。

あわせて、 AnnualCreditReport.comで信用報告書も確認してください。連邦政府が認可した、無料の信用報告書の入手先です。身に覚えのないアカウントや説明のつかない変更があれば、情報がすでに悪用されている可能性があります。

一度の確認では不十分な理由

侵害の検索は有用な出発点です。ただし、情報がどこに渡ったかの全体像まではわかりません。

Have I Been Pwnedのドキュメントによると、このサービスは既知の侵害記録を集約しています。その中には、真偽が完全には確認されていないものも含まれます。また、索引化したメールアドレスと一緒にパスワードが公開されることはありません。つまり、攻撃者が入手した可能性のある情報をすべて明かさなくても、潜在的な流出の把握に役立ちます。

クレジットフリーズにも限界があります。信用報告書へのアクセスを制限し、犯罪者があなたの名義で新規口座を開くのを難しくします。しかし、既存の口座での不正利用は防げません。銀行やクレジットカードの明細を確認し続けることが重要なのは、このためです。

身に覚えのないアカウントや不正な請求など、なりすまし被害の兆候を見つけたら、影響を受けた金融機関にただちに連絡してください。なりすまし被害は IdentityTheft.govでも届け出られます。個別の回復計画が示されます。FTCは、不審な活動を見つけるために、財務明細書と信用報告書を定期的に確認するよう勧めています。

最も効果的なのは、次の対策を組み合わせることです。定期的な侵害チェック、固有のパスワード、多要素認証、そして不審なアカウント活動への注意です。あらゆる企業による情報の流出を防ぐことはできないかもしれません。それでも、その流出がアカウントの乗っ取りや金銭的詐欺につながるのを、はるかに難しくすることはできます。

サイバーセキュリティ関連ニュース：最近のインシデントを詳しく知りたい方は、 2026年の主要なデータ侵害8件をご覧ください。どんな個人情報が流出し、被害者がどう身を守れるかがわかります。