メールアドレスが情報漏えいに含まれていないか確認する方法

情報漏えいとは、企業などが保有している情報が、外部からの攻撃、サーバーの設定ミス、内部関係者の行為などによって流出したり盗まれたりすることです。流出したデータにはメールアドレスが含まれていることが多く、氏名、電話番号、生年月日、パスワードが一緒に含まれる場合もあります。パスワードは平文のまま、あるいはハッシュ化された状態で保存されている場合があり、強度の低いパスワードはハッシュ化されていても解読されてしまうことが少なくありません。

メールアドレスは、こうした散らばったデータをつなぎ合わせる手がかりになります。攻撃者はそれを使って、流出したパスワードを別のサービスで試したり、あなたが実際に利用しているサービスの名前を挙げた説得力のあるフィッシングメールを作ったり、パスワード再設定の手続きを狙ったりします。どの漏えいに自分のアドレスが含まれているかが分かれば、どのパスワードを変えるべきか、どんな詐欺メッセージが届きそうかが見えてきます。

漏えいに含まれていたからといって、あなたのメールボックスが乗っ取られたとは限りません。そのアドレスを登録していたサービスが、アドレスに紐づくデータを失ったというだけのことです。実際の危険度は、何が流出したのか、そして同じパスワードを他のサービスでも使っていないかによって決まります。

広く使われている無料サービスのひとつが、独立したセキュリティ研究者が作ったHave I Been Pwnedです。公に知られている漏えい事件のデータを集めており、メールアドレスを入力すると、どの事件に含まれていたか、どの種類のデータが流出したかを確認できます。流出したパスワードそのものは表示されません。今後の漏えいにアドレスが含まれたときに通知を受け取る登録もできます。

Google、Apple、Microsoftの製品に組み込まれているものを含め、多くのパスワードマネージャーには、保存してあるパスワードが既知の漏えいデータに現れると警告する機能があります。メールサービスやセキュリティ会社が、同様の監視機能を提供している場合もあります。こうした機能はアドレスだけでなく実際のパスワードを照合するため、とても有用です。

チェックに使うサービスは慎重に選んでください。正規のサービスが必要とするのはメールアドレスだけで、メールのパスワードを尋ねることはありません。結果を見るために料金を求めるサイト、ソフトのインストールを求めるサイト、「あなたの情報が流出しました」と一方的に届いてリンクのクリックを促すメッセージは避けましょう。また、流出したデータベースを自分で探し回るのはやめてください。取り扱いに危険が伴い、お住まいの地域によっては違法になることもあり、マルウェアが広まる典型的な経路でもあります。

結果には通常、漏えいしたサービスの名前、発生した時期、流出したデータの種類が並びます。注目したいのはデータの種類です。メールアドレスと氏名だけであれば、主にフィッシングを受けるリスクが高まる程度ですが、パスワード、秘密の質問、電話番号が含まれている場合は、アカウントへの対応が必要です。

古い漏えいであっても、同じパスワードをほかのサービスで使っていたなら、今でも影響があります。攻撃者は古い組み合わせを何度も試し続けるからです。漏えいしたサービスでどのパスワードを使っていたか思い出せないときは、使い回していたものだったと考えて、それが登場するすべての場所で変更してください。

該当がなかったことは良い知らせですが、これで完全に安心できるわけではありません。すべての漏えいが公表されるわけではなく、発生から長い時間がたってから発覚するものもあります。使い回さないパスワードと二要素認証は、漏えいが報告されているかどうかにかかわらず、あなたを守ってくれます。

漏えいしたサービスのアカウントがまだ残っているなら、まずそのパスワードを変更し、続いて、同じパスワードや似たパスワードを使っていたほかのすべてのアカウントでも変更します。最初に取りかかるのはメールアカウントです。メールを押さえられると、ほかのアカウントも再設定されてしまうからです。パスワードマネージャーを使って、アカウントごとに固有の新しいパスワードを作りましょう。

二要素認証は、提供されているすべての場所で有効にします。メール、クラウドストレージ、支払いに関わるものから始めてください。認証アプリやセキュリティキーを使っていれば、今後の漏えいで新しいパスワードが流出しても、保護が保たれます。

秘密の質問が流出した場合は、答えを変え、パスワードと同じように扱ってください。実際の出身校の名前よりも、パスワードマネージャーに保存したランダムな答えのほうが安全です。支払いに関する情報が関わっていた場合は、利用明細に注意し、金融機関の案内に従ってください。

メールアカウントに侵入した攻撃者は、気づかれないままそこに居座ろうとすることがよくあります。メールの設定を開き、転送、フィルター、ルールを確認しましょう。見覚えのない転送先アドレスや、「請求書」「パスワード」「セキュリティ」といった語を含むメッセージを移動したり削除したりするルールは、侵入されている強い兆候です。自分で作っていないものは削除してください。

続いて、再設定用のメールアドレスと電話番号、委任アクセスや共有メールボックスの権限、自動返信、署名を確認します。送信済みフォルダーやゴミ箱に、自分が書いていない、あるいは削除した覚えのないメッセージがないかも見てください。アプリパスワードを使っているサービスでは、心当たりのないものを取り消しましょう。

メニューの名称はGmail、Outlook、Yahoo、GMXなどのサービスによって異なりますが、これらの項目は通常、メール設定の転送、フィルター、ルールの項目や、アカウントのセキュリティの画面にあります。

アカウントのセキュリティ設定で、端末とログイン中のセッションの一覧を開きます。見覚えのないものはすべてログアウトするか、「ほかのすべてのセッションからログアウト」といった機能を使い、そのあと自分の端末で入り直します。パスワードを変えるだけでは、すでに開いているセッションが終了しないことがあるためです。

「Googleでログイン」「Microsoftでサインイン」のボタンなどを通じてアカウントにアクセスできるようになっている外部のアプリやサービスも見直し、使っていないものや心当たりのないものは削除します。こうした連携は、パスワードを変更したあとも働き続けることがあります。

最後に、最近のセキュリティ アクティビティのページを読みましょう。多くのサービスでは、サインイン、パスワードの変更、新しい端末が一覧になっています。知らない場所や端末からのサインインが成功した形跡があれば、パスワードの変更とセッションのログアウトをもう一度行い、再設定用の情報が今も正しいかを確認してください。

使っているすべてのアドレスで漏えい通知に登録し、パスワードマネージャーの漏えいアラートも有効にしましょう。早めに知らせが届けば、ほかのアカウントで試される前にパスワードを変える時間が取れます。

用途ごとに別のアドレスやエイリアスを使うことも検討してください。たとえば、銀行や重要なサービス用と、メールマガジンやショッピング用を分ける使い方です。エイリアスや、ユーザー名の後ろにプラス記号とタグを付けるプラスアドレスに対応しているプロバイダーもあり、どのサービスがアドレスを漏らしたり共有したりしたのかを見分ける助けにもなります。

ほかの人から入手したメールアカウント、たとえばrStockのようなマーケットプレイスで購入したアカウントを使う場合は、注文ページに納品が表示されたらすぐに、重要なサービスと紐づける前に、上記のメールボックスとセッションの確認を行ってください。アカウントはプロバイダーの利用規約に沿って使いましょう。rStockは、この記事で挙げているどのメールプロバイダーとも提携していません。固有のパスワード、二要素認証、定期的な見直しという同じ習慣が、新しいメールボックスでも古いものでも、あなた自身の管理下に置いてくれます。