パスワードがすでに攻撃者の手に渡っているのではと心配ですか？上に入力していただければ、Have I Been Pwnedデータベースを使い、実際のデータ漏洩で流出した数億件のパスワードと照合します。このチェックはプライバシーを保護します。パスワードはブラウザ内でハッシュ化され、そのハッシュの先頭5文字だけが送信されます。実際のパスワードがデバイスの外に出ることは決してありません。

データ漏洩とは？

データ漏洩とは、攻撃者が企業やサービスから情報を盗み出すことで、その情報にはユーザー名やパスワードが含まれることがよくあります。これらの認証情報は巨大なリストにまとめられ、オンラインで取引されたり公開されたりします。あなたが使っているパスワードがこうしたリストに含まれている場合、それは「pwned」された状態とみなされ、攻撃者はcredential stuffingと呼ばれる手法で、あなたの他のアカウントにそのパスワードを試します。漏洩したパスワードが危険なのは、たとえその漏洩があなた自身のものでなくても同じだからです。

このチェックがプライバシーを守る仕組み

安全かどうかを尋ねるためだけにパスワードをウェブサイトに送信したのでは本末転倒です。そこでこのツールは、k-anonymityと呼ばれる巧妙な技術を使っています。

1. パスワードはブラウザ内でSHA-1によりハッシュ化されます。
2. そのハッシュの先頭5文字だけがHave I Been Pwned APIに送信されます。
3. サービスは、その5文字を共有する漏洩済みハッシュをすべて返します。その数は数百件にのぼります。
4. ブラウザは完全なハッシュをそのリストとローカルで照合し、結果を表示します。

サービス側があなたのパスワードを見ることも、完全なハッシュを見ることも、返されたエントリのうちどれが（もしあれば）あなたのものかを知ることもできません。当方側にも何も保存されません。

パスワードが見つかった場合にすべきこと

• どこでも使うのをやめてください。すべてのアカウントで漏洩したものとして扱ってください。
• そのパスワードを使ったすべてのアカウントで直ちに変更してください。
• 当方のパスワードジェネレーターで新しい一意のパスワードを生成してください。長くランダムなパスワードがこれらのリストに載ることはありません。
• パスワードマネージャーを使い、すべてのアカウントにそれぞれ固有のパスワードを設定してください。
• さらなる保護のために二要素認証（2FA）を有効にしてください。

パスワードが見つからなかった場合の意味

「見つかりませんでした」という結果は安心材料です。そのパスワードがHave I Been Pwnedの把握している漏洩には含まれていないことを意味します。ただし、これはパスワードが強固であることを保証するものではありません。短く単純なパスワードは、まだ漏洩していなくても解読される可能性があります。ですので、当方のパスワード強度チェッカーでも確認してください。

よくある質問

ここにパスワードを入力しても安全ですか？

はい。パスワードはローカルでハッシュ化され、k-anonymityのおかげでそのハッシュの5文字分の断片だけが送信されます。パスワードとその完全なハッシュがブラウザの外に出ることはなく、何も保存されません。

漏洩データはどこから来ているのですか？

Have I Been Pwnedからです。公開されたデータ漏洩で流出したパスワードを、検索可能でプライバシーを保護するデータベースに集約している信頼性の高いサービスです。

パスワードが見つかりました。私のアカウントはハッキングされたということですか？

必ずしもそうではありませんが、そのパスワードが攻撃者に知られており、使用するのは安全でないことを意味します。使用したすべての場所で変更し、一意の生成されたパスワードに切り替えてください。

「見つかりませんでした」という結果は、パスワードが強固だという意味ですか？

いいえ。それは、そのパスワードが既知の漏洩に登場していないことを意味するだけです。強度は長さとランダム性によって決まります。それは別途、強度チェッカーで確認してください。