Have I Been Pwnedでメールアドレスの漏えいが見つかったら？2026年はまずリスクを分類

症状：Have I Been Pwnedでメールアドレスが見つかっても、メールアカウントが盗まれたとは限りません。
最短の対処：記録に含まれる情報とパスワードの使い回しを確認し、該当するサービスから個別に保護します。

この記事は、漏えい記録を見つけてアカウント侵入との違いを確かめたい方に向けています。
同じパスワードを複数のサイトで使ったことがあり、変更の優先順位を決めたい方にも役立ちます。
主メールを変えるべきか、今後の登録先を分けるべきか迷っている方も対象です。

アドレスの記録とアカウント侵入の違い

Have I Been Pwnedの検索結果は、入力したメールアドレスが、サービスに収録された既知の漏えい記録に関連していることを示します。結果が見つかっただけでは、現在そのメールアカウントに第三者がログインできることや、受信箱を読まれたことまでは証明されません。公式FAQの説明を確認し、該当する記録の説明と、漏えいしたとされるデータの種類を分けて読みます。

確認の要点は、アドレスのみの露出なのか、パスワードや認証情報も含まれるのかです。記録の詳細が示す範囲を超えて、「主メールが乗っ取られた」「そのサイトがアドレスを販売した」と決めつけないでください。どの事業者が情報を外部に渡したかまで、検索結果だけから特定できるわけではありません。

Have I Been Pwnedの漏えい記録にパスワードが含まれると説明されていても、まず確認するのは、そのパスワードを現在も使っているかどうかです。すでに使っていない古い認証情報と、ほかのサービスにも使い回している認証情報では、必要な対応が異なります。

パスワードの露出と使い回しの優先度

これは記録の種類とアカウントの役割に基づく判断であり、漏えいによる被害確率を示す数値ではありません。FTCは、データ漏えい後の対応として、影響を受けたアカウントのパスワード変更や、利用可能な場合の多要素認証を案内しています。FTCの漏えい対処ガイドを参考に、影響を受けたサービスから順に対処してください。

パスワードの使い回しがある場合は、変更対象を一つのサイトに限定しないことが重要です。メールアカウントはほかのサービスのパスワード再設定先として使われるため、独立したパスワードを設定し、復旧用メールアドレスや電話番号も現在利用できる情報か点検します。複数の固有パスワードを管理しづらい場合は、CISAのパスワード管理ツールに関する案内も参考になります。

メールアカウントの異常と検索結果の違い

メールアカウントが実際に第三者に操作された可能性は、漏えい検索とは別に確認します。判断材料には、本人が操作していないのにログインできなくなったこと、身に覚えのないセキュリティ通知、設定した覚えのない自動転送ルールなどがあります。どれか一つだけで侵害を断定するのではなく、サービスのセキュリティ画面や最近のアカウント活動と合わせて確認してください。

異常がある場合は、漏えい記録に出たサイトのパスワードを変えるだけでは不十分です。メールサービスの公式アカウント復旧手順に従い、アクセスの回復、パスワードの変更、復旧情報と転送設定の確認を進めます。FTCのメールアカウント復旧ガイドでは、アカウントにアクセスできない場合などの対処が案内されています。検索結果が見つからない場合も、既知の記録に該当しなかったという意味にとどまり、未掲載の漏えいや現在の安全を保証するものではありません。FTCの多要素認証ガイドを参考に、利用できる重要アカウントで追加認証も有効にしてください。

状況別の対処条件

次の条件に沿って、変更対象と登録先を決めます。

• 漏えい記録にパスワードが含まれ、今も同じ認証情報を使っている場合は、該当サービスのパスワードを変更します。別のサービスでも同じ、または似たものを使っていれば、それぞれ別のパスワードにします。
• メールアカウントに不審なログインや転送設定がある場合は、メールサービスの公式復旧手順を優先します。漏えいしたサイトのパスワード変更だけで対処を終えないでください。
• 主メールがほかのアカウントの再設定先になっている場合は、主メールに固有のパスワードを使い、復旧情報と多要素認証を確認します。銀行、決済、行政など、長期的な受信とアカウント復旧が必要なサービスには、継続して管理できるメールアドレスを使います。
• 記録がアドレスのみで、パスワードの使い回しもなく、メールアカウントにも異常がない場合は、検索結果だけを理由に主メールを捨てる必要はありません。記録内容と関連アカウントの状態を見ながら、今後の登録先を分けるか判断します。

今後の登録先と既存の漏えいの切り分け

低信頼のサイトや短期間だけ使うサービスに、主メールをそのまま登録しない方法は、今後の受信を分け、どの登録先に何を使ったか把握しやすくするのに役立ちます。ただし、別のアドレスを使っても、すでに漏えい記録に載った情報を消したり、過去の流出元を特定したりすることはできません。登録先を分けることは将来の露出を管理する方法であり、既存の漏えいを取り消す手段ではありません。

一時的な受信先を選ぶ場合は、登録後に必要な通知を受け取れるか、ログインやパスワード再設定で同じアドレスが必要になるかを確認します。長期の利用や本人確認が必要なアカウントでは、受信先を継続して管理できることが優先です。登録先を分けてメールの流れを管理する方法は、メール転送の仕組みやメールプライバシーの考え方も確認し、用途に合わせて選んでください。

よくある確認事項

メールアドレスだけが記録されている場合

該当する記録の説明を確認し、パスワードや認証情報が含まれているかを見ます。記録にアドレスしか示されていなくても、ほかの安全情報が漏れていないと断定することはできません。パスワードの使い回しと、メールアカウントのセキュリティ設定を併せて確認します。

検索結果とメールアカウントへの侵入

漏えい検索でアドレスが見つかることと、受信箱への不正ログインは別の状態です。ログイン不能、本人が操作していない通知、知らない転送設定があれば、メールサービスの公式窓口を使います。検索結果だけを根拠に侵入の有無を決めないでください。

使い回したパスワードの変更範囲

該当サイトで使っていたパスワードが、別のサービスでも使われている場合は、各アカウントで個別のパスワードに変更します。メールや、ほかのアカウントの復旧に使うサービスは特に優先して確認します。変更後に多要素認証を利用できるかも点検してください。

検索結果が見つからない場合

結果がないことは、検索サービスが収録している既知の情報に該当しなかったことを示します。アドレスが一度も漏えいしていない、またはアカウントが絶対に安全だという証明ではありません。漏えい通知、アカウントの活動状況、パスワードの使い回しを合わせて判断し、単回の検索だけで主メールを急いで変更しないようにします。

既存の漏えい記録は、登録先を変えても消せません。一方で、これから登録する低信頼のサイトや短期利用のサービスでは、主メールを使わずに受信先を分ける方法を検討できます。TempPinの一時メールを今後の登録先の候補として確認し、必要な通知やアカウント復旧を長く管理する重要なサービスには、継続して使えるメールアドレスを残す形で使い分けてください。

よくある質問