メールアドレスの漏洩チェックは、Have I Been Pwned などの無料の漏えい確認サイトにアドレスを入れるだけで、数分で終わります。会社のメールアドレスは、ドメイン単位でまとめて調べる方法もあります。社員それぞれのパスワードは、Google や iPhone の機能で保存済みのものを確認できます。業務用アドレスが外部サービスの漏えいに含まれているかは、調べてみないと分かりません。

この記事では、個人と会社それぞれの確認方法に加えて、漏れていたときの初動・経営層への報告の型・漏えい元の見分け方を解説します。漏れていたときに社内で誰が何をするかを、あらかじめ決めておくと迷いにくくなります。社員への案内文 3 種・経営層への報告テンプレ・担当別の初動チェックリストを 1 つにまとめた資料 ( 無料 ) を用意しました。社内対応チェックリストをダウンロードする ( 無料 )

この記事を読んでる方必見！おすすめ資料

「漏えいの原因が社内PCか切り分けられない」「PCの操作記録が残っていない」などの課題を、簡単な操作と低コストで解決します。

▼Watchyでできること▼
・誰がいつPCを使い、どのサイトを見たかを後から確認できる
・USBやソフトの利用を記録し、原因の切り分けに使える
・操作が簡単で初心者の情シスも使いやすい

会社名 必須
姓 必須
名 必須
メールアドレス 必須
電話番号 必須
従業員数 必須
Comments
プライバシーポリシーと利用規約 必須

目次

メールアドレス・パスワードの漏洩チェックとは

メールアドレス・パスワードの漏洩チェックとは、自分や自社のアドレスとパスワードが過去の情報漏えいのデータに含まれていないかを調べることです。 調べる対象は「どこかのサービスから漏れた自分たちの情報」であり、自社のシステムに侵入されたかどうかを調べるものではありません。「流出チェック」とも呼ばれ、業務用アドレスを外部サービスの登録に使っていれば、個人用と同じように漏えいに含まれることがあります。

会社として確認が必要な理由は、漏れた組み合わせが社内のクラウドサービスへの不正ログインにつながるおそれがあるからです。攻撃者は漏えいしたメールアドレスとパスワードの組み合わせを別のサービスで試します ( 総務省は「リスト型攻撃」と呼んでいます )。IPA ( 情報処理推進機構 ) の「情報セキュリティ 10 大脅威 2026」も、個人の脅威に「インターネット上のサービスへの不正ログイン」を挙げています。個人情報保護委員会が令和 7 年度に処理した民間事業者の漏えい等報告は 17,139 件で、前年度 ( 19,056 件 ) より減ったものの、年間 1.7 万件規模が続いています。漏洩チェックは、その入口を早く見つける作業です。

出典: 総務省「リスト型アカウントハッキングによる不正ログインへの対応方策について」 / IPA「情報セキュリティ 10 大脅威 2026」 / 個人情報保護委員会「令和 7 年度 年次報告の概要について」

個人がメールアドレス・パスワードの漏洩をチェックする方法

個人のメールアドレスとパスワードの漏洩チェックに使える無料ツールは 4 種類あります。「まず Have I Been Pwned で 1 回調べる」と「Chrome なら Google のチェックアップを開く」の 2 つから始められます。会社のドメインをまとめて調べたい場合は、次の章「企業がメールアドレスの漏洩を一括でチェックする方法」に進んでください。

ツール調べられるもの向いている人
Have I Been Pwnedメールアドレス・パスワード・自社ドメインまず 1 回調べたい人、会社で一括して調べたい担当者 ( 英語画面、通知あり )
Google パスワード マネージャーGoogle に保存したパスワードChrome・Android を使っている人 ( 日本語、Chrome が警告 )
Mozilla Monitorメールアドレス日本語の画面で通知を受けたい人 ( 常に無料、通知はアカウント登録 )
セキュリティベンダーの流出チェック ( ノートン・トレンドマイクロ・ソフトバンク )メールアドレス有料サービスの検討も含めて調べたい人 ( 各社の有料サービスの一部または体験版 )

Mozilla Monitor は Mozilla が提供するサービスです。セキュリティベンダー各社のページは、入力したアドレスの扱いと有料サービスの条件を各社の説明で確認してください。トレンドマイクロは結果の確認にアカウント登録が必要です。

出典: Mozilla Monitor / ノートン / トレンドマイクロ ID プロテクション / ソフトバンク / トレンドマイクロ ヘルプ「個人情報の流出チェック」機能

  • Have I Been Pwned の使い方 ( メールアドレスとパスワードを調べる )
  • Google のパスワード チェックアップで保存済みのパスワードを調べる
  • iPhone・Chrome・Edge の警告で漏洩に気づく
  • ダークウェブ監視サービスで継続的に調べる

Have I Been Pwned の使い方 ( メールアドレスとパスワードを調べる )

メールアドレスの漏洩チェックの代表的な無料サイトが Have I Been Pwned ( ハブ・アイ・ビーン・ポーンド ) です。個人のセキュリティ専門家が 2013 年から運営する無料サイトで、2026 年 10 月時点で約 178 億件の漏えいアカウント情報と照合できます。使い方は、トップページの入力欄にメールアドレスを入れて「Check」を押すだけです。含まれていれば「Oh no — pwned!」と表示され、どのサービスの漏えいに含まれていたかが一覧になります。調べたアドレスはサイト側に記録されず、「Notify Me」に登録すると今後の漏えいも通知されます。

パスワードの漏洩チェックは、同じサイトの「Pwned Passwords」で行います。入力したパスワードは端末内でハッシュ値 ( 元に戻せない文字列 ) に変換され、先頭 5 文字だけが送られます。パスワードそのものはサイトに送られない仕組みです。

出典: Have I Been Pwned / 同 About / 同 FAQ / 同 Pwned Passwords / 同 API ドキュメント ( k-匿名性の説明 )

Google のパスワード チェックアップで保存済みのパスワードを調べる

Google アカウントに保存したパスワードは、パスワード チェックアップでまとめて漏洩チェックできます。確認できるのは「漏洩している」「脆弱である」「複数のアカウントで使用されている」の 3 点です。開き方は次のとおりです。

  1. Chrome の右上のメニューから「パスワードと自動入力」→「Google パスワード マネージャー」を開く
  2. 左側の「チェックアップ」を選ぶ
  3. 別のブラウザの場合は https://passwords.google.com/ を開き、「パスワード チェックアップに移動」を選ぶ

漏えいが見つかったパスワードは、ユーザー名との組み合わせがすでに公開されている状態です。Android のスマホも Google パスワード マネージャーに保存されるので同じ画面で確認できます。

出典: Google アカウント ヘルプ ( パスワード チェックアップ )

iPhone・Chrome・Edge の警告で漏洩に気づく

端末やブラウザの警告は、自分で調べなくても漏洩チェックの結果を知らせてくれる仕組みです。Chrome では、漏えいしたパスワードとユーザー名の組み合わせでログインすると警告が出ます。文言は「一般に報告されているデータ侵害であなたのパスワードが検出されました」です。切り替えは「設定」→「プライバシーとセキュリティ」→「セキュリティ」→「標準保護機能」の中にあり、セーフ ブラウジングが有効なときに動きます。

Microsoft Edge にも同じ機能「パスワード モニター」があります。有効にするには「設定」→「パスワードとオートフィル」→「Microsoft Password Manager」→「パスワード セキュリティ チェック」を開き、「漏洩したパスワード スキャン」をオンにします。漏えい・使い回し・脆弱なパスワードが一覧で表示されます。Microsoft アカウントまたは職場アカウントでのサインインが必要です。

iPhone では、iCloud キーチェーン ( Apple のパスワード保存機能 ) に保存したパスワードが既知の漏えいデータに含まれると勧告が出ます。表示される場所は、iOS 18 以降は「パスワード」アプリの「セキュリティ」、iOS 17 以前は「設定」→「パスワード」→「セキュリティに関する勧告」です。勧告が出たパスワードは、該当サービスのサイトやアプリで変更します。

出典: Google Chrome ヘルプ「Chrome でパスワードを管理する」 / Microsoft「Microsoft Edge でパスワード モニターを使用してパスワードを保護する」 / Apple「iPhone で安全性の低いパスワードまたは侵害されたパスワードを変更する」( iOS 18 以降 ) / 同 ( iOS 17 )

ダークウェブ監視サービスで継続的に調べる

漏えいの監視サービスは、登録したメールアドレスが今後の漏えいに含まれたときに知らせるサービスです。1 回きりの漏洩チェックと違い、登録しておけば自動で通知が届きます。個人なら、Have I Been Pwned の「Notify Me」か Mozilla Monitor の通知を無料で使えます。会社のアドレスをまとめて見たい場合は、次の章の Have I Been Pwned のドメイン監視を使います。

出典: Have I Been Pwned ( Notify Me ) / Mozilla Monitor

ダークウェブそのものの仕組みと、企業として取るべき対策は次の記事で詳しく解説しています。

ダークウェブで情報漏洩？企業を守るためのセキュリティ対策を解説一般的な方法でアクセスすることができない「ダークウェブ」は危険なサイトも多く、従業員がダークウェブにアクセスすることで企…#情報漏洩対策

企業がメールアドレスの漏洩を一括でチェックする方法

会社のメールアドレスは、Have I Been Pwned のドメイン監視で「example.co.jp」のようにドメイン単位で一括して漏洩チェックできます。社員一人ひとりに確認を頼まなくても、情シスや総務の担当者がまとめて確認できます。無料で始められ、漏えいに含まれていた自社アドレスが一覧になります。

  • Have I Been Pwned のドメイン監視を使う ( 所有確認と無料の範囲 )
  • 漏えいアドレスが多い場合の有料プランの目安
  • 結果の読み方と社内への伝え方

Have I Been Pwned のドメイン監視を使う ( 所有確認と無料の範囲 )

ドメイン単位の漏洩チェックは、次の 4 手順で始められます。他人のドメインを勝手に調べられないよう、途中で「そのドメインを管理していること」の確認が入ります。確認の方法は 4 つあり、DNS を外部業者に任せている会社でも、確認用アドレスでメールを受け取る方法なら自分で済ませられます。

  1. Have I Been Pwned のダッシュボードに、自分のメールアドレスでサインインする
  2. 自社のドメインを追加する
  3. 所有確認を行う。方法は、ドメインの DNS に指定の TXT レコードを追加する、security@ や admin@ など指定された 5 種のアドレス ( admin・hostmaster・info・security・webmaster ) のどれかでメールを受け取る、指定のファイルを Web サイトに置く、トップページにメタタグを入れる、の 4 つ
  4. 確認が済むと、漏えいデータに含まれる自社アドレスが一覧になる

社員のアドレスを調べることになるので、始める前に「会社のドメインの漏えい監視を始める」と社内に一言周知しておきましょう。後で「勝手に調べた」と受け取られにくくなります。無料で監視できるのは、漏えいデータに含まれていた自社アドレスが 10 件までのドメインです。社員数ではなく「漏れていた件数」なので、社員 80 名でも該当が 10 件以下なら無料の範囲です。

出典: Have I Been Pwned FAQ ( ドメイン検索と所有確認 ) / 同 API ドキュメント ( 所有確認の方法 ) / 同「Subscription」( 無料の範囲 )

漏えいアドレスが多い場合の有料プランの目安

漏えいアドレスが 10 件を超える場合は、有料プランを契約するとドメインの漏洩チェックを続けられます。プランの違いは、監視できる漏えいアドレスの件数とドメイン数です。2026 年 10 月時点の料金 ( 年払いの月額換算 ) は次のとおりです。

プラン月額 ( 米ドル )監視できる漏えいアドレス数ドメイン数
Core 14.39 ドル25 件まで1
Core 221.59 ドル100 件まで3
Core 336.99 ドル500 件まで5

まず無料で登録して件数を確かめてから、プランを検討できます。有料にしない選択肢もあり、該当者が多いときは全社員に個別チェックを案内する方法 ( 前の章 ) に切り替えられます。料金は改定されることがあるため、契約前に公式ページで確認してください。

出典: Have I Been Pwned「Subscription」

結果の読み方と社内への伝え方

一括の漏洩チェックの結果は「誰のアドレスが・どのサービスの漏えいに・いつ含まれたか」の 3 点で読みます。結果は大きく 3 パターンに分かれ、それぞれ次に行うことが違います。退職者のアドレスが含まれる場合もあるので、人事の情報と照らしながら読みます。

結果意味次に行うこと
0 件Have I Been Pwned に登録された既知の漏えいには含まれていない。未登録の漏えいは照合できず、安全の証明ではない通知を有効にして終了。経営層には「既知の漏えいには含まれていない。継続監視を開始した」と報告
数件 ( 退職者のアドレスを含む )業務で使っていたサービスの漏えいに含まれていた本人に連絡して次の章の対処へ。退職者のアドレスは、アカウントの停止と転送設定の削除が済んでいるかを確認
該当者が多数全社で使うサービスの漏えいや、使い回しが広い可能性がある個別連絡をやめ、全社一斉のパスワード変更と多要素認証の案内に切り替える

社内に伝えるときは該当者を責めず、やることだけを短く伝えます。外部サービス側で起きた漏えいは、本人の落ち度とは限りません。全社員に個別の確認を頼むときの案内は、件名と冒頭を次の形にします。

件名: 【5 分で完了】メールアドレスとパスワードの漏えい確認のお願い
相次ぐ情報漏えいを受け、全社員に次の確認をお願いします。所要時間は 5 分です。( 以下、確認の手順 2 点と、見つかったときの連絡先 )

該当者への連絡は、件名を「【対応のお願い】ご利用サービスの情報漏えいについて」とします。冒頭で「サービス側で起きた漏えいで、○○さんを責めるものではありません」と伝えます。そのうえで、本日中にやること 2 点 ( 該当サービスのパスワード変更と、使い回している他サービスの変更 ) と連絡先を書きます。案内文の全文 ( 全社員向け・該当者向け・監視開始の事前周知の 3 種 ) は、記事末尾の資料にまとめています。

メールアドレス・パスワードの漏洩が分かったときに行うべき対処法

メールアドレスやパスワードの漏洩チェックで「含まれていた」と出たら、行うべき対処は 5 つです。まずパスワードを変え、次に多要素認証を有効にしてから、棚卸しと確認に進みます。

順番やること担当の目安
1該当アカウントのパスワードを変える本人
2多要素認証を有効にする本人・情シス
3共有アカウントと退職者アカウントを棚卸しする情シス・総務
4ログイン履歴と PC の操作を確認する情シス
5取引先や個人情報保護委員会への報告が必要か判断する管理部門・経営層

該当アカウントのパスワードを変える

漏洩チェックで見つかったアカウントは、その日のうちにパスワードを変えます。変える対象は、漏えいしたサービスだけでなく、同じパスワードを使い回していたすべてのサービスです。新しいパスワードは IPA の「情報セキュリティ 6 か条」が示すとおり、英数字記号を含めて 10 文字以上にします。

出典: IPA「情報セキュリティ 6 か条 解説編」( 2026 年 9 月 )

多要素認証を有効にする

パスワードを変えたら、同じアカウントで多要素認証を有効にします。多要素認証とは、パスワードに加えてスマホのアプリや SMS のコードなど別の要素を組み合わせてログインする仕組みです。有効にしておけば、万一パスワードが再び漏洩チェックに引っかかっても、それだけではログインできません。IPA の 6 か条も、可能な場合は多要素認証やパスキー ( 端末の指紋や顔認証でログインする仕組み ) を使うよう勧めています。

出典: IPA「情報セキュリティ 6 か条 解説編」( 2026 年 9 月 )

共有アカウントと退職者アカウントを棚卸しする

漏洩チェックの結果に「info@」のような共有アドレスが含まれていたら、誰がそのパスワードを知っているかを確認します。共有アカウントは担当者が変わるたびにパスワードが引き継がれ、退職者が今も知っている状態になることがあります。共有アカウントの一覧・パスワードを知っている人・最後に変更した日を書き出し、残っている退職者のアカウントは停止しましょう。

ログイン履歴と PC の操作を確認する

漏洩チェックで見つかったパスワードが、すでに使われていないかを確認します。目的は「不正ログインがもう起きていないか」を知ることです。専用のツールがなくても、今すぐできる確認が 3 つあります。

  • クラウドサービスのログイン履歴: Google Workspace なら管理コンソールの「レポート」→「監査と調査」→「ユーザーのログイベント」、Microsoft 365 なら Microsoft Entra 管理センターの「Entra ID」→「監視 & 正常性」→「サインイン ログ」で、該当者の見覚えのない時間帯や場所からのログインを探す ( どちらも管理者の権限が必要 )
  • ウイルス対策ソフトのフルスキャン: 該当者の PC を検査し、情報を盗むマルウェアが入っていないかを見る
  • ブラウザに保存したパスワードの入れ替え: 該当者の PC のブラウザに保存されているパスワードをすべて変える

PC 側のログオン履歴や操作の記録が社内にない場合は、ここで止まらず 5 番目へ進みます。「PC 側の記録がなく、原因の切り分けができなかった」こと自体を改善点として経営層に報告し、原因の見分け方は後の章を使ってください。確認した内容は日時とともに記録しておきましょう。

出典: Google Workspace 管理者ヘルプ「ユーザーのログイベント」 / Microsoft Learn「Microsoft Entra ID のサインイン ログ」

取引先や個人情報保護委員会への報告が必要か判断する

個人情報保護委員会への報告が義務になるのは、自社が取り扱う個人データの漏えい等で、次の 4 つのいずれかに当たる場合です。外部サービスの漏えいに業務用アドレスが含まれていたときは、自社が取り扱う個人データにまで影響が及んだかを先に確認します。

  • 要配慮個人情報 ( 病歴や犯罪歴など ) が含まれる
  • 不正に利用されることで財産的被害が生じるおそれがある
  • 不正の目的をもって行われたおそれがある
  • 本人の数が 1,000 人を超える

漏れたパスワードで業務システムに不正ログインされて顧客データが見られた可能性があるなら、「不正の目的」に当たり報告の対象になります。その場合は発覚から 3〜5 日以内に速報、30 日以内 ( 不正の目的の場合は 60 日以内 ) に確報を出し、本人への通知も必要です。

取引先への連絡は、漏れたアカウントから取引先にメールが送られた形跡がある場合や、取引先の情報を扱うサービスのアカウントだった場合に行います。偽メールへの注意喚起を添えて一報します。上記に当たらない場合も、契約に通知の取り決めがあるかを確認し、あれば契約に従います。

出典: 個人情報保護委員会「漏えい等の対応とお役立ち資料」 / 同「個人情報の保護に関する法律についてのガイドライン」に関する Q&A ( Q6-8 不正の目的、Q6-29〜6-32 本人への通知 )

経営層への報告は、次の 5 点を順に並べると、1 枚にまとめやすくなります。

  1. 事実 ( 何件・どのサービス・いつ )
  2. 実施済みの対応
  3. 残っている対応
  4. 報告義務の判断
  5. 今後の対策と費用感

各項目の書き方と、0 件だった場合の文例は、記事末尾の資料の報告テンプレに記入欄つきで入れています。

漏えいが社内の個人データに及んだときの体制づくりと報告の流れは、次の記事にまとめています。

個人情報漏洩対応マニュアルの作成方法とは？ 事例から学ぶ適切な対応策個人情報漏洩は企業の信頼を大きく損なう事態につながりかねません。適切な対応を行うためには、個人情報漏洩対応マニュアルの作…#情報漏洩対策

対処の 5 つを「誰が・いつ・何を確認するか」の一覧にして手元に置いておくと、実際に見つかったときに迷いにくくなります。上の表に期限の目安を足したチェックリストと、社員への案内文 3 種・経営層への報告テンプレを 1 つの資料 ( 無料 ) にまとめています。社内対応チェックリストをダウンロードする ( 無料 )

メールアドレスやパスワードが漏洩する原因

メールアドレスやパスワードが漏洩する原因は、主に次の 4 つがあります。漏洩チェックで見つかった原因が「利用していたサービス側の漏えい」か「社内 PC の感染」かで、その後の対応は大きく変わります。前者は本人のパスワード変更と多要素認証が中心になり、後者は PC の隔離と、その PC で使っていたすべてのアカウントの確認が必要になります。

原因本人にできること気づく手段
利用しているサービス側の漏えい使い回しをやめる漏洩チェック・サービスからの通知
フィッシングや偽サイトへの入力メールのリンクからではなく、ブックマークや公式アプリからログインする多要素認証の通知・身に覚えのないログイン
複数のサービスでの使い回しサービスごとに変えるパスワード チェックアップ
社内 PC のマルウェア感染不審な添付やソフトを開かないウイルス対策ソフト・操作ログ ( その PC で使っていたすべてのアカウントが対象になる )
  • サービス側の情報漏洩
  • 社内 PC がウイルス感染した

サービス側の情報漏洩

利用していた Web サービスの会員データベースが攻撃を受けると、登録していたメールアドレスやパスワードがまとめて流出します。利用者側の注意だけでは防ぎにくい漏えいです。個人情報保護委員会の四半期報告でも、令和 8 年度第 1 四半期の報告対象事態のうち、不正アクセスなど「不正の目的」によるものが 26.6% ( 1,450 件 ) を占めています。Have I Been Pwned の結果に特定のサービス名と漏えいの時期が示されていれば、そのサービス側で起きた漏えいの可能性が高いと考えられます。対応は本人のパスワード変更と多要素認証が中心になります。IPA の情報セキュリティ 6 か条が挙げる「同じ ID・パスワードをいろいろなウェブサービスで使い回さない」を守っていれば、被害が他のサービスに広がるのを防ぎやすくなります。

出典: 個人情報保護委員会「令和 8 年度第 1 四半期における漏えい等報告の処理状況」 / IPA「情報セキュリティ 6 か条 解説編」( 2026 年 9 月 )

社内 PC がウイルス感染した

社内 PC が情報窃取型のマルウェア ( インフォスティーラー ) に感染すると、ブラウザに保存したパスワードが盗み取られます。この場合に漏洩チェックで見つかるのは 1 つのサービスではなく、その PC で使っていたすべてのアカウントです。複数のサービスのパスワードが同時期にまとめて漏れている場合や、結果に該当がないのに不正ログインが起きている場合は、PC 側の感染を疑います。

出典: 栃木県警察「インフォスティーラー ( 情報窃取型マルウェア ) に注意！」

手がかりサービス側の漏えい社内 PC の感染
漏えい元特定のサービス名が結果に出る結果に出ない、または複数サービスが同時
影響範囲そのサービスのアカウントだけブラウザに保存した全パスワード
対応パスワード変更と多要素認証PC の隔離・初期化、全パスワードの変更

感染が疑われる PC はネットワークから切り離し、ウイルス対策ソフトで検査し、必要なら初期化します。判断の手がかりになるのは、該当者の PC のログオン履歴と操作ログです。業務時間外のログオンや見覚えのないソフトのインストールが残っていれば、漏洩チェックで見つかった原因が PC 側にあった可能性が高まります。ただし、ログは取っていなければ後から見られないため、日頃から PC のログオン＆ログオフと Web 操作を記録しておく必要があります。Watchy の ログオン＆ログオフ監視 と Web 操作監視 では、誰がいつ PC を使い、どのサイトにアクセスしたかを後から確認できます。漏えいの有無そのものを調べる機能ではありませんが、「社内 PC が原因か」を判断する材料になります。

PC 側の記録を残す手段を探す段階なら、Watchy のサービス資料 ( 無料 ) でログオン＆ログオフ監視と Web 操作監視で何が分かるかを確認できます。Watchy のサービス資料をダウンロードする ( 無料 )

メールアドレス・パスワードの漏洩を防ぐための対策

メールアドレスやパスワードの漏えいを完全に防ぐことはできませんが、漏れても被害を広げないための対策として、ここでは 3 つを紹介します。使い回しをやめること、多要素認証を標準にすること、社内ルールを決めて定期的に漏洩チェックすることです。経営層に「今後どうするか」を聞かれたときは、この 3 点を軸に答えられます。

  • 使い回しをやめてパスワード管理ツールで管理する
  • 多要素認証を標準にする
  • 社内ルールを決めて定期的にチェックする

使い回しをやめてパスワード管理ツールで管理する

使い回しをやめる方法の 1 つが、パスワード管理ツールを使うことです。ツールに生成と保存を任せれば、10 文字以上の複雑なパスワードをサービスごとに使い分けられます。Google パスワード マネージャー・Edge のパスワード モニター・iPhone の「パスワード」アプリのように、ブラウザや OS に付属するものでも漏洩チェックの機能まで使える ( 前の章を参照 ) ので、ファイルごと漏れる危険がある Excel や紙での管理は避けましょう。

多要素認証を標準にする

多要素認証は、「会社で使うサービスでは必ず有効にする」と社内ルールで決めておく方法があります。パスワードが漏洩チェックに引っかかっても、多要素認証があればそれだけでは入れません。メールとクラウドストレージ、管理者権限のあるアカウントから始め、順に広げていきましょう。

社内ルールを決めて定期的にチェックする

漏洩チェックは 1 回で終わらせず、社内ルールとして定期的に行います。決めておくのは次の 3 点です。ルールは短くし、誰がいつ確認するかまで決めるのがコツです。

  • 業務用アドレスを私用の登録に使わない
  • 共有アカウントの担当交代時はパスワードを変える
  • 四半期に 1 回、ドメイン監視の結果を確認する

社内のパスワード運用全体の決め方は、次の記事が参考になります。

よくある質問

Have I Been Pwned は安全に使えますか？

公式の FAQ では、入力したメールアドレスは記録されないと説明されています。また、パスワードの確認もハッシュ値の先頭 5 文字だけを送る仕組みのため、パスワード自体は送信されません。

出典: Have I Been Pwned FAQ / 同 Pwned Passwords

漏洩チェックで「含まれていた」と出たら、もうログインされていますか？

含まれていたことと、すでに不正ログインされたことは別です。該当サービスのログイン履歴に見覚えのないアクセスがないかを確認し、その日のうちにパスワードを変えて多要素認証を有効にしてください。

出典: Google Workspace 管理者ヘルプ「ユーザーのログイベント」 / Microsoft Learn「Microsoft Entra ID のサインイン ログ」

「一般に報告されているデータ侵害であなたのパスワードが検出されました」と表示されたらどうすればいいですか？

その警告は、入力したパスワードが公開済みの漏えいデータに含まれているという意味です。該当サービスと、同じパスワードを使っている他のサービスのパスワードを変えてください。

出典: Google Chrome ヘルプ「Chrome でパスワードを管理する」

会社のメールアドレスが漏洩していたら報告義務はありますか？

報告義務の対象は、自社が取り扱う個人データの漏えい等で、要配慮個人情報・財産的被害のおそれ・不正の目的・1,000 人超のいずれかに当たる場合です。漏れたパスワードで社内システムに不正ログインされ、顧客などの個人データに及んだおそれがあれば「不正の目的」に当たり、報告の対象です。

出典: 個人情報保護委員会「漏えい等の対応とお役立ち資料」 / 同「個人情報の保護に関する法律についてのガイドライン」に関する Q&A ( Q6-8 不正の目的、Q6-29〜6-32 本人への通知 )

まとめ

メールアドレスの漏洩チェックは Have I Been Pwned などの無料サイトで行えます。パスワードは Google パスワード マネージャーや端末の警告で、今日から確認できます。会社としては、Have I Been Pwned のドメイン監視で自社ドメインを一括して調べるのが出発点です。漏れていたときの対処 5 つと経営層への報告の型を決めておき、原因がサービス側か社内 PC かは、ログオン履歴と操作ログを手がかりに見分けます。

漏れていたときに社内で誰が何をするかを、あらかじめ決めておくと迷いにくくなります。社員への案内文 3 種・経営層への報告テンプレ・担当別の初動チェックリストを 1 つにまとめた資料 ( 無料 ) を用意しています。社内対応チェックリストをダウンロードする ( 無料 )

社内 PC のログオン履歴と操作を今のうちに記録しておきたい場合は、無料トライアルで端末数の上限なく全機能を試せます。無料トライアルを申し込む

低コスト＆簡単運用 必要な機能だけを導入！だから低コストに始められる 低コスト＆簡単運用 必要な機能だけを導入！だから低コストに始められる
編集部のイメージ画像
執筆者

Watchy編集部

従業員が安心して働ける環境を提供するための、IT資産管理、情報漏洩対策、労務管理に関するコンテンツを発信しています。

Watchyは、株式会社スタメンが運営するクラウドサービスです。企業のIT情報統制の課題やバックオフィスの課題を、情報システム担当者が手薄な状況でも、Watchyが解決。設定・運用の手間を最小化しながら、押さえるべきポイントを確実に押さえた企業統制の実現を支援します。

【株式会社スタメンについて】 東京証券取引所グロース市場上場。Watchy、TUNAGなど、人と組織の課題解決を実現するSaaSを展開。情報セキュリティマネジメントシステム（ISMS）及びプライバシーマークを取得。