メールアドレスの漏洩を確認する方法｜パスワードが漏れたかの無料の調べ方4つと、漏れていたとき・お知らせが届いたときにやること

01この記事でわかること（3行まとめ）

• メールアドレスは「Have I Been Pwned」、保存したパスワードはブラウザやスマホのチェック機能で確かめられます。Google パスワード マネージャーのパスワード チェックアップ、iPhoneのパスワードアプリの「セキュリティ」、Microsoft Edge のパスワード モニターです。
• 漏れていたら、そのパスワードを使っているサービスを全部変えます。使い回していた先も同じです。あわせて二段階認証を入れます。
• 漏えいのあとは、偽のメールやSMS、電話が増えます。お知らせに書かれたリンクではなく、公式アプリやブックマークから確かめてください。

「情報漏えい」という言葉の意味は情報漏えいの用語ページで説明しています。

02メールアドレスやパスワードは、どうして漏れるの？

自分が何もしていなくても、登録していた会社やサービスが不正アクセスを受けると、会員情報がまとめて持ち出されることがあります。2026年10月にも、アプリや通販サイトの会員情報が大量に流出したという発表が続きました。件数と対処は10月の大量流出まとめと2026年9〜10月の不正アクセス総まとめに整理しています。

漏れ方は大きく3つに分かれます。

• 登録先の会社から漏れる：会員データベースや、メール配信などの委託先が攻撃される場合です。たとえばソースネクストの件では、パスワードも流出の可能性がある情報に含まれていました。
• 自分で偽サイトに入力してしまう：本物そっくりのメールやSMSから偽のログイン画面に誘われる「フィッシング」です。警察庁は、偽のメールやSMSで偽サイトに誘導し、IDやパスワードを盗む手口だと説明しています（フィッシングの用語ページ）。
• パソコンやスマホのウイルスに抜き取られる：保存しているパスワードが盗まれる場合です。この場合は端末の確認が先になります。

どの漏れ方でも、いちばん困るのは同じパスワードをほかのサービスでも使っていた場合です。盗んだメールアドレスとパスワードの組み合わせを、ほかのサイトで次々に試す攻撃を「リスト型攻撃」と呼びます（リスト型攻撃の用語ページ）。富士急ハイランドの「CLUB フジQ」やモニターサービス「ファンくる」でも、この攻撃による不正ログインが発表されています。

03調べる前に知っておきたい3つのこと

チェックの道具を使う前に、結果の読み方を押さえておきます。

• 「見つからない」は「漏れていない」と同じではありません。Have I Been Pwned のパスワード確認のページは、見つからなくても「よいパスワードだという意味ではない。このサイトに載っていないだけ」という趣旨を書いています。どの道具も、集めた漏えいデータの範囲でしか分かりません。
• パスワードは、確認サイトに直接打ち込まないのが基本です。この記事で紹介する公式の機能は、パスワードをそのまま送らない仕組みを説明しています。似た名前の別のサイトに入れないよう、URLを確かめてください。
• メールやSMSで届いた「漏えいチェック」のリンクは開かない。確認の道具は、自分でブラウザに公式のアドレスを入れるか、端末の設定から開きます。

自分がパスワードをどこに保存しているか分からないとき

ブラウザでログインするとき、IDとパスワードが自動で入るなら、そのブラウザか端末に保存されています。Chromeなら Google パスワード マネージャー、iPhoneやMacのSafariならパスワードアプリ（iCloudキーチェーン）、EdgeならMicrosoft Password Managerです。スマホとパソコンで別々に保存していることもあるので、使っている端末それぞれで次の節からの方法を試してください。紙のメモで管理している人は、Have I Been Pwned でメールアドレスを調べ、名前の出たサービスから順に変えていきます。

04調べ方1：Have I Been Pwned でメールアドレスを調べる

Have I Been Pwned（ハブ・アイ・ビーン・ポウンド）は、公開された漏えいデータを集め、自分の情報がどこで漏れたかを調べられる無料のサービスです。画面は英語ですが、使い方は簡単です。

1. ブラウザで haveibeenpwned.com を開きます（検索広告や似たアドレスに注意）。
2. 「Check if your email address is in a data breach」の欄に、自分のメールアドレスを入れて「Check」を押します。
3. 見つかった場合は、そのアドレスが含まれていた漏えい（サービス名・時期・漏れた項目の種類）が一覧で出ます。

FAQによると、検索したアドレスは記録されません。また、Have I Been Pwned はパスワードそのものを表示したり送ったりしません。理由として「パスワードを送れること自体が、利用者と自分の両方を危険にさらす」という趣旨を書いています。

一部の漏えいは「sensitive（センシティブ）」として扱われ、そこに載っていることが知られると本人が困るため、アドレスの持ち主だと確認できた人しか検索できません。確認は、そのアドレスに届くメールを使って行います。

これから先の漏えいを知りたいときは、トップページの「Notify Me」から登録できます。新しい漏えいにそのアドレスが含まれると通知が届きます。通知は登録したアドレスにしか届かず、他人のアドレスは見張れません。FAQは、保存するのはメールアドレスと登録日、確認用の番号だけだとしています。

パスワードが漏れたものか調べる（Pwned Passwords）

同じサイトの「Passwords」のページでは、パスワードが過去の漏えいに出てきたかを調べられます。ページの説明では、入れたパスワードは手元でSHA-1という方式で別の文字列に変えられ、その先頭5文字だけが送られます。照合の最後は手元で行うので、パスワードそのものは送られません。

見つかった場合、ページは「過去のデータ漏えいに出てきたもので、二度と使うべきではない」と書いています。どこかで使っているなら、すぐに変えてください。とはいえ、大事なパスワードを打ち込むこと自体に抵抗があるなら、次の節のブラウザやスマホの機能で確かめる方法もあります。

05調べ方2：Google パスワード マネージャーの「パスワード チェックアップ」

Chrome やAndroidでパスワードを保存している人は、Google パスワード マネージャーで確かめられます。Google アカウント ヘルプの手順は次のとおりです（画面の名前は変わることがあります）。

Chrome を使う場合

1. Chrome を開きます。
2. 右上のその他アイコンから「パスワードと自動入力」を開き、「Google パスワード マネージャー」を選びます。
3. 左側の「チェックアップ」を選びます。

Chrome 以外のブラウザを使う場合

1. passwords.google.com を開きます。
2. 「パスワード チェックアップに移動」を選び、「パスワードを確認」を選びます。ログインを求められることがあります。

結果は3つに分かれて表示されます。

06調べ方3：iPhone の「セキュリティに関する勧告」

iPhoneに保存したパスワードは、iPhone自身が見張っています。Apple サポートの「iPhoneで安全性の低いパスワードまたは侵害されたパスワードを変更する」によると、iPhoneは推測されやすい・何度も使われているなどの弱点を自動で見つけ、既知の漏えいデータにパスワードがあれば警告します。確かめる手順は次のとおりです。

1. iPhoneでパスワードアプリを開きます。
2. 「セキュリティ」をタップします。安全性が低いか、侵害されたパスワードがあれば、問題を説明するメッセージが出ます。
3. アカウントをタップし、「パスワードを変更」をタップして、そのウェブサイトやアプリでパスワードを変えます。

警告を受け取るには、見張りの設定がオンになっている必要があります。設定アプリを開き、「アプリ」＞「パスワード」の「漏洩の危険があるパスワードを検出」がオンかを確かめてください。

もう使っていないサービスの警告は、パスワードアプリの「すべて」でそのアカウントを左にスワイプして削除できます。すぐに対応できない勧告は「非表示」にもできますが、非表示にしても危険が消えるわけではありません。変更できるサービスがパスキーや「Appleでサインイン」に対応していれば、そちらへ切り替える方法もAppleは案内しています。

07調べ方4：Microsoft Edge の「パスワード モニター」

Microsoft Edge にパスワードを保存している人は、パスワード モニターで確かめます。Microsoft サポートの「パスワード モニターを使用して Microsoft Edge でパスワードを保護する」によると、Edgeに保存したパスワードを、定期的に更新される漏えいデータと照合し、漏れていれば知らせます。照合のときのデータは、送る前に変換・暗号化されるとしています。

1. Microsoft アカウント（または職場・学校アカウント）でEdgeにサインインします。
2. 右上の「設定など」（…）から「設定」を開きます。
3. 「パスワードとオートフィル」＞「Microsoft Password Manager」を選びます。
4. 「パスワード セキュリティ チェック」を選び、漏洩したパスワードのスキャンを有効にします。
5. 侵害されたと表示されたアカウントごとに「変更」を選び、そのサイトでパスワードを変えます。関係がなくなった項目は「無視」で外せます。

Microsoftによると、パスワード モニターが使えるのはWindowsとmacOSのEdgeだけで、スマートフォン版やLinux版は対象外です。また、ここで分かるのはEdgeに保存したパスワードだけです。

4つの道具の違い

パスワードをいろいろな場所に保存している場合は、それぞれで確かめてください。パスワード管理アプリを使っている人は、そのアプリにも同じような漏えいチェックがあることが多いので、アプリの公式ヘルプを見てください。

08漏れていたときにやること

1. 漏れたサービスのパスワードを変える：まだ使うサービスなら、公式アプリかブックマークから入って変えます。お知らせのメールのリンクからは入りません。
2. 同じパスワードを使っていたサービスを全部変える：特に、メール、ネット銀行、カード、通販、SNSを先にします。メールのアカウントを取られると、ほかのサービスのパスワード再設定まで乗っ取られるからです。
3. 二段階認証を入れる：パスワードが漏れても、もう1つの確認がないとログインできなくなります（次の節）。
4. ログイン履歴と登録情報を見る：覚えのないログイン、知らない転送設定、変えられた連絡先がないかを確かめます。警察庁は、ログイン履歴が見られる場合は画面を保存・印刷しておくよう案内しています。
5. カードや口座の明細を見る：カード情報も漏れた可能性があると書かれていたら、カード会社に連絡します。
6. 使っていないサービスは退会する：残しておくと、次の漏えいでまた名前が出ます。

どれかの道具で「漏れている」と出たら、上の順番で進めます。警察庁は、被害に遭ったら早急にパスワードを変え、同じパスワードをほかのサービスでも使っているなら、そちらも早急に変えるよう求めています。

新しいパスワードは、IPAの「不正ログイン被害の原因となるパスワードの使い回しはNG」が書くとおり、できるだけ長く、複雑にし、使い回さないことが基本です。この記事は、使い回しをしていない人がパソコン利用者で58.1%、スマートフォン利用者で46.6%だったというIPAの調査も紹介しています。覚えきれない場合は、パスワード管理アプリに任せる方法があります。警察庁のフィッシング対策のページも、必要に応じてパスワード管理アプリを使うよう書いています。

09二段階認証を入れる：パスワードだけに頼らない

二段階認証（多要素認証）は、パスワードのほかに、スマホに届く番号や指紋などでもう一度確かめる仕組みです（多要素認証の用語ページ）。パスワードが漏れていても、入られにくくなります。

Google アカウント ヘルプの「2 段階認証プロセスを有効にする」では、Google アカウントの管理画面の「セキュリティとログイン」から有効にでき、2つ目の手順として次のものを選べます。

• パスキー
• ハードウェア セキュリティ キー
• 「Google 認証システム」などの確認コード アプリ
• テキスト メッセージや音声通話で受け取る確認コード
• 「Google からのメッセージ」
• バックアップ コード

パスキーは、パスワードの代わりに端末の指紋・顔認証などを使ってログインする方式で、偽サイトに入力させられる心配がありません（パスキーの用語ページ）。金融庁も証券会社の口座について、フィッシングに強い「パスキー認証等」が始まったら速やかに設定するよう呼びかけています。SMSの番号で確かめる方式も、何もないよりずっと安全です。ただし、電話番号そのものを乗っ取る手口もあるため、大事なアカウントはパスキーや認証アプリを選ぶと安心です（SIMスワップの記事）。

10漏えいのあとは偽メールに注意

メールアドレスや電話番号が漏れると、それを使った偽のメールやSMSが届きやすくなります。名前や購入履歴を書いた、本物らしいメールが来ることもあります。佐川急便の件でも、偽SMSへの注意が呼びかけられています。

警察庁のフィッシング対策のページは、次の点を挙げています。

• メールやSMSのリンクは安易に開かず、公式サイトのブックマークや公式アプリから入る
• 金融機関がIDやパスワードをメールやSMSで問い合わせることはない
• 携帯電話会社の迷惑メッセージのブロック機能を使う
• 偽サイトを見つけたら「フィッシング110番」に通報する

もう1つ多いのが、「あなたの個人情報が漏れているので削除します」という電話やハガキです。国民生活センターは、同センターを名乗って個人情報の削除を持ちかける電話や「紛争問題確認通知」と書かれたハガキについて相談が寄せられているとし、国民生活センターが個人情報の削除を理由に電話をかけることやハガキを送ることは一切ないと注意しています。お金を求められたら、応じずに消費者ホットライン188に相談してください。

うっかりリンクを開いてしまったときは、変なメールを開いてしまったときの記事の順番で確かめてください。

11企業から「漏えいのお知らせ」が届いたときの読み方

会社は、一定の漏えいが起きたら、本人に知らせる義務があります。個人情報保護委員会によると、委員会への報告が必要になるのは次の4つの場合（おそれを含む）です。

1. 要配慮個人情報（病歴など）を含む個人データの漏えい
2. 不正に使われると財産の被害が出るおそれのある個人データの漏えい（カード番号など）
3. 不正アクセスなど、不正の目的で行われたおそれのある漏えい
4. 本人の数が1,000人を超える漏えい

この場合、会社は本人にも通知します。個人情報保護委員会のガイドライン（通則編）は、本人に知らせる内容を次の5つとしています。お知らせを読むときは、この5つを探すと要点がつかめます。

ガイドラインは、通知は「速やかに」行うこと、方法として文書の郵送や電子メールの送信を挙げています。連絡先が分からない場合などは、ホームページでの公表や、本人が対象かを確かめられる問い合わせ窓口の設置で代えることも認めています。そのため、メールが届いていなくても、会社のホームページに「対象者かどうかの確認窓口」が出ていることがあります。

お知らせを読んだら確かめること

• 項目にパスワードが入っているか：入っていれば、そのサービスと、同じパスワードを使っていた先をすぐに変えます。「暗号化されていた」と書いてあっても、使い回し先は変えておくと安心です。
• 電話番号や住所が入っているか：偽のSMSや電話、郵便に気をつけます。
• カード情報が入っているか：明細を確かめ、必要ならカード会社に再発行を相談します。
• お知らせ自体が本物か：メール内のリンクではなく、会社の公式サイトを自分で開いて、同じお知らせが出ているかを見ます。

会社の側で漏えいが起きたときの手順はお客様の個人情報が漏れたときに会社がやることの記事にあります。

12家族や会社のメールアドレスも確かめる

親や子どものメールアドレスも、同じように確かめられます。ただし、Have I Been Pwned の通知（Notify Me）は、通知を受け取るアドレスの持ち主しか登録できません。家族のアドレスは、本人と一緒に確かめてください。

会社のメールアドレスが漏えいの一覧に出てきたときは、個人で判断せず、情報システムの担当者に知らせます。会社のアカウントは、取引先へのなりすましメールに使われることがあります（ビジネスメール詐欺の記事）。会社としての備えは情報漏えいの悩みのページにまとめています。

13困ったときの相談先

• 漏えいを発表した会社の問い合わせ窓口：自分が対象か、何が漏れたかを確かめるとき。公式サイトに載っている番号やフォームを使います。
• 警察相談専用電話「#9110」・最寄りの警察署：不正ログインやお金の被害に遭ったとき。警察庁のサイトから都道府県警察のサイバー犯罪の相談窓口も探せます。
• フィッシング110番（インターネット・ホットラインセンター）：偽サイトのURLを見つけたとき。警察庁のフィッシング対策のページが案内しています。
• 消費者ホットライン「188」：「個人情報を削除する」などの電話やハガキでお金を求められたとき。
• IPA 情報セキュリティ安心相談窓口：パスワードやウイルスなど、技術的な困りごとの相談。

どこから手をつければいいか分からないときは、被害にあったら（場面別）のページから、自分の状況に近いものを選んでください。

14よくある質問