データ侵害の通知を受け取ったことが一度もなくても、知らないうちに個人情報がオンライン上で流通している可能性があります……。
小売企業や本人確認企業を巻き込む最近のデータ侵害は、憂慮すべき現実を浮き彫りにしました。影響を受けた人が知るよりずっと前に、個人情報が流出している可能性があるのです。すべての漏洩を明らかにできるツールはありませんが、数分で確認できるケースもあります。
重要なのは、どこを調べるべきか、陽性結果が実際に何を意味するのか、そして盗まれた情報が悪用される前に何をすべきかを知ることです。
個人情報が流出したか確認する方法
最も簡単な出発点の1つが、既知のデータ侵害データベースに自分のメールアドレスが含まれているか確認できる無料サービス、Have I Been Pwnedです。
影響を受けた人のプライバシーを守るため、機微なデータ侵害は公開検索結果から除外されています。機微な侵害の結果を表示するには、確認対象のメールアドレスの所有者であることを証明する必要があります。
このサービスはデータ侵害に関する情報を集約し、個々のメールアドレスとともに流出したパスワードを表示せずに検索できるようにしています。未検証または捏造と表示されたデータセットも含まれています。これらには実在するメールアドレスが含まれている場合がありますが、報告された侵害を確認できないことや、データが掲載された企業から流出したものではないこともあります。
メールアドレスを確認するには：
- 次のサイトにアクセスし Have I Been Pwned、メールアドレスを入力します。
- 一致するデータ侵害と、流出したと報告されている情報の種類を確認します。
- ショッピング、ソーシャルメディア、金融アカウントなどに関連付けて使っていた古いアドレスを含め、使用したことのあるほかのメールアドレスでも検索を繰り返します。
- 影響を受けたサービスを現在も利用しているか確認します。特に、パスワードを使い回していた場合は注意が必要です。
- データ侵害の通知に登録し、メールアドレスを確認して今後のアラートを受け取ります。機微な侵害記録を確認するには、メールアドレスの所有者であることを証明し、Have I Been Pwnedのダッシュボードで「Personal」の下にある「Breaches」セクションを開きます。
すでに利用できなくなった古いメールアドレスも検索できます。ただし、最初の所有者確認とデータ侵害の通知には、確認対象のメールアドレスの受信トレイにアクセスできる必要があります。すでにパスキーを登録しているユーザーは、新たなメール確認リンクなしでダッシュボードにアクセスできる場合もあります。
一致したということは、Have I Been Pwnedがインデックス化したデータセットにあなたのメールアドレスが含まれているという意味です。ただし、掲載されたすべての情報が、名前の挙がった企業で確認済みのデータ侵害を示すわけではありません。また、一致したからといって、必ずしもメールアカウントがハッキングされた、ほかのアカウントに誰かがアクセスした、あるいはパスワードが盗まれたという意味でもありません。
影響を受けたアカウントを保護した後も、過去のデータ侵害記録が表示され続けることがあります。同様に、問題が見つからなかったとしても、情報が安全だとは限りません。このサービスが対象とするのは把握しているデータだけであり、侵害された情報の中には公開検索できるようにならないものもあります。
Googleの Password Managerや、Appleに組み込まれたパスワードのセキュリティに関する推奨機能も、既知の漏洩に登場した保存済みパスワードや、対処が必要なパスワードの特定に役立ちます。
また、 Have I Been PwnedのPwned Passwordsツールを使って、パスワードが既知のデータ侵害に登場しているか確認することもできます。このサービスはメールアドレスとは別にパスワードを検査し、特定のパスワードをどのアカウントが使っていたかは明らかにしません。パスワードがデータベースに含まれていた場合は使用を中止し、現在そのパスワードを使っているすべてのアカウントで、強力かつ固有のパスワードに変更してください。
現在使用しているパスワードについては、信頼できるパスワードマネージャーに組み込まれたセキュリティチェッカーを使う方法もあります。見慣れないデータ侵害確認サイトにはパスワードを入力しないでください。
こうした確認は、顧客アカウントが関係するインシデントの後に特に役立ちます。例えば、eSecurity Planetは、 ASOSのアカウント乗っ取りインシデントが13万8,828人の顧客に及ぼした影響を調査し、ユーザーが不審な活動に気づいていない場合でも、アカウントのセキュリティに注意を払うべき理由を示しました。
個人情報が流出した場合の対処法
次に取るべき行動は、流出した情報によって異なります。メールアドレスの流出がもたらすリスクは、盗まれたパスワード、社会保障番号、運転免許証の場合とは異なります。
流出した情報 | 推奨される対処 |
| メールアドレス | フィッシングメッセージや不審なアカウント活動に注意する |
| パスワード | 使い回していたすべての場所で直ちに変更する |
| メールアドレスとパスワードの組み合わせ | 影響を受けたアカウントを保護し、同じ認証情報を使っているほかのアカウントも確認する |
| 社会保障番号 | 信用情報の凍結を検討し、なりすまし詐欺がないか監視する |
| 運転免許証 | 不正利用への対策について発行機関に連絡し、本人確認情報の悪用がないか監視する |
| クレジットカード情報 | カード発行会社に連絡し、取引を確認し、必要に応じて再発行を依頼する |
| 医療情報 | 保険の明細、医療記録、身に覚えのない請求を確認する |
パスワード関連のインシデントについて、 Cybersecurity and Infrastructure Security Agencyは、強力かつ固有のパスワードを使用し、できればパスワードマネージャーで管理することを推奨しています。
多要素認証も重要な防御策です。ただし、認証方式によって有効性は異なり、パスキーやセキュリティキーなどのフィッシング耐性を備えた選択肢は、一般に認証情報の窃取に対してより強固な保護を提供します。
政府発行の身分証明書が関係する場合、リスクはさらに複雑になる可能性があります。eSecurity Planetは、 2026年9月のテキサス州の侵害報告書で、IDScanのインシデントによる影響を受けた人が1,300万人と記載されていたことも報じており、政府発行の身分証明情報が流出した場合に長期的なリスクが伴うことを浮き彫りにしました。
社会保障番号などの機微な本人確認情報については、消費者は IdentityTheft.govで回復に向けた案内を確認できます。
消費者は、Equifax、Experian、TransUnionを通じて無料で信用情報を凍結することもできます。信用情報を凍結すると信用報告書へのアクセスが制限され、なりすまし犯罪者が新たな信用口座を開設するのが難しくなります。各信用情報機関には個別に連絡する必要があり、凍結は解除するまで継続します。
eSecurity Planetが National Public Dataのデータ侵害に関する報道で説明したように、機微な個人識別情報の流出には、パスワードの変更だけでは不十分で、追加の対策が必要になる場合があります。
データ侵害の通知が本物か確認する方法
あなたの情報が盗まれたと主張するメッセージが、必ずしも関係する企業から送られてくるとは限りません。サイバー犯罪者はデータ侵害のニュースを利用し、受信者に悪意のあるリンクをクリックさせたり、パスワードを開示させたりする説得力のあるフィッシングメールを送ることがあります。
データ侵害の通知を受け取ったら、予期しないリンクには従わず、企業の公式サイトに直接アクセスしてください。公開されたセキュリティ通知を探し、どの情報が影響を受けたのか確認し、必要であれば確立されたサポート窓口から企業に連絡します。
Federal Trade Commissionは、予期しないリンクを避け、正規のものだとすでに確認しているウェブサイトや電話番号を使って組織に連絡するよう消費者に助言しています。
また、 AnnualCreditReport.comを通じて信用報告書を確認してください。これは連邦政府が認可した無料信用報告書の提供元です。見覚えのない口座や説明のつかない変更は、すでに情報が悪用されている兆候かもしれません。
一度確認するだけでは不十分な理由
データ侵害の検索は有用な出発点ですが、情報がどこまで拡散したのかを完全に把握することはできません。
次の Have I Been Pwnedのドキュメントによると、このサービスは、正当性が完全には確認されていないものも含め、既知のデータ侵害記録を集約しています。また、インデックス化したメールアドレスとともにパスワードを公開することはありません。つまり、攻撃者が入手した可能性のあるすべてを明らかにせずに、潜在的な情報流出を特定するのに役立つということです。
信用情報の凍結にも限界があります。信用報告書へのアクセスを制限し、犯罪者があなたの名義で新たな口座を開設するのを難しくしますが、既存の口座での不正請求を防ぐことはできません。そのため、銀行やクレジットカードの明細を確認することが依然として重要です。
見覚えのない口座、不正な請求、その他のなりすまし被害の兆候を見つけた場合は、直ちに影響を受けた金融機関に連絡してください。また、 IdentityTheft.govを通じてなりすまし被害を報告することもできます。同サイトでは、個別に合わせた回復計画が提示されます。FTCは、不審な活動を特定するため、金融明細と信用報告書を定期的に確認するよう推奨しています。
最も効果的な対策は、定期的なデータ侵害の確認、固有のパスワード、多要素認証、不審なアカウント活動への注意を組み合わせることです。企業が情報を流出させるのをすべて防ぐことはできないかもしれませんが、犯罪者がその流出をアカウント乗っ取りや金融詐欺につなげるのを大幅に困難にすることはできます。
最新のサイバーセキュリティニュースを詳しく見るには、 2026年の主要なデータ侵害8件を取り上げ、個人情報が何だったのか、被害を受けた人がどう身を守れるのかを確認してください。