【30秒で分かる結論】
公式サイトは https://haveibeenpwned.com/ です。
入力前にブラウザのアドレス欄を押し、haveibeenpwned.com と一致するか確認してください。
スマートフォンでも、URLが省略されていればタップして全体を表示します。
通常のメールアドレス検索に、メールのパスワードは必要ありません。
漏えいが見つかったら対象サービスと漏れた情報の種類を確認し、使い続けている漏えい当時のパスワードを変更します。
見つからなくても、漏えいしていない証明にはなりません。
疑わしいサイトに入力した場合は、渡した情報で対応が変わります。
メールアドレスだけなら追加の入力を止め、後から届く不審な連絡に注意してください。
パスワードも渡したなら、そのアカウントの保護を急ぎます。
メールアドレスの漏えいを調べようとして、入力欄の前で手が止まる。
開いているページが本物か分からなければ、不安になるのは自然なことです。
一方、検査後に「流出していた」と分かっても、それだけでは何を変えればよいか判断できません。
Have I Been Pwned（以下、HIBP）は、登録された漏えいデータからメールアドレスなどを検索できるサービスです。
本記事では、公式ページを確認してから結果を読み、必要な対処へ進むまでを順番に説明します。
概要や基本操作を知りたい方は、既存記事「Have I Been Pwnedとは？メールアドレスの漏えい確認方法と、流出していたときの対処法」も参照してください。
HIBPの公式トップページは https://haveibeenpwned.com/ です。
検索結果から探すこともできますが、本物か迷っている場合は、このURLをブラウザのアドレス欄に直接入力すると入口を絞れます。
スマートフォンではサイト名だけが表示されたり、長いURLが途中で省略されたりすることがあります。
そのままロゴや画面の色を見て判断せず、次の順番で確認してください。
大切なのは「haveibeenpwned」という文字がどこかにあることではなく、接続先が正しいことです。
文字が違う、余計な単語がある、見慣れない長いURLで判断できない場合は、入力を止めて公式トップを開き直しましょう。
SNSなどのアプリ内で開いてアドレス欄が見つからないときも、別にブラウザを起動して公式URLを入力すれば確認しやすくなります。
確認後にブックマークしておくと、次回から検索結果や受信したリンクに頼らずに済みます。
検索結果の順位は、運営元の確認に代わるものではありません。
タイトルに「公式」と書かれていても、検索広告の枠に表示されていても、開いた後のURL確認は必要です。
また、HTTPSや鍵マークは通信の暗号化に関係する表示で、サイトの内容や運営者の信頼性まで保証しません。
偽のページでも暗号化された通信を使えるため、「鍵があるから入力してよい」とは判断しないでください。
ブラウザによってアイコンも異なるので、見た目の印より接続先を読むことを優先します。
本記事の調査では、2026年10月21日時点で、HIBPを模倣した特定の偽サイトの実在・流行を裏付ける一次情報は確認できませんでした。
ただし、これは偽サイトが存在しないと証明したという意味ではありません。
以下はHIBPで確認された被害事例ではなく、一般的なフィッシング対策としての注意点です。
フィッシングとは、信用できる相手を装って偽のページなどへ誘導し、認証情報や個人情報を入力させる手口を指します。
似た名前のドメインでは、文字の入れ替えやハイフンの追加などが見落としやすくなります。
さらに、本物のドメイン名がURLの一部に含まれていても、接続先は別の場合があります。
例えば、説明用の架空URL「https://haveibeenpwned.com.example.org/」は、公式のhaveibeenpwned.comではなくexample.org側のアドレスです。
これは実在する偽サイトの紹介ではありません。
URLの読み分けに自信がなければ、複雑な例を覚えるより、公式トップを開き直す方法を使ってください。
メールやSNSで漏えいの知らせを受けたら、本文のリンクを押す前に、公式ページから自分で確認しましょう。
送られてきたリンクを使わなくても検査はできます。
「放置するとアカウントが停止する」「今すぐ手続きが必要」と急がされても、入力を始める理由にはなりません。
通常のメールアドレス検索なのに、メールのパスワード、SMSなどの認証コード、カード番号や身分証の提出を求められたら操作を止めます。
検査の目的と関係のない情報を渡さないことが、入力前の判断基準になります。
ただし、ログインや確認メールの表示だけで偽物と決め付けるのも適切ではありません。
HIBPにはメールを受信できることを確認して使う公式ダッシュボードがあり、一部の機微な漏えい情報は本人確認後に扱われます。
自分が通常検索をしているのか、本人向け機能へ進んだのかを確認し、メールサービスのパスワードを求める画面とは区別してください。
公式トップのメールアドレス検索は、入力したアドレスを登録済みの漏えいデータと照合する機能です。
メールボックスへログインして中身を調べる操作ではないので、メールを読むためのパスワードは不要です。
目的に沿ってメールアドレスを入力することと、「公式だから何を入力してもよい」と考えることは分けましょう。
入力するのは利用中の機能に必要な情報だけです。不安が残る場合は操作を中断しても構いません。
確認のために、知らないサイトを次々と試す必要もありません。
公式プライバシーポリシーは、データベースの検索時に個人情報を収集・保存しないと説明しています。
一方、運用や不正利用対策のログには、フォームの入力情報や、場合によってIPアドレスなどが含まれ得るとの記載もあり、ウェブサーバーログは最大31日保持するとしています。
そのため、「検索した情報は一切どこにも残らない」と言い切るのは避けるべきです。
また、新しい漏えいの通知を受ける登録では、連絡先のメールアドレスが保存されます。
今だけ検索したいのか、今後も通知を受けたいのかで、利用する機能を選んでください。
Pwned Passwordsは、あるパスワードの文字列が過去の漏えいデータに登場したかを調べる機能です。
メールアドレス検索の仕上げとして、同じアカウントのパスワードを追加提出する仕組みではありません。
公式ページでは、入力したパスワードを端末側で変換し、変換結果の一部を使って照合すると説明しています。
この仕組みは公式の機能についての説明であり、名前やデザインが似た別サイトの安全性を示すものではありません。
メールアドレスの履歴を確認するだけなら、パスワード検索へ進まなくても目的を果たせます。
「Oh no — pwned!」は、登録済みの漏えいデータに該当する履歴が見つかったという意味です。
現在アカウントに侵入されていると確定した表示ではありません。
まず対象サービスやデータ集合の名前を確認し、漏えいが起きたとされる時期、含まれた情報の種類を読みます。
「Email addresses」はメールアドレス、「Passwords」はパスワード、「Phone numbers」は電話番号です。
情報の種類が分かると、認証情報の変更が必要なのか、不審な連絡への警戒も必要なのかを考えやすくなります。
なお、事案にパスワードが含まれるという説明と、自分の現在のパスワードが流出したという判断は同じではありません。
プライバシーポリシーも、メールアドレスとパスワードが含まれる事案であっても、どのアドレスに対応するパスワードが漏れたかまでは提供しないと説明しています。
漏えいの発生時期と、HIBPへ追加された時期にも違いがあります。
最近見つかった結果でも、元の漏えいは以前のものかもしれません。
対象サービスの公式告知を読み、事案後にパスワードを変更したかも照らし合わせましょう。
「Good news — no pwnage found!」は、HIBPに登録されている漏えいデータから、そのメールアドレスは見つからなかったという意味です。
「これまで一度も漏れていない」という証明ではありません。
公式FAQは、HIBPが扱うデータは過去に漏えいした記録の一部であり、公開されない事案や、発覚していない事案もあると説明しています。
検索結果がゼロでも、利用中のサービスから正式な漏えい通知が届いているなら、その案内に沿って対応してください。
不審なログイン履歴や身に覚えのない決済があるときも、HIBPの結果を待つ必要はありません。
検査の表示より、実際に起きている異常への対応を優先します。
次の表で自分の状況を選び、必要な対処へ進んでください。
ここからは一般的な被害予防の手順です。
対象サービスが案内している対処がある場合は、そちらも確認してください。
特に注意したいのが使い回しです。
あるサービスで知られたパスワードが、別のサービスでも使える状態だと被害が広がるおそれがあります。
変更先が多い場合は、ほかのアカウントの再設定に使うメールと、金融・決済に関わるアカウントの保護を優先するとよいでしょう。
すでに事案後にパスワードを変更し、使い回しも解消している場合、履歴が残っているだけで変更が失敗したとはいえません。
HIBPは過去の記録を示すため、対処後も検索結果が表示されることがあります。
また、住所や電話番号などはパスワード変更で取り戻せません。
自分の名前や利用サービスを知っている相手から連絡が来ても、それだけで信用せず、支払いや本人確認の要求は公式窓口で確かめてください。
まず追加の入力を止め、ページを閉じます。メールアドレスだけを渡したことから、直ちにアカウントが乗っ取られたとは判断できません。
この事実だけで、すべてのパスワードの変更やメールアドレスの廃止を急ぐ必要はありません。
その後は、検査結果の通知やセキュリティ対策を装ったメールに注意します。
後から「流出を止めるためにログインしてください」と届いても、そのリンクからパスワードや認証コードを入力しないでください。
自分で公式アプリを開けば、受信した連絡を信用する前に状況を確認できます。
パスワードも渡した場合は、そのアカウントと使い回し先の変更を急いでください。
変更は疑わしいページからではなく、公式アプリや確認済みのサイトで行います。
NISTもフィッシング被害が疑われる際、影響したパスワードと使い回し先を変更するよう案内しています。
認証コードまで入力したなら、コードの有効期限が切れたから安心とは考えず、ログイン中の端末やセッションも確認します。
見覚えのないものを終了し、回復用の連絡先が変えられていないか調べましょう。
メールアカウントでは、不審な自動転送設定がないかも確認してください。
ログインできない場合は公式の復旧手続きへ進みます。
カード番号などを入力した場合はカード会社へ、仕事用の認証情報なら勤務先の担当者へ連絡してください。
何を渡したかに合わせて相談先を選ぶことが、遠回りを防ぎます。
アプリの導入や不審なファイルの実行もした場合は、端末の確認が別途必要です。
感染が疑われる端末には新しいパスワードを入力せず、別の信頼できる端末からアカウントの保護を進めましょう。
公式か迷ったら、入力を続けず、https://haveibeenpwned.com/ を開き直してください。
漏えい履歴が見つかった後は、表示の強さに反応するより、今も使っているパスワードと使い回し先を確認する方が対処につながります。
検索結果は、次の行動を決めるための材料です。
結果が見つからない場合も、公式の警告や実際の異常は別に確認し、自分の状況に合った対応を選びましょう。
.png){kind=logo}
