パスワード漏えいチェッカー

使い方

1. 確認したいパスワードを入力または貼り付けてください。
2. 「表示」をクリックすると、入力内容を確認できます。
3. 「漏えいを確認する」をクリックしてください。
4. 緑色の結果は漏えいデータベースに見つからなかったことを示し、赤色の結果は何回出現したかを示します。

例

入力

password123

出力

⚠ 既知のデータ漏えいで 2,643,916 件確認されました

このような一般的なパスワードは、どのサイトが漏えいしたかに関係なく、攻撃者の最初の推測リストに載っているため、数百万回も出現します。

このツールとは？

このツールは、Have I Been PwnedのPwned Passwordsデータベースに対してパスワードを照合します。このデータベースには、実際のデータ漏えい事件から収集された数億件のパスワードが含まれています。あなたのパスワードが見つかった場合、それはあなたの特定のアカウントが侵害されたという意味ではなく、どこかの誰かが同じパスワードを使い、それが漏えいしたという意味です。

この確認にはk-匿名化と呼ばれる技術が使われており、パスワードチェッカーが完全なパスワードを見る必要が一切ないよう特別に設計されています。ブラウザはローカルでパスワードのSHA-1ハッシュを計算し、そのハッシュの先頭5文字だけをAPIに送信します。APIは同じ5文字で始まるすべての漏えいパスワードハッシュ（通常は数百件）を返し、ブラウザはその中にあなたの完全なハッシュが含まれているかをローカルで確認します。完全なパスワードと完全なハッシュは、あなたの端末から一切外に出ません。

k-匿名化がここであなたのパスワードを守る仕組み

単純な漏えいチェッカーであれば、照合のために完全なパスワード（あるいは完全なハッシュ）が必要になります——つまり、守ろうとしている秘密そのものをサーバーに預けることになります。k-匿名化のアプローチはこれを回避します。ブラウザはSHA-1でパスワードをハッシュ化し、この40文字のハッシュのうち先頭5文字の16進数だけをAPIに送信します。

APIはデータベース内でこの5文字の接頭辞を共有するすべてのハッシュ末尾（通常300〜800件、あなたのものだけではありません）を返します。ブラウザはその中にあなたの特定の末尾が含まれているかをローカルで確認します。このネットワークリクエストを傍受した人がいたとしても、その接頭辞を持つ何らかのパスワードが確認されたということしか分かりません——数百万通りの可能性の中のどれなのかを知るには、まったく不十分です。

結果が出た後にすべきこと

• 件数が多く見つかった場合：このパスワードをすべての場所で今すぐ使用停止してください——攻撃者の推測リストの上位に載っています。
• 件数が少なく見つかった場合：それでも使用停止してください。過去に一度でも漏えいしていれば、件数に関わらず既に危険にさらされています。
• 見つからなかった場合：この特定の文字列は現時点でデータベースにありませんが、長期的に信頼する前に強度を別途確認してください。
• これから設定しようとしているパスワードを確認することは、既に使っているパスワードを確認することと同じくらい有用です——アカウントの弱点になる前に、悪い選択を見つけられます。

→ パスワード生成ツール · MD5ジェネレーター

よくある利用シーン

• 長年使い続けていて、漏えいデータと一度も照合したことがない既存のパスワードを確認する。
• 新しく生成した、あるいは新しく選んだパスワードを、本格的に使う前に確認する。
• チームや家族で共有しているパスワードやデフォルトパスワードを、ローテーションする前に監査する。
• 使い回している複数のパスワードのうち、漏えい件数を基準にどれを優先して変更すべきか判断する。

なぜこれを使うのか？

k-匿名化モデル：送信されるのはハッシュの5文字だけで、パスワードや完全なハッシュは決して送信されません。

継続的に更新される、数億件の漏えいパスワードを含む実際のデータベースと照合します。

即座に結果が出ます——アカウントもメールアドレスも不要で、何も保存されません。

どんなパスワードでも確認できます——現在使っているもの、これから設定しようとしているもの、あるいは以前使っていて気になっているものでも。

よくある質問