個人情報の漏えい確認、その結果をどう読むか

本記事に出てくる仕様・制度・統計は、すべて2026-08-07に各公式ページで確認しています。

漏えい確認のサービスに自分のメールアドレスを入れたら、何かが出た。まずそこから答えを書きます。そこに出ているのは「過去にどこかで公開された流出データの中に、このアドレスが含まれていた」という記録です。あなたのアカウントが今この瞬間に誰かに使われている、という意味ではありません。流出そのものが数年前の出来事であることも多く、その後にパスワードを変えていれば、その1件についての手当ては済んでいる場合もあります。「出た」は状態の通知ではなく、過去の出来事の記録です。

逆に、何も出なかったとき。これは安全であることの証明にはなりません。 これは当サイトの解釈ではなく、代表的な照合サービスであるHave I Been Pwnedが自分で書いていることです。同サイトのFAQは、ここでメールアドレスが見つからなかったことは別の侵害で情報が漏れていないことを意味しない、と明記しています。発見されていない侵害が多数あるという記述も、同じページにあります（出典: Have I Been Pwned「FAQs」https://haveibeenpwned.com/FAQs 、2026-08-07確認）。照合できるのは、すでに誰かが集めて登録したデータの範囲だけです。

だからこの結果は、危険度のスコアではなく、「どのサービスのパスワードから先に手をつけるか」を決める材料として読むのが実用的です。出ても出なくても、やることの中身は大きくは変わりません。変わるのは急ぎ方と、どのアカウントから始めるかだけです。出た場合の具体的な作業順は漏えいが出たあとの72時間にやること【優先順位つき】にまとめています。この記事は、その前段として「結果の読み方」だけを扱います。

「出た」は、何の記録なのか

Have I Been Pwnedは、流出した認証情報のデータセットを集約し、そこに含まれるメールアドレスを検索できるようにしたサイトです。運営者本人が「アカウントの侵害によって危険にさらされた可能性があるかを、誰でもすばやく確認できる無料のリソースとして作った」と説明しています（出典: Have I Been Pwned「Who, What & Why」https://haveibeenpwned.com/About 、2026-08-07確認）。同ページによると、作成・運営はTroy Hunt氏で、運用管理をCharlotte Hunt氏、技術面の保守をStefán Jökull Sigurðsson氏が担っています。

サイトに登録されている侵害の一覧は、1件ごとに侵害の発生時期・サイトへの登録日・対象アカウント数が並ぶ形式になっています。たとえば一覧には「Suno / 55.3M / 20 Jul 2026 / Nov 2025」という行があり、これは2025年11月の侵害として2026年7月20日に登録された、5,530万件規模の記録である、という読み方になります。2026-08-07時点で、サイト全体では1,023件の侵害と延べ178億件のアドレスが登録されていると表示されています（出典: Have I Been Pwned「Pwned websites」https://haveibeenpwned.com/PwnedWebsites 、2026-08-07確認）。「延べ」である点は大事で、同じアドレスが複数の侵害に含まれていれば、その分だけ重複して数えられます。

つまり自分のアドレスが「出た」とき、画面が伝えているのは次の3つです。どのサービスの流出データに含まれていたか。その流出がいつ起きたことになっているか。その流出データにどの項目（アドレス、パスワード、氏名など）が含まれていたか。 読むべきはこの3点で、ここから先の判断——たとえば「そのサービスで使っていたパスワードを、他のどこかでも使っていなかったか」——は、画面ではなく自分の記憶とパスワードの保管場所を見に行く作業になります。

この結果が言っていないこと

恐怖を増幅させないために、明示しておきます。漏えい確認の結果に何かが出たとしても、次のことは、その画面からは分かりません。

• あなたのアカウントが現在乗っ取られているかどうか。 照合しているのは過去の流出データであって、今のログイン状況ではありません。
• あなたのスマホやパソコンに何かが入り込んでいるかどうか。 流出は多くの場合サービス側で起きた出来事で、利用者の端末とは別の話です。
• あなたの情報が今この瞬間に売買されているかどうか。 データの現在の流通状況を、この画面は測っていません。
• クレジットカードや銀行口座が使われているかどうか。 それは明細と利用通知でしか確認できません。

「出た」ことと「今その情報が悪用されている」ことは、別の事実です。前者は記録の話、後者は現在の状態の話で、片方からもう片方は導けません。急いで何かを買う必要が生じる場面でもありません。

「出なかった」とき、何が言えて何が言えないのか

「出なかった」が意味するのは、そのサービスが照合対象として持っているデータの中にはなかった、という限定的な事実だけです。次の3つの場合は、漏れていても出ません。

まだ発見・公開されていない流出。 侵害が起きてから、そのデータが出回り、収集され、サイトに登録されるまでには時間がかかります。登録日と発生時期が離れている例が一覧に並んでいるのは、そのためです。

公開の形で出回っていない流出。 攻撃者の手元にとどまっているデータは、集約の対象になりません。

「センシティブな侵害」に分類されているもの。 Have I Been Pwnedは、性質上センシティブと判断した侵害については公開検索の対象から外し、そのメールアドレスの所有者本人が確認を経た場合にのみ表示する仕組みだと説明しています（出典: Have I Been Pwned「FAQs」https://haveibeenpwned.com/FAQs 、2026-08-07確認）。通常の検索で出なかったからといって、この区分に何もないとは限りません。

ここで結論を反転させないでください。「出なかったから意味がない」ではなく、**「出なかったのは、確認できる範囲では見つからなかった、という一次情報である」**というだけのことです。使い回しの棚卸しをする理由は、結果がどちらでも変わりません。

自分のアドレスを入れるとき、何がどこへ渡っているのか

漏えい確認は、性質上「自分の識別子を他人のサーバに送る」行為です。ここを飛ばして手順だけ書くメディアが多いので、確認できた範囲で並べます。

Have I Been Pwned（提供元・提供国）。 同サイトのプライバシーポリシーは、サイトが「オーストラリア・クイーンズランド州を拠点とするSuperlative Enterprises Pty Ltd」によって所有・運営されていると記載しています。同ページはあわせて、検索を実行したときに個人情報を収集・保存しないこと、メールアドレスや電話番号の検索は保存領域からデータを取り出して応答に返すだけであることを表明しています。第三者Cookieやトラッキングピクセルを使わないこと、個人情報は米国西部のMicrosoft Azureデータセンターに保存され海外の第三者へ共有しないこと、通知メールの送信にSendGrid、決済にStripe、不正リクエストの遮断にCloudflareを利用することも同ページに書かれています（出典: Have I Been Pwned「Privacy Policy」https://haveibeenpwned.com/Privacy 、2026-08-07確認）。これらは事業者による表明です。サーバの内部で実際にどう扱われているかを、当編集部が外から確かめる手段はありません。

パスワードそのものを照合する場合。 同サイトのPwned Passwordsは、入力されたパスワードを手元でハッシュ化し、そのSHA-1ハッシュの先頭5文字だけをサーバへ送り、最終的な照合は利用者側で行う方式だと説明しています。パスワード本体もハッシュ全体も送られない、という設計です（出典: Have I Been Pwned「Pwned Passwords」https://haveibeenpwned.com/Passwords 、2026-08-07確認）。

Mozilla Monitor。 Mozillaは、Monitorの侵害スキャンにHave I Been Pwnedを利用しており、スキャンのためにハッシュ化したメールアドレスが同サービスへ渡ること、Have I Been Pwned側は新しい侵害を継続的に照合するためにその情報を保持し、同サービスのオプトアウトの仕組みを通じて削除を依頼できることを記載しています（出典: Mozilla「Subscription Services Privacy Notice」https://www.mozilla.org/en-US/privacy/subscription-services/ 、2026-08-07確認）。同ページには、レポートやアラートの配信にAmazon Web Services、利用状況の計測にGoogle Analyticsを使う旨も併記されています。

入力しないで済ませる方法もあります

自分のアドレスをどこにも送りたくない場合、端末とブラウザに組み込まれている確認機能で足りることがあります。こちらは新しくアドレスを入力する場面がありません。

Chrome。 Googleは、ウェブサイトへのログインに使うユーザー名とパスワードがデータ侵害の対象になっている場合に警告を表示する設定があり、既定でオンだと説明しています。照合の仕組みについては「Chrome ではまずユーザー名とパスワードが暗号化されます。こうして暗号化された認証情報が Google に送信され、既知の侵害されたデータの暗号化リストと照合されます」と記載し、このプロセスでユーザー名やパスワードがGoogleに記録されることはない、としています（出典: Google「Chrome でのパスワード保護の仕組み」https://support.google.com/chrome/answer/10311524?hl=ja 、2026-08-07確認）。

Apple。 Appleは「パスワードの監視」について、漏えいで公開されたことが分かっているパスワードの継続的に更新されるリストと照合する機能だと説明しています。漏えいすることの多いパスワードは端末内のローカルリストに含まれており、そこに無いものについて問い合わせる際に送られる情報は「暗号学的ハッシュの15ビットプレフィックス」に限定される、と記載されています（出典: Apple「パスワードの監視」https://support.apple.com/ja-jp/guide/security/sec78e79fc3b/web 、2026-08-07確認）。

保存済みのパスワードを一覧で点検したいだけなら、この2つで用が足りる人は少なくありません。パスワードの保管場所そのものを整理し直したい場合は「パスワードマネージャーは結局「どこ」に入っているのか」を先に読んでください。

当サイトが照合ツールを持たない理由

当サイトは、メールアドレスの漏えい照合ツールを提供しません。今後も提供する予定はありません。 理由は2つあります。

1つは作りの問題です。当サイトはサーバ側の処理を持たない静的サイトとして構築されており、外部の照合APIを呼ぶための鍵の管理も、送信されたアドレスを扱う仕組みも持っていません。技術的に「できるがやらない」ではなく、その部品自体を置いていない構成です。

もう1つは編集方針の問題です。プライバシーの記事を書いている媒体が、読者のメールアドレスを自分の入口で受け取るのは、筋が通りません。当サイトは記事内に個人を特定できる入力欄（メールアドレス・電話番号・氏名・生年月日・自由記述）を置かない方針を採っています。照合の場を持たない代わりに、他所で出た結果の読み方に立つ——この記事がその位置です。

事業者から通知が来ることもある — 日本の制度側の話

照合サイトの結果とは別の経路があります。日本では、個人データの漏えい等が発生し個人の権利利益を害するおそれがあるとき、事業者に個人情報保護委員会への報告と本人への通知が求められます。個人情報保護委員会は、これが令和4年4月1日から必要になったこと、対象となるのは（1）要配慮個人情報が含まれる事態、（2）財産的被害が生じるおそれがある事態、（3）不正の目的をもって行われた漏えい等が発生した事態、（4）1,000人を超える漏えい等が発生した事態、の4類型であることを説明しています（出典: 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/ 、2026-08-07確認）。

同ページによれば、本人への通知は事態の状況に応じて速やかに、概要・漏えいした個人データの項目・原因などを本人に分かりやすい方法で行うこととされ、通知が困難な場合はホームページ等での公表や問合せ窓口の設置といった代替措置が挙げられています。委員会への報告については、速報を概ね3〜5日以内、確報を発覚から30日以内（不正の目的によるおそれがある場合は60日以内）とする期限も示されています（出典: 個人情報保護委員会「漏えい等の対応とお役立ち資料」https://www.ppc.go.jp/personalinfo/legal/leakAction/ 、2026-08-07確認）。

この制度を知っておくと、結果の読み方が1段はっきりします。照合サイトに出ていなくても、事業者からの通知やお知らせで初めて分かることがある。 逆に、通知が来ていないことは「どこからも漏れていない」ことの証明にはなりません。上の4類型に当たらない事案では通知の対象にならず、そもそも事業者が把握していない事案もあります。事業者名でメールが来た場合は、そのメールのリンクではなく、発表元の公式サイトのお知らせページを自分で開いて、対象範囲と発表日を確認するのが確実です。

件数の規模感も、公表されている数字だけ挙げておきます。個人情報保護委員会は、令和6年度（令和6年4月1日〜令和7年3月31日）に個人情報保護法にもとづく民間事業者からの漏えい等報告を19,056件受け付けたと公表しています（委員会の直接受付14,198件、委任先省庁経由4,858件。出典: 個人情報保護委員会「令和6年度個人情報保護委員会 年次報告」https://www.ppc.go.jp/aboutus/report/annual_report_2024/ 、2026-08-07確認）。これは事業者から委員会へ報告があった事案の件数であって、被害者の人数でも、あなたが対象になっている確率でもありません。 「これだけ報告が上がっている領域である」という程度の意味で読んでください。

「出た」ことの実害は、どこに現れるのか

漏えいした情報そのものよりも、実務上こたえるのは使い回しの側です。総務省は「安全なパスワードの設定・管理」のページで、サービスから流出したアカウント情報を使って他のサービスへの不正ログインを試す攻撃の手口が知られていること、そのため複数のサービスでパスワードを使い回さないことを挙げています（出典: 総務省「安全なパスワードの設定・管理」国民のためのサイバーセキュリティサイト https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/ 、2026-08-07確認）。

ここが読み方の核心です。Aというサービスの流出データに自分のアドレスが出たとき、実際に問題になりやすいのはAではなく、Aと同じパスワードを使っていたBとCです。 Aは既に事態を把握してパスワードをリセットしている場合もありますが、BとCは何も起きていないので、誰も何もしません。だから確認結果を見たあとの作業は「出たサービスのパスワードを変える」で終わらず、「そのパスワードを他でも使っていないか」まで進みます。

そして、その棚卸しで多くの人が止まります。覚えられないからです。ここは根性の問題ではないので、覚える前提を降りる方法を別記事に分けました「パスワードの使い回しを「覚えられない人」のまま畳む方法」。

結果別に、次にやること

何かが出た場合。 落ち着いて順番にやれば足ります。出たサービスと、そこで使っていたパスワードを共有している他のアカウントを洗い出し、他アカウントの復旧経路になるメールから先に手をつけます。作業の順序と理由は漏えいが出たあとの72時間にやること【優先順位つき】にまとめました。もし身に覚えのない請求や送金がすでに起きている場合は、パスワードの作業より先に、カード会社・金融機関への連絡を優先してください。 消費者ホットライン 188、警察への相談（緊急でないとき）は警察相談専用電話 #9110 が利用できます。

何も出なかった場合。 急ぐ必要はありません。それでも、使い回しているパスワードが1つでもあるなら、いつか同じ画面を見ることになります。時間があるときに、メール・決済・SNSの3つだけパスワードを個別のものに替えておくと、次に何かが出たときの作業量が大きく減ります。

どちらの場合も共通して言えること。 結果を見た直後に何かを購入する必要は生じません。この記事に出てきた確認手段は、いずれも無料で使えるものです。当サイトがこの記事で勧める行動は「順番を決めて、手を動かす」だけです。

この記事で検証したこと・していないこと・検証できないこと

検証済み: この記事にはありません。 当編集部の端末での実機測定を行っていないため、「検証済み」に分類できる記述はありません。この欄が空になったことを、書かずに済ませることはしません。

未検証: 各サービスの画面表示と挙動。Have I Been Pwned、Mozilla Monitor、Chrome、Appleの各機能について本文に書いたのは、いずれも運営者・提供元の公式ページに記載されている内容であり、URLと確認日を付けています。当編集部が実際にアドレスやパスワードを入力して画面遷移を追った記録ではありません。各社のページは更新されます。読む時点での記載は、リンク先でご確認ください。日本語での利用可否や表示の細部も本記事では確認していません。

検証不能: 各事業者が自社のサーバ内部で実際に何を保存し、何を保存していないか。「検索時に個人情報を収集・保存しない」「ユーザー名やパスワードは記録されない」といった記述は、いずれも事業者による表明です。当編集部にこれを外部から確かめる手段はありません。また、公開されていない流出データの存在と規模も、性質上、外から確かめられません。本記事が「出なかった＝漏れていない」と書かない理由は、ここにあります。

この記事はここで終わります。買うものはありません

漏えい確認の結果は、あなたの危険度を表す数字ではなく、手をつける順番を決めるための材料です。出たなら順番どおりに動く。出なかったなら、時間のあるときに使い回しを畳む。どちらの場合も、必要なのは自分のアカウント一覧と少しの時間だけで、この記事から購入する商品はありません。

次に読むなら、作業の順序をそのまま書いたこちらです。→ 漏えいが出たあとの72時間にやること【優先順位つき】

本記事の内容は、記載の確認日時点で当編集部が確認できた情報にもとづいています。各サービスの仕様・画面・提供条件、および制度の運用は、事業者や所管官庁の判断により変更されることがあります。操作の前に、各社の公式ページと公的機関のページで最新の情報をご確認ください。

本記事は仕組みと制度の説明であり、実機での動作確認は行っていません。本記事で検証していない項目は、記事内で「未検証」「検証不能」と記載しています。

本記事は情報提供であり、個別の状況に対する助言ではありません。また法律・医療・投資に関する助言を行うものでもありません。金銭的な被害が生じている場合は、カード会社・金融機関、消費者ホットライン 188、警察相談専用電話 #9110 へご相談ください。