大企業は毎年のようにハッキングされ、流出する情報にはほぼ必ずメールアドレスが含まれています。自分のアドレスが流出したかどうかを知っておけば、誰かに悪用される前に手を打てます。
確認方法
Have I Been Pwned（haveibeenpwned.com）は、セキュリティ研究者のTroy Hunt氏が運営する無料サービスです。メールアドレスを入力すると、そのアドレスが含まれていた既知の漏えい事件が、日付と流出したデータの種類とともに一覧表示されます。
いくつか覚えておきたい点があります。
- 把握しているのは、公になった漏えいだけです。「結果なし」は良い知らせですが、保証ではありません。
- 無料のアラートに登録すれば、今後あなたのアドレスを含む漏えいが起きたときに通知を受け取れます。
- 多くのパスワードマネージャーや一部のブラウザには、同様のチェック機能が組み込まれています。
流出が実際に意味すること
リスクは、メールアドレスと一緒に何が流出したかによって変わります。
| メールアドレスと一緒に流出したもの | 起こりうること | 深刻度 |
|---|---|---|
| ほかには何もない | 迷惑メールやフィッシングが増える | 低 |
| 名前、電話番号、住所 | あなたの情報を使った、より巧妙な詐欺 | 中 |
| パスワード（暗号化されていても） | 犯罪者がほかのサイトで試す（クレデンシャルスタッフィングと呼ばれる手法） | 高 |
| カードや銀行口座の情報 | 不正な支払い | 高：銀行に電話を |
漏えい後の5つのステップ
- 漏えいしたサイトと、同じパスワードを使っていたほかのすべてのサイトでパスワードを変更します。
- まずメールアカウントで、2段階認証、またはサイトが対応していればパスキーを有効にします。メールは、ほかのすべてのパスワードを再設定するための鍵だからです。
- パスワードマネージャーを使い、サイトごとに異なるパスワードを設定します。そうすれば、1件の漏えいが1件のまま済みます。
- フィッシングを警戒しましょう。 漏えいに触れるメールや、ハッキングされた企業を装うメールは、ニュースの直後によく届きます。リンクをクリックせず、自分でウェブサイトにアクセスしてください。
- 支払い情報が含まれていた場合は、銀行の明細を確認し、新しいカードの発行について銀行に相談しましょう。
米国では、身元が悪用された場合、連邦取引委員会（FTC）のIdentityTheft.govで段階的な回復プランを利用できます。英国では、Action Fraudに代わる国の通報窓口であるReport Fraudに詐欺を報告できます。
次から流出を減らすには
企業がハッキングされるのを止めることはできません。しかし、何社に本当のアドレスを知られているかはコントロールできます。
- アカウントの数を把握する。 一度だけ使ったショップの忘れられたアカウントは、それぞれアドレスが流出しうる場所です。もう必要ないものは削除しましょう。
- 1回きりの登録には捨てメアドを使う。 クーポン、無料ダウンロード、Wi-Fiのログイン、懸賞に本当のアドレスは必要ありません。そうしたサイトがあとでハッキングされても、流出したアドレスはもう存在しません。詳しくは**捨てメアドは安全で合法？**をお読みください。
- 使い続けるけれど完全には信頼できないアカウントには、メールエイリアスを使う。 **捨てメアドとメールエイリアスの比較**で、どちらがどんな場面に合うかを解説しています。
銀行、医療サービス、行政のアカウント、あとで復旧が必要になりそうなものには、一時的なアドレスを使わないでください。
まとめ
Have I Been Pwnedでアドレスを確認し、使い回しているパスワードを変更し、メールアカウントを2段階認証で守りましょう。そのうえで、将来の問題を小さくします。本当のアドレスを教えるウェブサイトを減らし、一度しか使わないサイトには**一時メール**を使いましょう。
出典
- Have I Been Pwned、Who, What & Why：サービスの内容と運営者。
- Federal Trade Commission、IdentityTheft.gov：個人情報の盗難を報告し、回復プランを入手できます。
- City of London Police、Report Fraud：英国の詐欺・サイバー犯罪の通報センター。