無料で診断する

パスワードが流出していないか確かめる

入力したパスワードが、過去に流出したデータに含まれていないかを確かめます。含まれていたパスワードは、攻撃者が試す候補の一覧に入っています。

パスワードはこの端末の外へ送られません。インシデントニュースのサーバーにも、外部のサービスにも届きません。 しくみは下の「しくみ」をご覧ください。

入力する前に、ブラウザのアドレス欄が https://incidentnews.jp/guide/leak-check/password/ であることを確かめてください。 メールや SNS のリンクから開いたページで「パスワードが漏れていないか確かめましょう」と入力を求めるのは、パスワードを盗む偽サイトの手口です。使っているパスワードを入れるのは、しくみを確かめられる場所だけにしてください。

この確認は JavaScript を使ってブラウザの中で行います。JavaScript を有効にしてください。

しくみ

  1. 入力したパスワードを、このブラウザの中で SHA-1 という方式で40文字の英数字（ハッシュ）に変えます。
  2. ハッシュの先頭5文字だけを、外部のサービス Have I Been Pwned（Pwned Passwords）に送ります。5文字からパスワードを割り出すことはできません。
  3. 先頭5文字が同じ、流出したパスワードのハッシュの残り35文字の一覧（数百件。件数から推測されないよう水増しされています）が返ってきます。
  4. 自分のハッシュの残り35文字が一覧にあるかを、このブラウザの中で照合します。結果もこの画面に出すだけで、どこにも送りません。

この方式は「k-匿名性」と呼ばれ、パスワード管理ソフトやブラウザの流出確認でも使われています。通信の中身は、ブラウザの開発者ツール（ネットワーク）で api.pwnedpasswords.com/range/ の後ろに5文字が付いた問い合わせだけであることを確かめられます。 入力欄の中身は確認のあと消します。当サイトはこのページでの入力も結果も記録しません（プライバシーポリシー）。

含まれていたら

  • そのパスワードを使っているサービスで、すぐにパスワードを変えてください。ほかで使っていない新しいものにします。
  • 同じパスワードを使い回しているサービスも、すべて変えてください。
  • 使えるサービスでは多要素認証を有効にしてください。

メールアドレスが流出に含まれていないかは、漏えいの確認のページで案内している外部のサービスで確かめられます。

データ：Have I Been Pwned（Pwned Passwords）（外部サイト）。無料・登録不要で公開されているデータを使っています。

パスワードが対象になった公表事例

無料診断