パスワード漏洩の確認方法｜漏れていたら変える順番と偽通知の見分け方

※本記事はアフィリエイト広告（PR）を含みます。

「あなたのパスワードが漏洩しています」と表示された、ニュースで使っているサービスの情報漏えいを知った、ほかの人から変なメッセージが届いたと言われた。そんなときに読む記事です。確かめる場所と、漏れていたときに変える順番を、IPA（情報処理推進機構）・警察庁・Google・Apple の公式ページと、Have I Been Pwned の公式ページで確かめて書いています。

（確認日：2026年10月31日。画面の名前は OS やアプリの版で変わることがあります。出典は記事の最後にまとめています。）

まず「何が分かるか」で確かめる場所を選ぶ

確かめる方法は、それぞれ分かることが違います。1つで全部は分かりません。自分が使っているものから順に見ます。

方法	調べる対象	分かること	向いている人
Google パスワード マネージャーのチェックアップ	Chrome・Android に保存したパスワード	漏洩・使い回し・弱いパスワード	Chrome や Android でパスワードを保存している
iPhone の「パスワード」アプリ（セキュリティ）	iPhone に保存したパスワード	漏洩・使い回し・弱いパスワード	iPhone・Mac で保存している
Have I Been Pwned	メールアドレス	そのアドレスが入っていた漏えい事件の名前と時期	パスワードを保存していない、またはメールアドレスで確かめたい
各サービスのログイン中の端末・履歴	そのサービスのアカウント	実際に他人が入ったかどうか	漏れていたと分かったあと、被害があったか確かめたい

大事な分かれ目は、上の3つは「漏れているか」までで、「入られたか」は最後のログイン履歴でしか分からないことです。漏れていると出たら、パスワードを変えたうえで、ログイン履歴も見ます。

保存したパスワードが漏れていないか確かめる手順

Chrome・Android：パスワード チェックアップ

1. ブラウザで passwords.google.com/checkup/start を開きます。Chrome なら、右上の「︙」→「パスワードと自動入力」→「Google パスワード マネージャー」→ 左の「チェックアップ」でも開けます。
2. Google アカウントへのログインを求められたら、ログインします。
3. 結果は「不正使用」「再利用」「脆弱」の3つに分かれて出ます。「不正使用」は、そのユーザー名とパスワードの組み合わせがネットに出回っている、という意味です。

Chrome には、ログインに使ったパスワードが漏えいデータに入っていたら警告を出す設定もあります。場所は「設定 → プライバシーとセキュリティ → セキュリティ」の「データ侵害によりパスワードが漏洩した場合に警告する」で、初めからオンです。Google の説明では、照合のときパスワードは暗号化して送られ、Google が中身を知ることはない仕組みです。

iPhone：「パスワード」アプリの「セキュリティ」

• iOS 18 以降：「パスワード」アプリを開き、「セキュリティ」をタップします。弱いパスワード・使い回し・漏えいデータに出てきたパスワードが一覧で出ます。
• iOS 17 以前：「設定」→「パスワード」→「セキュリティに関する勧告」を開き、「漏洩したパスワードを検出」をオンにします。

Apple の説明では、照合のときに送るのはパスワードのハッシュ（元に戻せない形に変えた値）のごく一部だけで、パスワードそのものは Apple に送られません。

メールアドレスで調べる：Have I Been Pwned

haveibeenpwned.com を開き、メールアドレスを入れて「Check」を押します。漏えいがなければ「Good news — no pwnage found!」、あれば「Oh no — pwned!」と出て、どのサービスの漏えいに入っていたかが年表で並びます。

結果の読み方で迷う点が2つあります。

• 「pwned」＝パスワードも漏れた、とは限りません。漏えい事件ごとに、漏れた項目（メールアドレス、パスワード、電話番号など）が書かれています。パスワードが入っている事件だけが、パスワード変更の対象です。
• 漏えいの時期と、最後にパスワードを変えた時期を比べます。漏えいの後にそのサービスのパスワードを変えていて、ほかで使い回していなければ、急ぎ度は下がります。変えていない、または同じパスワードをほかでも使っているなら、今すぐ変えます。

同じサイトの「Passwords」ページでは、パスワード自体が漏えいデータに入っているかも調べられます。公式の説明では、パスワードは自分の端末でハッシュにして、その先頭5文字だけを送り、最後の照合は端末の中で行います。それでも不安なら、使っているパスワードを入れるのはやめ、上の Google や iPhone の確認を使えば十分です。

他人に入られていないか、ログイン履歴で確かめる

漏れていたと分かったら、次は「実際に入られたか」です。多くのサービスに「ログイン中の端末」や「最近のアクティビティ」の画面があります。

• Google：myaccount.google.com →「セキュリティとログイン」→「お使いのデバイス」→「すべてのデバイスを管理」。見覚えのない端末を選んで「ログアウト」します。
• LINE：ホーム → 設定（歯車）→「アカウント」→「ログイン中の端末」。
• そのほか：設定の「セキュリティ」「ログイン履歴」「デバイス」といった項目を探します。

見覚えがなくても、正常なことがあります。Google の説明では、新しいスマホを使い始めた、端末を初期化した、空港などに短くいた、といった場合も見慣れない表示になります。迷ったら、自分の端末以外はすべてログアウトしてから、パスワードを変えるのが確実です。警察庁は、入られていた場合に備えて、ログイン履歴の画面を保存（スクリーンショット）しておくよう案内しています。

関連：アカウントを乗っ取られたかもと思ったら｜不正ログインに気づいたときにやる順番

漏れていたときに変える順番

全部を一度に変えようとすると、途中で手が止まります。被害が大きくなるところから順に変えます。

1. メールアカウント（Gmail・iCloud・Yahoo!メールなど）：ほかのサービスの「パスワードを忘れた」はメールに届きます。ここを取られると、ほかを変えても取り返されます。最初に変えます。
2. 銀行・カード・決済（ネットバンキング、クレジットカード、QRコード決済、通販）：お金が動くところです。パスワードを変え、利用明細に覚えのない支払いがないか見ます。あれば、カード会社や銀行にすぐ連絡します（IPA・警察庁の案内）。
3. 同じパスワードを使い回していたサービス：漏れたのが1つのサービスでも、同じパスワードを使っていれば、そこにも入られます（リスト型攻撃と呼ばれる手口）。チェックアップの「再利用」の一覧が、そのまま変える先のリストになります。
4. SNS・LINE：乗っ取られると、友だちに詐欺のメッセージが送られます。

新しいパスワードは、長く、ほかで使っていないものにします。覚えきれないので、Google パスワード マネージャーや iPhone の「パスワード」アプリに作らせて保存するのが楽です。

関連：パスワードマネージャー乗り換え｜エクスポートで移せないものと注意点

変えたら、2段階認証かパスキーを足す

パスワードだけだと、また漏れたら同じことになります。IPA は、SMS の確認コードや認証アプリなどの多要素認証（パスワードに加えて、スマホなど持っている物でも本人確認する仕組み）と、パスキーを使えるサービスでは積極的に使うよう勧めています。

• 2段階認証：パスワードが漏れても、スマホに届くコードがないと入れません。まずメールと決済から設定します。
• パスキー：パスワードの代わりに、スマホの顔認証・指紋・画面ロックでログインする方式です。そもそも盗まれるパスワードがないので、偽サイトに入力させられる心配もありません。Google や Apple のアカウントのほか、対応するサービスが増えています。使えるかは、各サービスの「セキュリティ」や「ログイン方法」の設定で確かめます。

PC を買い替えた人は、Chrome に保存したパスワードを新しい PC に移してからチェックアップをすると、漏れを見落としにくくなります。

関連：新しいPCにChromeのパスワードを移す方法

偽の「パスワードが漏洩しました」通知の見分け方

漏えいのニュースのあとには、それに乗じた偽メールや偽 SMS が増えます。IPA は、文面に自分の名前が入っていることもあると注意しています。警察庁によると、「個人情報の漏えい」「不正アクセス検知」「取引の停止」で急がせる文面が多い手口です。

見分けるいちばん確実な方法は、本物の警告がどこに出るかを知っておくことです。

本物の警告が出る場所	確かめ方
Google パスワード マネージャー	メールのリンクではなく、自分で passwords.google.com を開いて「チェックアップ」を見る
iPhone	「パスワード」アプリの「セキュリティ」（iOS 17 以前は 設定 → パスワード）を自分で開く
Have I Been Pwned	自分で「Notify Me」に登録していなければ、ここからメールは来ない
銀行・カード・通販	公式アプリか、ブックマークした公式サイトから入ってお知らせを見る

そのうえで、次のどれかに当てはまれば偽物と考えて、開かずに削除します。

• メールや SMS のリンクから、ID・パスワード・カード番号・暗証番号を入れさせようとする（金融機関がメールや SMS でパスワードを聞くことはない、と警察庁は案内しています）
• 「24時間以内に」「アカウント停止」など期限で急がせる
• 運転免許証などの画像を送らせようとする
• アプリを入れさせようとする

送り主の名前やアドレスは偽装できるので、それだけでは見分けられません。もし偽ページに入力してしまったら、入れたパスワードを使っている全部のサービスで変更し、カード番号を入れたならカード会社に連絡します。偽サイトの URL は「フィッシング110番」（インターネット・ホットラインセンター）に、お金の被害は最寄りの警察署かサイバー事案の通報窓口に相談します。

セキュリティソフトを入れるか決めるとき

漏えいが分かると、セキュリティソフトを入れようか迷います。警察庁も、不正アクセスの防止策の1つにウイルス対策ソフトなどの導入を挙げています。ただ、できることとできないことがあります。

入れると期待できること	入れてもできないこと
知られている偽サイトを開いたときに止める	サービスの会社側から漏れたパスワードを元に戻す
パスワードを盗むウイルスを見つけて消す	使い回しをやめる・パスワードを変える（自分でやるしかない）
製品によっては、メールアドレスの漏えいを見張って知らせる	まだ知られていない新しい偽サイトを全部止める
家族の端末をまとめて守る（台数による）	2段階認証やパスキーの代わり

つまり、パスワードの変更と2段階認証は、ソフトを入れても入れなくても必要です。ソフトが役に立つのは、偽サイトやウイルスで「これから」盗まれるのを減らす部分です。PC で古いソフトを使い続けている、家族がよく怪しいリンクを開いてしまう、という家ほど効き目があります。

申し込む前に、次を確かめます。

• 料金の出し方：年額か月額か。何台まで使えるか。2年目以降の更新料金は1年目と同じか。
• 無料体験のあと：自動で有料に切り替わるか。解約はいつまでに、どの画面からできるか。
• 対応する端末：Windows・Mac・iPhone・Android のどれに入れられるか。iPhone 版はできることが少ない場合があります。
• データの扱い：漏えいの見張りのために、メールアドレスや電話番号など何を登録するのか。プライバシーポリシーに、集めた情報の使い道が書かれているか。
• 今のソフトとの重なり：Windows 10・11 には標準で「Windows セキュリティ」（Microsoft Defender）が入っています。別のソフトを入れるときは、二重にならないか説明を確かめます。

セキュリティソフトを入れる場合の一例

危険なサイトへのアクセスの警告や、ID・パスワードの漏えいの監視などをまとめて使いたい場合は、セキュリティソフトを入れる方法もあります。当サイトが提携している製品を1つ載せます。機能・対応端末・料金と、無料体験のあとの自動更新の扱いは、申し込む前に公式サイトで確かめてください。

定番のセキュリティソフト　ノートン 360

よくある質問

Q. Have I Been Pwned にメールアドレスを入れても大丈夫？

メールアドレスで調べるのは、漏えいの有無を見るためで、パスワードは入れません。それでも気になる人は、パスワードを保存している Google パスワード マネージャーや iPhone の「パスワード」アプリでの確認だけでもかまいません。

Q. 「漏洩」と出たのに、何も被害がありません。変えないとだめ？

変えます。漏れた組み合わせは、あとから何度も試されます。今被害がなくても、被害が出てからでは遅いので、メール → 決済 → 使い回し先の順で変えてください。

Q. 使っていないサービスで漏れていました。

そのパスワードをほかで使っていたら、そちらを変えます。使わないアカウントは、退会しておくと次の漏えいの心配が減ります。IPA は、退会しても情報が消えるかは利用規約やプライバシーポリシーで確かめるよう案内しています。

Q. どこに相談すればいい？

やり方が分からないときは、IPA の「情報セキュリティ安心相談窓口」に電話かメールで相談できます。お金の被害や乗っ取りは、最寄りの警察署か、都道府県警察のサイバー犯罪相談窓口へ。ログイン履歴やメールの画面を保存して持っていくと話が早く進みます。

まとめ

• 確かめる場所は、Google のチェックアップ、iPhone の「パスワード」アプリの「セキュリティ」、Have I Been Pwned の3つ。入られたかはログイン中の端末で見る
• Have I Been Pwned は、漏れた項目にパスワードがあるかと、漏えいの時期を見る
• 変える順番は、メール → 銀行・カード・決済 → 使い回し先 → SNS。変えたら2段階認証かパスキーを足す
• 「漏洩しました」の通知はリンクを開かず、自分でアプリや公式サイトを開いて確かめる

出典

• IPA「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」
• IPA「不正ログイン対策特集ページ」
• 警察庁「不正アクセス対策」
• 警察庁「フィッシング対策」
• Google アカウント ヘルプ「Google アカウントの不正使用されたパスワードを変更する」
• Google Chrome ヘルプ「Chrome でのパスワード保護の仕組み」
• Google アカウント ヘルプ「アカウントにアクセスしたデバイスを確認する」
• Apple サポート「パスワード App を使ってパスワードとパスキーを作成、管理、共有する」
• Apple サポート「iPhone と iPad でデバイス、App、Web サイトのパスワードを安全に保つ」
• Apple プラットフォームセキュリティ「パスワードの監視」
• Have I Been Pwned／Pwned Passwords
• LINEヘルプセンター「LINEの不正ログイン(乗っ取り)の防止と対処」

⚡ いま読まれているトレンド

• 「アララメッセージ」の不正アクセスでメールアドレス約7,700万件｜自分は対象？確かめ方と偽メールの見分け方
• 11月5日10時ごろ緊急地震速報の全国訓練｜スマホは鳴る？屋外スピーカー・防災アプリで流れるかと、聞こえたらやること
• スタバ福袋2027は11月4日10時から抽選エントリー｜申し込める人・締め切り・当選発表の日と今やること

→ トレンド記事をもっと見る