セキュリティガイド

パスワードが漏洩したか確認する方法

実際のパスワードを信頼できないウェブサイトに貼り付けずに、パスワード漏洩の可能性に安全に対応する方法を学びます。

概要

パスワードが漏洩した疑いがある場合、最も安全な対応は、未知のウェブサイトに貼り付けるのではなく、パスワードを変更することです。漏洩チェックは、サービスが信頼できるプライバシー設計を持ち、何が送信されるかを理解している場合にのみ有用です。

ローカルパターン分析にはパスワード強度チェッカーを使用してください。ただし、これを漏洩データベースとして扱わないでください。

最初に行うこと

信頼できるデバイスからパスワードを変更します。同じパスワードが使い回されていた場合は、影響を受けるすべてのアカウントを変更します。メール、銀行、仕事、クラウドストレージ、パスワードマネージャーのリカバリアカウントから始めてください。

アカウントの状態を確認する

アクティブなセッションを無効にし、リカバリメールと電話の設定を確認し、転送ルールを見直し、不審なアプリのアクセスを削除し、MFAまたはパスキーを有効にします。

詳細なガイダンス

このガイドは、パスワードが不注意に露出することなく漏洩に含まれている可能性があるかどうかを確認することに焦点を当てています。これは、漏洩について聞いて安全に対応したいユーザー向けに書かれており、実際的な目標は劇的なセキュリティ主張を作ることではありません。目標は、日常的な使用に耐えられるパスワード習慣を選ぶことです：サインインフォーム、パスワードマネージャー、モバイルキーボード、アカウントリカバリ、共有デバイス、時々奇妙な検証ルールを持つサービス。安全な推奨事項は、実際の人が一貫して従える場合にのみ有用です。

最も安全な出発点は、ランダム性と一意性です。ランダム性とは、値が暗号学的に適切な乱数源によって大きな空間から選択され、誕生日、ペットの名前、キーボードパターン、お気に入りの引用から発明されないことを意味します。一意性とは、同じパスワードが他のどこでも使用されないことを意味します。長いが使い回されたパスワードは、無関係な漏洩が1つあるだけで急速に失敗する可能性がありますが、一意のランダムパスワードは、使用された単一のアカウントに損害を限定します。

このトピックでは、実用的なプリセットは、最初にローカルパターン分析を行い、必要に応じて信頼できる漏洩アラートサービスを使用することです。そのプリセットをパスワード強度チェッカーで適用し、最終的な値を信頼できるパスワードマネージャーに保存できます。PwdGenは、Web Cryptoを使用してブラウザ内でローカルに値を生成します。生成されたパスワードはPwdGenサーバーに送信されません。そのローカル設計はサーバー側の露出を減らしますが、すべての脅威から保護するわけではありません。悪意のあるブラウザ拡張機能、侵害されたデバイス、フィッシングページ、安全でないクリップボード処理は、生成後に秘密を露出させる可能性があります。

避けるべき最も一般的な問題は、実際のパスワードを未知のウェブサイトに入力すること、ログで正確なパスワードを検索すること、結果がないことをリスクがないと想定することです。これらの問題が重要なのは、人間の習慣が攻撃者に近道を与える場合、攻撃者はすべての可能なパスワードをブルートフォースする必要がほとんどないからです。クレデンシャルスタッフィング、フィッシング、漏洩パスワードリスト、アカウントリカバリの悪用は、純粋な数学的検索よりも現実的であることがよくあります。そのため、最善のアドバイスは、パスワードの品質と、MFA、パスキー、リカバリコードの保存、リカバリメールや電話設定の定期的な確認などのアカウントレベルの制御を組み合わせることです。

推奨事項を適用する際は、次のチェックリストを使用してください：

• 漏洩後、使い回されたパスワードを変更する。
• メールと価値の高いアカウントから始める。
• 信頼できる漏洩通知ツールのみを使用する。
• 機密パスワードをランダムなページに貼り付けない。

ウェブサイトが理想的な設定を拒否する場合、手動でパスワードを弱いパターンに強制しないでください。一度に1つの変数を調整します。記号が拒否された場合は、大文字、小文字、数字を有効にしたまま長さを増やします。最大長が短い場合は、受け入れられる最大の長さを使用し、値が一意であることを確認します。パスワードを声に出して読んだり、印刷したり、テレビやルーターの画面に入力したりする必要がある場合は、混乱しやすい文字を除外し、アルファベットが小さくなるのを補うために長さを増やすことを検討します。

最後に、パスワードアドバイスの限界を覚えておいてください。強力なパスワードは防御の1つの層であり、保証ではありません。フィッシングページを安全にしたり、マルウェアを修正したり、資格情報を不適切に保存するサービスを補ったりすることはできません。有用な習慣は退屈ですが耐久性があります：一意の値を生成し、安全に保存し、リカバリパスを保護し、露出が疑われる場合はすぐに交換します。

安全な次のステップ

このガイドを読んだ後、すべてを一度に修正しようとするのではなく、1つの小さなアカウント監査を行ってください。乗っ取られた場合に最も問題を引き起こすアカウントを選び、そのパスワードが一意であることを確認し、リカバリメール、リカバリ電話、MFA方式、バックアップコードの保存を確認します。そのチェーンのいずれかの部分が弱い場合は、リスクの低いアカウントに移る前にその部分を改善します。この順序により、作業を管理可能に保ち、攻撃者が足がかりとして使用する可能性が最も高いアカウントを保護します。パスワードが漏洩したかどうかを確認する方法については、最良の結果は繰り返し可能な習慣です：ローカルで生成し、注意深く保存し、使い回しを避ける。

よくある質問

パスワードをランダムな漏洩チェックサイトに貼り付けるべきですか？

いいえ。明確なプライバシー設計を持つ信頼できる漏洩チェックサービスのみを使用するか、テストする代わりにパスワードを変更してください。

漏洩後はどうすればよいですか？

影響を受けたパスワードを変更し、使い回されたパスワードを変更し、セッションを無効にし、リカバリ設定を見直し、MFAを有効にしてください。

PwdGenは漏洩データベースをチェックできますか？

いいえ。PwdGenはローカルの強度と解読時間の推定を提供しますが、リモートの漏洩パスワード検索は行いません。