パスワードが漏洩していないか確認する方法と、漏洩していたときの対処

MaciPhoneAndroidWindows更新

保存しているパスワードが漏洩していないかは、たいていスマホやパソコンで確かめられます。Appleの「パスワード」アプリとGoogle パスワード マネージャーは、保存されたパスワードを既知の漏洩データと照らし合わせ、該当するものを知らせてくれます。見つかったら、そのサイトと、同じパスワードを使っているほかのサービスで変更し、多要素認証を設定してください。

要点

iPhoneやMacでは「パスワード」アプリの「セキュリティ」を開きます。ほかの端末では、ChromeかGoogleのpasswords.google.comでパスワード チェックアップを使います。どちらも、既知の漏洩に含まれる保存済みパスワードを知らせます。見つかったパスワードはそのサイトと使い回し先のすべてで変更し、多要素認証を設定してください。

iPhoneやMacで確認するには

「パスワード」アプリを使います。Appleによると、iPhoneではパスワードを安全に監視して、既知の漏洩データの中にそのパスワードがあれば警告することもできます。

iPhoneの場合：

  1. 「パスワード」アプリを開きます。
  2. 「セキュリティ」をタップします。パスワードの安全性が低いか、侵害されたアカウントには、問題を説明するメッセージが表示されます。
  3. アカウントをタップし、「パスワードを変更」をタップして、ウェブサイトかアプリでパスワードを変更します。

Macの場合：

  1. 「パスワード」アプリを開きます。
  2. サイドバーの「セキュリティ」をクリックします。問題のあるアカウントが一覧で表示されます。
  3. アカウントを選び、「パスワードを変更」をクリックして、ウェブサイトかアプリでパスワードを変更します。

この確認はオフにできるので、オンになっているか見ておいてください。iPhoneでは「設定」＞「アプリ」＞「パスワード」で、「漏洩の危険があるパスワードを検出」をオンにします。Macでは「パスワード」アプリを開き、メニューバーの「パスワード」＞「設定」で「漏洩の危険があるパスワードを検出」にチェックを入れます。

Google パスワード マネージャーで確認するには

パスワード チェックアップを使います。Googleによると、パスワードが漏洩している、脆弱である、複数のアカウントで使用されている、のいずれかに当たらないかを確認できます。

  • パソコンのChrome： 右上のその他アイコンから「パスワードと自動入力」＞「Google パスワード マネージャー」を選び、左側の「チェックアップ」を選びます。
  • AndroidのChrome： その他アイコン＞「設定」＞「自動入力とパスワード」＞「Google パスワード マネージャー」＞「チェックアップ」の順にタップします。
  • ほかのブラウザ： passwords.google.com を開き、「パスワード チェックアップに移動」＞「パスワードを確認」を選びます。ログインを求められることがあります。

Googleによると、不正使用されたユーザー名とパスワードの組み合わせはオンラインで公開されているため安全ではなく、早急に変更することを勧めています。

漏洩していたら、何をすればいいですか

まずそのパスワードを変え、同じパスワードを使っているところもすべて変えます。国家サイバー統括室（NCO）の「インターネットの安全・安心ハンドブック」は、ウェブサービスなどから流出した名簿やIDとパスワードのリストを入力して試す「リスト型攻撃」を挙げ、使い回しをしていたり、流出したのに放置していたりすると、攻撃者に楽々突破されると書いています。

  1. 漏洩したパスワードを変更する。 IPAは、パスワードを入力してしまった場合は速やかに変更するよう案内しています。サイトへは、メッセージのリンクからではなく、ブックマークや公式アプリから行ってください。
  2. 使い回し先も変更する。 IPAは、入力したパスワードをほかのサービスでも使っている場合は、同様に変更するよう求めています。
  3. 登録情報を確かめる。 IPAは、パスワードを変えたらアカウントに登録されたメールアドレスや電話番号を確認し、自分のものでない情報があればすぐに削除するよう書いています。
  4. 多要素認証を設定する。 IPAは、多要素認証を設定していればIDとパスワードを不正に使われても、それだけではログインできないとしています。NCOのハンドブックも、パスワードが流出したときに簡単に乗っ取られないよう、必ず二要素以上の多要素認証を設定するよう勧めています。パスキーが使えるサービスなら、IPAはパスキーの利用も勧めています。

パスワードの管理について、NCOのハンドブックは、ウェブブラウザにパスワードを保存すると、席を離れたすきに勝手に使われたり、パソコンが侵入された際に根こそぎ盗まれたりするおそれがあるとしています。管理の方法としては、スマホのパスワード管理アプリや紙のノートを挙げています。

ログインできなくなった場合、IPAは、多くのサービスでは「パスワードを忘れた」などの画面からリセットでき、どうしてもログインできなければサービス提供者に連絡して相談するしかないとしています。アカウントが乗っ取られたかもしれないときの手順は、アカウントに誰かがログインしていたとき（英語）にもまとめています。

定期的にパスワードを変える必要はありますか

基本的には必要ありません。NCOのハンドブックは、十分に複雑で使い回しのないパスワードを設定していて、実際に破られたりサービス側から流出したりした事実がなければ、基本的に変更する必要はないとしています。一方で、流出の事実を知ったら速やかに変更するよう求めています。

サービス側から漏洩した場合は、パスワードを変えたうえで、流出の原因になった点の対策が行われたかも確認するよう書いています。

PHP2Shellでパスワードが漏洩したのですか

そうした公式の発表はありません。PHP2Shellは、多くのウェブサイトで使われているPHPの深刻な脆弱性2件で、PHPプロジェクトが2026年10月21日に修正版を出しました。JPCERT/CCは、悪用された場合はPHPの実行プロセスの権限で任意のコードを実行される可能性があるとしています。これはサーバーの脆弱性で、情報が盗まれたこととは別の話です。2026年10月23日時点で、この件の公式のアドバイザリに、影響を受けた企業や利用者を挙げたものはありません。知らせがどう届くかは個人情報の漏洩を確認する方法で説明しています。

Failshotについて

Failshotは、誰かがあなたのMacの前に座り、ロックを解除する瞬間のためのものです。Macでは、Macのパスワードが1つ目の層です。Failshotは「2つ目の層」のデバイスセキュリティ（second layer device security）で、パスワードの次の層です。

Failshotがオンの間は、Macのロックを解除した人の写真を撮り、Pro では続けて5秒間の動画も記録します。Failshotのウインドウは、ロック解除が撮影されたことを解除した人に知らせます。Pro でアラートをオンにすれば、Failshotは、あなたが自分だと確認しなかったロック解除、FailshotのPINや答えの入力ミス、オンの間にカメラへのアクセスがオフにされたことをメールで知らせます。オフにしたり、メニューから終了したりするには、Touch IDかFailshotのPINと答えが必要で、Macのパスワードでは操作できません。

FailshotはmacOS 14以降のMacにfailshot.appから無料でダウンロードできます。無料で使えます。Pro では動画、メール通知、暗号化された Vault が加わります。Failshot Proは、failshot.appで7日間無料で試せます。申し込み時にカードを登録し、解約しない限り8日目に請求されます。アプリは英語版のみです。iPhone、Android、Windows版は準備中です。

よくある質問

警告が出たら、アカウントに誰かが入ったということですか

それだけではわかりません。警告は、そのパスワードが既知の漏洩に含まれていたという意味です。それでも変更はしてください。フィッシング対策協議会は、情報を入力してしまった場合の対処として、アクセス履歴を確認し、不審なアクセスがあればサポートセンターに問い合わせるよう案内しています。漏洩が見つかったときも、同じ確認が役に立ちます。

Googleは漏洩を知らせてくれますか

Googleによると、保存したパスワードがインターネット上で見つかった場合に通知を受け取ることができ、Google パスワード マネージャーの設定の「パスワード アラート」でオン、オフを切り替えられます。通知が届いたら、パスワード チェックアップに直接アクセスして、通知が正しいことを確かめるよう勧めています。

古いアカウントの警告は消せますか

Appleによると、対応できないセキュリティに関する勧告は、「セキュリティ」でアカウントをタップし、「非表示」をタップすると非表示にできます。もう利用できないウェブサイトやアプリのパスワードなら、「すべて」をタップしてアカウントを左にスワイプし、削除できます。

「パスワードが漏洩しました」というメールは本物ですか

本物とは限りません。NCOのハンドブックは、サービス側を装ったパスワードリセットの通知は、流出事故に便乗したフィッシング詐欺などのよくある手口だとしています。メールのリンクはクリックせず、リセットする場合も公式サイトやアプリから直接行うよう書いています。見分け方はセキュリティ警告を装った詐欺メールの見分け方で説明しています。

パスキーに切り替えたほうがいいですか

使えるなら検討する価値があります。IPAは、パスワードに代わる新しいログイン方法としてパスキーの利用を勧め、サービス側が対応している必要があるとしています。Appleは、ウェブサイトやアプリでパスキーや「Appleでサインイン」へのアップグレードが許可されていれば、パスワードを変更する際に切り替えられるとしています。

出典