漏えい通知の確認方法 — HIBPの限界とアカウント保護の初動

漏えい確認とは：通知の真正性と自社影響を分ける

漏えい通知は、アカウントや秘密情報への影響を確認するきっかけです。通知があることと、現在も侵害が続いていることは同じではありません。逆に、通知がないことも安全の証明ではありません。

対象は個人、情シス、SaaS管理者です。流出データの購入・ダウンロード・第三者の認証情報の収集ではなく、公式通知、本人確認、ログ、変更と失効を組み合わせて対応します。

Have I Been Pwnedの仕組みと限界

Have I Been Pwned（HIBP）は既知の漏えいデータへの関与を確認するサービスです。検索できる対象やAPIの条件は公式資料で確かめてください。

検索結果に出ない情報や未把握の漏えいもあります。ヒットしないことを「漏えいなし」と断定しません。実際の秘密を不明な検索フォームへ入力せず、組織の情報を外部送信する場合は規程を確認します。

まず確認するチェックリスト

• 通知は公式アプリや登録済みの入口でも確認できるか。
• 対象のサービス、アカウント、情報の種類、対象時期は何か。
• 同じパスワードを別サービスでも使っていないか。
• 不審なサインイン、復旧設定、アプリ同意、転送ルールがないか。
• 対象にAPIキーやサービスアカウントが含まれないか。
• 変更・失効の権限、切替影響、保全するログが分かるか。

通知メールのリンクだけからログインしません。心当たりのないログイン通知を参考に別経路で確認します。

初動：変更・失効・影響調査を分ける

影響するパスワードと使い回し先を、安全な端末・公式入口から変更します。必要に応じて既存セッション、復旧設定、連携アプリも管理者が確認します。パスワード変更だけで、すべてのトークンやAPIキーが自動失効するとは限りません。

秘密情報の種類が不明、管理者・共有アカウント、業務停止の可能性、不審な操作、ログ欠損がある場合は責任者へ共有します。パスワード漏えいの初動とサービスアカウントキーの対応へ進みます。

記録テンプレート

公式通知・確認先:
確認時刻・対象時期:
対象サービス・アカウントの識別子:
情報の種類（値は書かない）:
使い回し・連携への影響:
確認したログ・未確認期間:
変更・失効・切替・再確認:
担当者・期限・完了判断:

やってはいけないこと

流出データを持ち帰る、第三者の秘密を使ってログインする、秘密の値をチケットや外部フォームに貼る、ヒットした件数をそのまま自社の被害人数にする、といった行為はしません。

保護の基礎はパスワード管理とMFAで学べます。用語クイズで漏えい・認証・セッションの違いを確認してください。