Have I Been Pwned（HIBP）は信頼できる？個人情報流出チェックサイトの正体と使い方

データ漏洩の危険性について調べたことがあるなら、「Have I Been Pwned（HIBP）」というウェブサイトを目にしたことがあるかもしれません。このサイトの仕組みはシンプルです。メールアドレス、電話番号、ユーザー名、さらにはパスワードを入力すると、それらが過去にオンライン上で公開されたことがあるかどうかを教えてくれます。

しかし、情報の盗難を心配している人にとって、見知らぬサイトに自分の情報を渡すという発想自体が、むしろリスクに思えるかもしれません。

では、Have I Been Pwnedとは一体どんなサイトなのでしょうか？そして何より重要なのは、本当に信頼できるのかということです。

Have I Been Pwned（HIBP）とは？

Have I Been Pwnedは、2019年の時点で200万人以上の登録者を抱える人気のウェブサイトです。

自分の情報を誰に渡すか慎重になるのは賢明なことですが、このサイトは問題を引き起こすためではなく、むしろ問題を回避するために設計されています。

Have I Been Pwnedは、セキュリティ研究者のトロイ・ハント（Troy Hunt）氏によって2013年に作られました。ハント氏によると、3,200万人に影響を与えたAdobe Systemsの大規模データ漏洩事件を受けた対応として立ち上げたとのことです。

当時の攻撃では、ハッカーにとって大量の盗まれたアカウント情報をまとめてダウンロードすることは容易でしたが、一般の人が自分の情報が含まれているかどうかを確認するのは非常に困難でした。

サイト公開当初はわずか5件の漏洩記録しかありませんでしたが、現在では数百件の漏洩事例が登録されており、一般の人でも数秒で自分が該当するかどうかを確認できるようになっています。

それでもサイトの意図が気になる方には、システム全体をオープンソース化する計画が発表されたことも注目に値します。

なぜ「Have I Been Pwned」という名前なのか？

この名前があまり信頼感を与えないと感じるなら、それはハッカー用語に由来しているからです。

ハッキングの世界では、「pwn」という言葉は他のコンピュータやアプリケーションを侵害し、乗っ取ることを意味します。

また、ロゴには';--という文字列が含まれていますが、これはSQLインジェクションへの言及です。SQLインジェクションは、データ漏洩の起点としてよく使われる攻撃手法です。

情報はどこから入手しているのか？

アカウント情報が大量に盗まれると、多くの場合、誰でもダウンロードできる形でオンライン上に公開されます。

同サイトの評判のおかげで、匿名の情報提供者がハント氏に接触し、データを提供してくれるケースも数多くあります。

そのため、サイトを最新の状態に保つことは、発生したデータダンプを追加していくだけの作業になります。

このサイトで最も印象的な機能のひとつが「Dump Monitor」でしょう。これはPastebinへの投稿を監視し、潜在的なデータダンプを探すTwitterボットです。見つけ次第、該当するアカウント情報がリアルタイムでデータベースに追加されます。

ほとんどのデータダンプはすぐに話題になりません。つまり、自分の情報が盗まれても、盗難の事実を知る前にデータベースに登録されている可能性が高いのです。

さらに今後は速度が向上する見込みです。最近、FBIとの協力関係が発表されました。この協定のもとでは、FBIが発見した侵害されたパスワードが直接データベースに供給される予定です。

FBIはあらゆる種類の犯罪捜査を担当しているため、他の誰もアクセスできないパスワード情報を持っている可能性があります。

企業から漏洩の連絡が来ないの？

企業がデータ漏洩を経験した場合、正しい対応は影響を受けた可能性のある全員に連絡することです。しかし残念ながら、それが必ずしも行われるとは限りません。

全員に連絡することが現実的でない場合もあります。たとえば、サービスに登録した後にメールアドレスを変更してしまう人もいます。また、企業のイメージを損なうことを恐れて、データ漏洩が公表されないケースもあるのです。

2015年、ハント氏は匿名の情報源から、Webホスティング会社000WebHostから流出したと思われるデータダンプを提供されました。ハント氏はForbesのジャーナリストと協力してデータを検証しましたが、同社への連絡はつきませんでした。

000WebHostが最終的に漏洩を認めたのは、Forbesのジャーナリストが記事を公開した後のことでした。

自分の情報が流出すると何が起こる？

アカウント情報がオンライン上に公開されると、さまざまな被害が起こり得ます。そして、どれも良いことはひとつもありません。

メールアカウントが侵害されると、ハッカーはそのメールに紐づいたあらゆるサービスへアクセスできるようになります。また、あなたになりすまして他人に連絡を取ることも可能です。アカウントに個人情報が含まれていれば、売却されたり、なりすまし犯罪に悪用されたりします。ネットバンキングのアカウントにアクセスされれば、お金を盗まれることもあります。

Have I Been Pwnedの使い方

Have I Been Pwnedは非常に簡単に使えます。自分の情報を入力するだけで、一致するものがあるかどうか教えてくれます。利用する際に覚えておきたいポイントをいくつか紹介します。

まず、情報が見つからなかったからといって、盗まれたことがないとは限りません。単にHave I Been Pwnedがまだその情報に出会っていないだけの可能性もあります。

また、センシティブなサイト（成人向けコンテンツなど）で発生した漏洩の結果は表示されません。データベース全体にアクセスしたい場合は、メールアドレスの認証が必要です。

Have I Been Pwnedに登録すれば、将来自分の情報が公開された場合に通知メールを受け取ることもできます。これは強くおすすめしたい機能です。

情報が漏洩していた場合の対処法

もし自分の情報が見つかった場合は、以下の対策を講じましょう。

• パスワードが見つかった場合は、そのパスワードを使用しているすべてのサイトですぐに変更してください。
• 影響を受けたアカウントの中に重要なものがあれば、不正アクセスの痕跡がないか確認しましょう。
• メールアドレスが漏洩していた場合は、そのメールに紐づいているすべてのサービスのパスワードも変更してください。
• 今後は同じパスワードをどこでも使わないようにしましょう。

今すぐアカウントを守ろう

データ漏洩は頻繁に発生しており、規模の大小にかかわらず、どのウェブサイトでも起こり得ます。自分が被害に遭ったかもしれないと思ったら、Have I Been Pwnedが最良の、そしておそらく唯一の確認手段となるでしょう。

すでに情報が盗まれているかどうかにかかわらず、データ漏洩から身を守る最善の方法は、複数のアカウントで同じパスワードを使わないことです。そうすれば、万が一情報が盗まれたとしても、影響を受けるのは1つのアカウントだけで済みます。