til/…/have-i-been-pwned
have-i-been-pwned.mdupdated 2026-08-012,404 chars

Have I Been Pwned — 世界最大の​漏洩インデックスと​Pwned Passwordsの​プライバシー技術

Have I Been Pwned​（HIBP、​ハブ・アイ・ビーン・ポウンド）は、​セキュリティ研究者の​トロイ・ハント​（Troy Hunt）が​2013年12月に​開設した​無料サービスである。​数百件の​確認済みデータ漏洩​（data breach＝企業などの​システムから​情報が​流出する​事故）を​横断検索できる​インデックスと​して​提供し、​パスワードその​ものを​サーバーに​送る​ことなく​自分の​情報が​漏洩していないか​確認できる。

HIBPとは​・3種類の​データ

  • 2013年12月4日、​Adobeの​大規模漏洩​（1億5,300万件）を​機に​開設された。​トロイ・ハントは​当初、​経営職の​合間に​技術力を​保つ目的で​作ったが、​やがて​業界標準に​なった。
  • 従来型の​漏洩は、​特定の​企業が​ハッキングされ顧客データベースが​持ち出された​ものを​指す。​各漏洩には​日付・確認件数・​流出した​データの​種類​（メール・パスワード・電話番号など）が​メタデータと​して​付く。
  • スティーラーログ​（stealer log）は、​感染端末で​動く​マルウェア​（＝悪意ある​プログラム）が​認証情報を​記録した​ものである。​企業が​攻撃された​証拠ではなく、​マルウェアが​その​端末で​その​認証情報の​入力を​見たと​いう​記録に​すぎない。​2026年時点で​HIBPは​数億件の​スティーラーログを​取り込んでいる。
  • ペーストデータは、​Pastebinなどの​ペーストサイトに​公開された​認証情報を​指す。

Pwned Passwordsと​k-​匿名性API

  • HIBPの​Pwned Passwordsは​8億5,000万件超の​漏洩済みパスワードを​インデックスしている。​この​APIを​使うと、​ある​パスワードが​過去の​漏洩に​含まれていたかを​確認できるが、​パスワード本体を​サーバーに​送る​ことはない。
  • プライバシーの​仕組みは​k-​匿名性​（k-anonymity）と​呼ばれる。​端末側で​パスワードを​SHA-1​（ハッシュ関数の​一種）で​ハッシュ化し、​40文字の​ハッシュの​うち最初の​5文字だけを​送信する。​サーバーは​一致する​約478件の​ハッシュ後半部分を​まとめて​返し、​端末側で​自分の​ハッシュと​照合する。​パスワード本体は​一度も​端末の​外に​出ない。
  • 5文字である​理由は​次の​とおりである。​16の​5乗、​約100万通りの​プレフィックス​（＝先頭部​分）が​存在し、​匿名性を​保つには​十分な​大きさである​一方​（NISTの​基準では、​16の​34乗通りの​可能性の​中の​5文字プレフィックスだけで​個人を​特定する​ことは​できないとされる）、​1つの​バケット​（まとまり）に​平均850件が​入る​程度に​絞られる。
  • 規模と​しては、​パスワードマネージャー・ブラウザ・アプリからの​連携に​より、​月20億件超の​クエリ​（＝問い​合わせ）を​処理している。

主要な​連携と​公的機関の​利用

  • Firefox Monitorは、​Firefoxに​保存された​パスワードに​ついて、​匿名化された​共有を​通じて​HIBPの​データを​使い漏洩アラートを​出す。
  • 1Password Watchtowerは、​漏洩済みアカウント・​使い回し・弱い​パスワード・パスキー未設定を、​すべて​HIBPの​Pwned Passwords経由で​検出する。
  • NCSC​（英国国家サイバーセキュリティセンター）は、​英国の​.govドメインすべてを​HIBP上で​自動的に​監視しており、​新しい​漏洩が​インデックスされると​数分​以内に​リアルタイムで​アラートを​受け取る。
  • ACSC​（オーストラリアサイバーセキュリティセンター）は、​.gov.auドメインすべてを​同様に​監視する。
  • FBIと​NCA​（米国・英国の​捜査機関）は、​押収した​漏洩データを​Pwned Passwordsに​提供しており、​法執行機関が​公開データセットに​直接貢献する​形に​なっている。

クレデンシャルスタッフィングと​その​重要性

  • クレデンシャルスタッフィング​（credential stuffing）とは、​ある​漏洩から​得た​ユーザー名と​パスワードの​組を、​他の​何千もの​サービスに​対して​大規模に​自動で​試す攻撃である。​ハッキングの​技術は​不要で、​リストと​自動化ツールさえ​あれば​成立する。
  • この​攻撃が​成立するのは、​多くの​利用者が​パスワードを​複数サービスで​使い回している​ためである。​1件の​漏洩が、​他の​何十もの​アカウントの​鍵に​なってしまう。
  • HIBPの​本質的な​価値は、​パスワードが​漏洩済みだと​分かれば、​悪用される​前に​強制的に​変更させられる​点に​ある。​GitHubや​Oktaは、​Pwned Passwords APIを​使って​漏洩済みと​判明している​パスワードでの​新規登録を​ブロックしている。
  • 代表的な​データセットと​して、​Collection #1​（2019年、​7億7,300万件の​ユニークメールアドレス）と​RockYou2024​（2024年、​約100億件の​ユニークな​平文パスワードで​史上最大）が​ある。

HIBPは、​データ漏洩と​いう​受け身の​災害を、​個人・組織・政府が​行動に​移せる​情報へと​変換する。​Pwned Passwordsの​SHA-1プレフィックスに​よる​k-​匿名性の​手法は、​秘密を​明かさずに、​その​秘密が​公開データベースに​含まれているかを​確認できる​ことを​示す優雅な​実例である。

出典・参考

関連ノート

148 notestil