「自分のメールアドレスやパスワードが漏れていないか確認したい」「会社の情報がダークウェブに出回っていないか調べたい」と考えている方は、無料の漏洩チェックサービスを使って今すぐ確認できます。
ただし、2026年現在、確認方法には大きな変化があります。以前よく利用されていたGoogleの「ダークウェブレポート」は、新規スキャンを2026年1月15日に停止し、2月16日にサービスと保存データへのアクセスを終了しました。現在は別の手段を使う必要があります。
また、1つの無料サービスで「検出なし」と表示されたからといって、個人情報が一切漏洩していないことを証明できるわけではありません。確認できる情報やデータソースには、それぞれ範囲があります。
本記事ではCyberCrewのホワイトハッカーの視点から、2026年現在利用できる個人情報漏洩の確認方法、チェックサイトを安全に利用するための判断基準、漏洩が見つかった場合の対応、さらに企業が自社ドメイン単位で確認すべき範囲まで解説します。
この記事でわかること
- 個人情報漏洩を無料で確認する方法
- 漏洩が見つかった場合と「検出なし」の場合に行うべきこと
- 企業が従業員や自社ドメインの漏洩を確認する方法
個人情報漏洩を今すぐ確認する方法は？
個人情報が漏洩しているか確認したい場合は、「何を調べたいのか」によって利用するサービスを選ぶ必要があります。
メールアドレスとパスワードでは確認方法が異なり、電話番号については2025年以降に利用できなくなった検索機能もあります。また、個人1人を調べる方法と、会社全体をドメイン単位で調査する方法はまったく別物です。
まずは次の表から、自分の目的に合う方法を確認してください。
調べたい情報から使うツールを選ぶ（逆引き早見表）
| 調べたい情報 | 主な確認方法 | 費用 | 登録 |
|---|---|---|---|
| メールアドレス | Norton無料漏洩チェック／Have I Been Pwned／ALIENGATE Free | 無料から | サービスによる |
| 電話番号 | ダークウェブモニタリング対応サービス | 無料公開検索は限定的 | 多くは必要 |
| パスワード | HIBP Pwned Passwords／Google Password Checkup | 無料 | HIBPは不要、Googleはアカウント利用 |
| Google検索結果への個人情報露出 | Google「あなたに関する検索結果」 | 無料 | Googleアカウント |
| 自社ドメイン・従業員 | ALIENGATE／HIBPのドメイン機能／専門調査 | 無料〜有料 | 必要 |
Nortonは、日本向け公式サイトでメールアドレスを入力する無料チェックを提供しています。最大3件のメールアドレスを入力でき、ブラウザから確認できます。
CyberCrewが提供するALIENGATEにも無料プランがあり、公開漏洩データベースを用いたメールアドレスの簡易チェックなどを利用できます。
基本的なメールチェックであれば、専用アプリをインストールせずブラウザ上で利用できるサービスもあります。
メールアドレス・パスワードで確認する
メールアドレスを確認する代表的なサービスの一つが「Have I Been Pwned（HIBP）」です。
HIBPでは、メールアドレスが過去に公表・収集されたデータ侵害に含まれているかを調べることができます。検出された場合は、どのサービスの侵害に含まれていたのか、どのような種類のデータが流出したのかを確認できます。
ただし、HIBPに登録されていない漏洩情報も存在します。そのため「Not Pwned」と表示されても、インターネット上のあらゆる流出情報を調査した結果ではありません。
もう一つ使いやすいのがNortonの無料漏洩チェックです。日本向け公式ページではメールアドレスを入力して、既知の漏洩情報との一致を確認できます。
パスワード自体を確認したい場合は、HIBPが提供する「Pwned Passwords」が利用できます。
ここで重要なのは、信頼できないサイトへ現在使用中のパスワードをそのまま送信しないことです。
Pwned Passwordsでは、入力したパスワードを端末側でSHA-1ハッシュへ変換し、そのハッシュ値の先頭5文字だけをサーバーへ送信します。サーバーから候補群を受け取り、残りの部分を端末側で比較する「k-Anonymity」という方式が使われています。パスワード原文や完全なハッシュ値を送らずに照合できる仕組みです。
なお、「123456が2,300万回漏洩している」といった数字を掲載した古い記事がありますが、これは過去の時点の集計です。Pwned Passwordsのデータは継続的に追加されているため、現在の検出件数として固定値を扱うべきではありません。
「123456」のような単純な文字列が危険なパスワードの代表例であることに変わりはありませんが、現在の状況はPwned Passwordsで直接確認するのが確実です。
電話番号で確認する
電話番号の漏洩確認については、古い記事に注意が必要です。
以前のHave I Been Pwnedでは電話番号を検索できるケースがありましたが、2025年5月に公開されたHIBP 2.0では、Webサイトから電話番号とユーザー名の検索機能が削除されました。現在、一般利用者がHIBPの検索窓へ電話番号を入力して調べる方法は利用できません。
そのため、「HIBPに電話番号を入力すれば確認できる」という案内は、現在のWeb版については古い情報です。
電話番号まで継続監視したい場合は、対応する有料のID保護・ダークウェブモニタリングサービスを検討する方法があります。たとえばNortonの一部のDark Web Monitoring対応プランでは、メールアドレスに加えて電話番号などの情報を監視対象として登録できます。ただし、国・地域や契約プランによって提供機能が異なります。
一方、トレンドマイクロの国内向け「ID プロテクション」は、メールアドレスやクレジットカード番号などの個人情報をダークウェブ上で監視する機能を提供していますが、現在の公式機能一覧では電話番号単体を検索項目として明示していません。電話番号を調べたいという理由だけで「電話番号検索に対応している」と判断しないほうが安全です。
迷惑電話や海外番号からの着信、SMSが急に増えた場合も、それだけで電話番号漏洩を断定することはできません。ただし、フィッシングや不正利用への警戒を強めるきっかけにはなります。
Googleダークウェブレポートは今も使える？
結論からいうと、Googleの「ダークウェブレポート」は現在利用できません。
2026年2月16日に提供を終了しており、Google Oneへ加入しても以前のダークウェブレポートを利用できるわけではありません。
検索すると終了前の使い方を説明した記事が現在も表示されることがあるため、情報の掲載日・更新日を確認してください。
2026年2月16日に提供終了している
Googleは2025年12月、ダークウェブレポート利用者へサービス終了を案内しました。
終了は2段階で実施され、
- 2026年1月15日：新しい結果のモニタリングを停止
- 2026年2月16日：レポートと関連データへのアクセスを終了
というスケジュールでした。
Googleは終了理由について、ダークウェブレポートは一般的な情報を提供していたものの、ユーザーから「その後に取るべき有効な対応を十分に示していない」という趣旨のフィードバックがあったと説明しています。
その代わりGoogleは、Security Checkup、パスキー、2段階認証、Google Password Manager、Password Checkup、「あなたに関する検索結果（Results about you）」など、具体的な対応につながる既存機能の利用を案内しています。
「あなたに関する検索結果」「パスワードチェックアップ」は代替にならない
Googleの既存機能は便利ですが、旧ダークウェブレポートと同じ機能ではありません。
| Googleの機能 | 確認できること | ダークウェブ監視 |
|---|---|---|
| あなたに関する検索結果 | Google検索結果に住所・電話番号・メール等が表示されていないか | 代替ではない |
| Password Checkup | Googleに保存したパスワードの漏洩・弱さ・使い回し | パスワード中心 |
| 旧ダークウェブレポート | ダークウェブ上で個人情報を監視 | 2026年2月終了 |
「あなたに関する検索結果」は、Google検索結果上に自宅住所、電話番号、メールアドレスなどが表示されているかを確認し、条件を満たす場合は削除を申請するための機能です。
Password Checkupは、Google Password Managerに保存されているパスワードについて、漏洩した可能性があるもの、弱いもの、複数サービスで使い回しているものを確認します。
したがって、どちらかを利用しているだけで「ダークウェブ上に自分の個人情報が存在しない」と判断することはできません。
古い情報を載せた記事の見分け方
2026年現在、「Googleダークウェブレポートの使い方」と検索すると、サービス終了前に作成された記事が残っている場合があります。
次のような説明が現在形で書かれていたら、掲載日や最終更新日を確認してください。
- 「Google Oneに加入するとダークウェブレポートを利用できる」
- 「Googleアカウントのダークウェブレポートを開く」
- 「Googleで電話番号やメールアドレスをダークウェブ監視できる」
これらは以前は正しい説明でしたが、2026年2月16日以降、そのままの手順では利用できません。
セキュリティ分野では、サービス仕様、攻撃手法、法令、製品機能が短期間で変わります。「有名な記事だから正しい」ではなく、更新日とサービス提供元の公式情報を確認することが大切です。
チェックサイトに自分の情報を入力しても大丈夫？
個人情報漏洩を調べるためとはいえ、「漏洩が心配なのに、知らないサイトへ自分のメールアドレスを入力してよいのか」と感じるのは自然な疑問です。
結論としては、何でも入力してよいわけではありません。
サービスの運営元、プライバシーポリシー、照合方式を確認し、「チェックのために本当に必要な情報だけ」を入力することが基本です。
入力してよい情報とすべきでない情報
メールアドレスは、HIBPやNortonなど、運営元と用途を確認できる漏洩チェックサービスでは検索キーとして利用されています。
ただし、「メールアドレスだからどのサイトに入力しても安全」という意味ではありません。
一方、次の情報を、運営元の確認できない「漏洩チェックサイト」へ入力することは避けてください。
- 現在使用しているパスワードの原文
- クレジットカード番号
- 銀行口座情報
- 暗証番号
- ワンタイムパスワード・認証コード
- マイナンバー
- 秘密の質問と回答
正規の有料ID保護サービスでは、クレジットカード番号などを監視対象として登録する機能が提供されることがあります。しかし、それは契約内容やデータ保護方式を確認したうえで利用するサービスです。検索広告などから偶然見つけた無名サイトへ同じ情報を入力することとは意味が異なります。
ホワイトハッカーの視点｜なぜPwned Passwordsはパスワードを調べられるのか
「パスワードを入力しないほうがよいのに、なぜPwned Passwordsでは検索できるのか」と疑問に思うかもしれません。
ポイントは、パスワード原文をそのままサーバーへ送って照合しているわけではないことです。
Pwned Passwordsでは端末側でパスワードをハッシュ化し、SHA-1ハッシュの先頭5文字だけをサービス側へ問い合わせます。同じ先頭部分を持つ多数の候補が返され、完全な一致判定は利用者側で行われます。
このように「何を入力するか」だけでなく、「入力した情報がどのように処理されるか」を確認することも、安全なサービスを選ぶ重要なポイントです。
運営元・ポリシー・照合方式の3点で見分ける
漏洩チェックサービスを利用する前に、最低限次の3項目を確認してください。
- 運営元：企業名や組織名、所在地、問い合わせ先などが確認できるか
- ポリシー：プライバシーポリシーや利用規約が公開されているか
- 照合方式：入力した情報をどのように処理・保存するのか説明されているか
特に「100％安全」「すべてのダークウェブを完全検索」など、実際には保証できない表現を強調するサービスには注意が必要です。
ダークウェブ上には、アクセス制限されたフォーラム、犯罪者間のチャネル、閉鎖的なマーケットなどが存在します。1つのサービスがあらゆる流出情報を完全に把握しているわけではありません。
信頼できるサービスほど、「検知できない場合がある」「すべての流出を保証するものではない」といった限界も説明しています。たとえばトレンドマイクロも、すべての個人情報の流出や不正利用を検知することは保証していません。
「無料漏洩診断」を装う偽サイトと偽通知に注意する
「あなたのパスワードがダークウェブで見つかりました」「今すぐ確認してください」といった不安をあおるメッセージそのものが、フィッシングである可能性もあります。
特にメールやSMSから突然届いた通知では、
- 送信元ドメインを確認する
- メールやSMS内のリンクからログインしない
- ブックマークや検索から公式サイトへ入り直す
- パスワードや認証コードを求められても入力しない
という対応を徹底してください。
実在するセキュリティ企業や金融機関の名前、ロゴが使われていても、それだけでは正規通知とは判断できません。
フィッシングの仕組みや見分け方は、CyberCrewの「フィッシング詐欺とは」の解説も参考にしてください。
確認したあとは何をすればいい？
漏洩チェックで自分の情報が見つかっても、その結果だけで原因を断定することはできません。
サービス事業者側の過去のデータ侵害、フィッシング、マルウェア、インフォスティーラー、パスワードの使い回しなど、情報が外へ出る経路は複数あります。
したがって、必要以上に慌てるのではなく、「どの情報が」「どのサービスから」「いつ頃漏れた可能性があるか」を整理し、二次被害を防ぐ対応へ進みます。
「検出あり」なら状況に応じて順番に対応する
対応順序は、マルウェア感染が疑われるかどうかで変わります。
もし端末にインフォスティーラーなどが存在する可能性がある状態で、同じ端末から新しいパスワードを入力すると、そのパスワードまで再び窃取される可能性があります。
そのため、端末侵害の疑いがある場合は次の順で対応します。
- 端末をネットワークから隔離し、セキュリティスキャンを行う
- 安全が確認できた別端末から、漏洩したサービスのパスワードを変更する
- 同じ、または類似したパスワードを使っているサービスをすべて変更する
- 多要素認証を有効にする
- クレジットカード・銀行・ECなどの利用履歴を確認する
一方、「数年前のサービス事業者の情報漏洩に自分のメールアドレスが含まれていた」と分かっただけで、現在の端末感染を示す痕跡がない場合は、端末スキャンが終わるまでパスワード変更を待つ必要はありません。
該当するパスワードを今も使用しているのであれば、速やかに変更し、使い回しを解消してください。
HIBPも、侵害されたパスワードをまだ使用している場合は、そのパスワードを利用しているすべてのアカウントで変更し、2要素認証を有効にすることを推奨しています。
漏れた情報の種類ごとに追加対応を変える
何が漏れたかによって、必要な対応は変わります。
| 漏洩した情報 | 追加で確認したいこと |
|---|---|
| メールアドレス | 不審メール、アカウント回復設定、他サービスへの不正ログイン |
| パスワード | 即時変更、使い回し解消、多要素認証 |
| 電話番号 | 不審SMS、電話による詐欺、認証コードの聞き出し |
| クレジットカード情報 | 利用明細、不正利用、カード会社への相談 |
| 住所・氏名 | なりすまし、詐欺郵便・電話、他情報との組み合わせ |
特にメールアカウントは優先して守る必要があります。
多くのオンラインサービスでは、メールアドレスがパスワード再設定の窓口になっています。メールアカウント自体を乗っ取られると、攻撃者が他サービスのパスワードを再設定できる可能性があります。
メールアカウントでは強固で固有のパスワードを設定し、多要素認証やパスキーを利用してください。
電話番号が漏れている場合は、「認証コードを確認するために番号を教えてください」といったSMSや電話にも注意が必要です。正規企業を装った連絡でも、ワンタイムパスワードを他人へ伝えないことが基本です。
無料チェックで「検出なし」でも安心できないのはなぜ？
無料漏洩チェックで「漏洩は見つかりませんでした」と表示された場合、それ自体は悪い結果ではありません。
ただし、その意味は「世界中のどこにも自分の情報が存在しない」ではなく、「そのサービスが照合できるデータの範囲では一致が確認されなかった」と理解する必要があります。
無料ツールには明確な役割がありますが、同時に調査範囲にも限界があります。
確認できたのはメールアドレス1件分に過ぎない
たとえば会社員が、自分の会社メールアドレスを1件だけHIBPで検索して「検出なし」だったとします。
分かったのは、そのメールアドレスについて、HIBPが検索対象として提供している情報の中で一致しなかったということです。
会社に50人の従業員がいるなら、残り49人については別問題です。
さらに、
- 退職者のアカウント
- 共通管理アカウント
- VPNアカウント
- クラウド管理者
- グループ会社のアカウント
- 過去に使用していたメールアドレス
なども存在します。
個人向けの簡易チェックと、組織全体の情報漏洩確認を同じものとして扱うべきではありません。
HIBP自身も、メールアドレス単位の検索とは別に、ドメイン所有権を確認した組織向けのドメイン検索機能を提供しています。
無料ツールは把握している漏洩データとの照合が中心
HIBPなどの漏洩チェックサービスは非常に有用ですが、インターネット上に存在するすべての漏洩データを網羅しているわけではありません。
まだ公開されていない侵害、閉鎖された犯罪者コミュニティ内だけで共有されている情報、限定販売されているデータなどは、一般公開型データベースですぐ検索できない場合があります。
さらに、ダークウェブ上の掲示板やマーケットは閉鎖、移転、名称変更を繰り返します。
したがって、無料ツールは「最初の確認」として非常に有効ですが、それだけで組織全体の安全性を証明するものではありません。
企業で「取引先から漏洩を指摘された」「不審ログインが発生している」「退職者による情報持ち出しが疑われる」といった具体的な兆候がある場合は、無料検索の結果だけで判断せず、専門調査を検討する必要があります。
漏洩の特定・封じ込めには平均247日かかっている
情報漏洩は、発生した瞬間に企業が気づくとは限りません。
IBMの「Cost of a Data Breach Report 2026」に関連する解説では、実際のデータ侵害を特定し、封じ込めるまでに平均247日を要するとしています。
ここで重要なのは、この247日が「漏洩を発見するまでの日数」だけを示す数字ではないことです。
侵害の特定から封じ込めまでを含む平均期間です。
それでも、サイバー攻撃が長期間気づかれずに継続する可能性があることは分かります。
今日無料チェックをして何も見つからなくても、明日新しい情報が公開されるかもしれません。現在進行中の侵害がまだ外部データベースへ反映されていない可能性もあります。
そのため企業では、単発の確認だけでなく継続監視という考え方が必要になります。
会社として確認すべき範囲はどこまで？
企業が「個人情報漏洩が起きていないか」を確認する場合、自分のメールアドレスだけでは不十分です。
攻撃者が欲しいのは、個人情報そのものだけではありません。
社内へ侵入するためのメールアドレス、パスワード、VPN認証情報、管理画面、外部公開サーバーなども価値のある情報です。
まず、自社が次の6項目をどこまで確認できているかチェックしてください。
自社チェックリスト｜6項目のうちいくつ確認できているか
□ 1. 全従業員の会社メールアドレス
1人分だけではなく、従業員全体について漏洩状況を確認します。特定部署や役員のアカウントだけが標的になるとは限りません。
□ 2. 退職者・休眠アカウント
使われなくなったアカウントが有効なまま残っていると、侵害されても本人が気づきにくくなります。退職時の無効化と棚卸しが必要です。
□ 3. VPN・管理画面・サーバーの認証情報
VPNやクラウド管理者アカウントが漏洩すると、単なるメールアカウントより深刻な侵入経路になる可能性があります。
□ 4. サブドメイン・IP・公開ポートなどの外部公開資産
企業が把握していない古いサーバーやテスト環境が外部公開されたまま残っているケースがあります。漏洩情報だけでなく、攻撃対象領域そのものを確認する必要があります。
□ 5. 委託先・取引先経由の漏洩リスク
自社が直接侵害されなくても、利用しているSaaS、外部アプリ、委託先などから自社情報が漏れる場合があります。
□ 6. 上記を継続的に監視できているか
一度確認して終わりではなく、新しい漏洩情報や外部公開資産の変化を継続的に把握できる体制があるか確認します。
6項目すべてについて「誰が、どのツールで、どの頻度で確認しているか」まで答えられる状態が理想です。
盗まれたID・パスワードは今も重要な侵入経路
過去の統計を引用して「攻撃の61％は盗まれたID・パスワードから始まる」と説明する記事がありますが、2026年の最新Verizon DBIRにこの数字をそのまま当てはめることはできません。
Verizonの2026 DBIRでは、侵害の初期侵入経路として脆弱性の悪用が31％となり、19年間のDBIRで初めて盗まれた認証情報を上回って首位になりました。
これは「パスワード漏洩が重要ではなくなった」という意味ではありません。
攻撃者にとって、漏洩した有効な認証情報は正規ユーザーに近い形でログインできる有力な手段です。
特にVPN、Microsoft 365、Google Workspace、クラウド管理画面など、インターネットからアクセス可能なサービスでは、認証情報の漏洩と多要素認証の有無が侵入リスクに大きく影響します。
つまり2026年現在は、
「脆弱性を悪用されないこと」
「認証情報を盗まれない・悪用させないこと」
の両方を見る必要があります。
自社ドメイン単位で漏洩を確認する方法は？
企業全体を確認する場合は、個々の従業員に無料サイトで検索してもらうだけでは管理が困難です。
会社のドメインを起点に、複数のメールアドレス、ダークウェブ情報、外部公開資産などをまとめて確認する方法を検討します。
目的によって「無料の簡易チェック」「スポット調査」「継続モニタリング」の3つに分けると選びやすくなります。
スポット調査と継続モニタリングの違い
スポット調査は、「今この時点で何が漏れているのか」を詳しく確認する方法です。
たとえば、
- 取引先から漏洩を指摘された
- 不審ログインが発生した
- 退職者の持ち出しが疑われる
- インシデント発生後に外部流通状況を確認したい
といったケースに向いています。
一方、継続モニタリングは、現在問題が起きているかどうかにかかわらず、新しい漏洩情報が出現していないか定期的または継続的に監視します。
「一度詳しく調べたい」のがスポット調査。
「今後の漏洩も早期に把握したい」のが継続モニタリングです。
企業によっては、最初にスポット調査で現状を把握し、その後、重要なドメインやアカウントだけを継続監視する方法もあります。
3つの手段を費用と分かることで比較する
| 方法 | 分かること | 費用感 | 向いているケース |
|---|---|---|---|
| 無料簡易チェック | 既知DB内のメールアドレス等 | 無料 | まず状況を確認したい |
| 専門家によるスポット調査 | ダークウェブ、関連フォーラムなどを含む詳細調査 | 調査範囲により変動 | 漏洩疑い・事故発生時 |
| 継続モニタリング | 新たな漏洩情報の継続的検知 | 月額等 | 企業全体で継続管理したい |
CyberCrewのALIENGATEでは無料プランも提供しており、メールアドレスの公開漏洩DBチェックなどから始められます。法人向けの有料プランでは、ドメイン単位のダークウェブ調査、脆弱性診断、複数メールアドレスのチェックなどを組み合わせています。プラン内容・価格は変更される可能性があるため、契約時には公式ページで最新情報を確認してください。
より深い人的調査が必要な場合、CyberCrewのホワイトハッカーによるダークウェブモニタリングもあります。公開価格例では、緊急スポット調査は180万円からで、40キーワードまたは1ドメインを対象としています。調査範囲によって費用は変わります。
無料ツールと専門調査は競合するものではなく、目的が異なります。
日常的なセルフチェックには無料ツール、具体的な漏洩疑いの調査や経営判断に使う情報が必要な場合には専門調査、と使い分けることが重要です。
漏洩が確認されたら企業は何をすべき？
企業の情報漏洩が確認された場合は、「とにかく原因を探す」だけでは不十分です。
被害拡大を防ぎながら、証拠を保全し、漏洩した情報の種類と影響範囲を特定します。そのうえで、法令上の報告義務や取引先への連絡義務を確認します。
特に個人データが含まれる場合は、個人情報保護法第26条に基づく報告対象事態に該当するかを早い段階で判断する必要があります。
個人情報保護委員会への報告義務がある場合
個人データが漏洩した場合でも、すべての事案が一律に個人情報保護委員会への法定報告対象になるわけではありません。
主な報告対象は、
- 要配慮個人情報を含む漏洩等
- 不正利用により財産的被害が生じるおそれのある漏洩等
- 不正目的の行為による漏洩等
- 1,000人を超える本人に関する漏洩等
です。
報告対象事態を知った場合は「速やか」に速報を行い、個人情報保護委員会では概ね3〜5日以内を目安としています。
確報は原則30日以内、不正目的の行為による事案は60日以内です。本人への通知についても、報告対象事態では状況に応じて速やかに行う必要があります。
実際の事案で該当性の判断が難しい場合は、自社だけで断定せず、個人情報保護委員会や法務専門家等へ相談してください。
自力調査は証拠を破損させるリスクがある
漏洩の疑いが見つかると、担当者は「まずパソコンを調べよう」「怪しいファイルを消そう」と考えがちです。
しかし、操作によってログや攻撃者の痕跡が変化すると、後から侵入経路や影響範囲を調べることが難しくなる場合があります。
特にマルウェアやランサムウェア、不正アクセスが疑われる場合は、
- むやみにファイルを削除・初期化しない
- 発覚時刻、画面表示、ログ、連絡内容などを記録する
- 社内の責任者や専門事業者へ速やかに相談する
ことが重要です。
IPAも、証拠保全が必要なインシデントではネットワークからの切り離しを行う一方、メールやファイルを削除しない、PCの電源を切らないといった対応例を示しています。
「自分で直せそうだから」と操作を続けるより、後から何が起きたのかを説明できる証拠を残すことを優先すべき場面があります。
CyberCrewのダークウェブモニタリングとは？
無料ツールで確認できる範囲と、企業が本当に確認すべき範囲には差があります。
CyberCrewでは、簡易的な漏洩チェックだけでなく、ホワイトハッカーによるダークウェブ調査や、ALIENGATEを利用した継続的な外部リスク管理を提供しています。
目的は「漏洩しているかを知らせる」だけではなく、見つかった情報を評価し、その後の対応につなげることです。
ホワイトハッカーがツールで拾えない情報まで確認する
ダークウェブ調査は、単純な検索エンジンのように一つのデータベースへ問い合わせれば完了するものではありません。
攻撃者が利用するフォーラム、マーケット、情報共有場所は閉鎖や移転を繰り返します。また、自動検索だけでは情報の文脈や、自社との関係性を正しく判断しにくい場合があります。
CyberCrewのダークウェブモニタリングでは、ホワイトハッカーを含むチームが調査を行い、自動ツールでは把握しにくい情報も含めて確認します。契約完了後、最短即日で調査を開始でき、スポット調査と定期モニタリングの双方に対応しています。
たとえば、
「自社名が掲載されていた」
「会社ドメインのメールアドレスが見つかった」
という情報だけで終わらず、何が掲載されているのか、どの程度のリスクとして扱うべきかを確認することが重要です。
無料検索で何も見つからなかった場合でも、インシデントの兆候や具体的な漏洩疑いがあるのであれば、より深い調査を行う意味があります。
ALIENGATEで漏洩監視・資産管理・脆弱性診断を一元化する
CyberCrewのALIENGATEは、ダークウェブ上の漏洩情報だけではなく、企業の外部公開資産や脆弱性も含めて確認する外部リスク管理プラットフォームです。
企業が確認すべきなのは「パスワードが漏れているか」だけではありません。
たとえば、
- 従業員のメールアドレス・認証情報
- 自社のドメインやサブドメイン
- 外部公開されているシステム
- 脆弱性が残っているWebサービス
- 新たに確認された漏洩情報
などを関連付けて把握する必要があります。
ALIENGATEでは、ダークウェブ調査、外部公開資産の把握、脆弱性診断、対応・管理を一つのワークフローで扱うことができます。無料プランではメールアドレスの公開漏洩DBチェックなどから利用でき、法人向けプランでは複数アドレスやドメインを継続して確認できます。
個人1人のチェックであれば無料サービスが便利です。
一方、
「従業員全員を定期的に確認したい」
「自社ドメインに紐づく漏洩を把握したい」
「漏洩情報だけでなく、侵入される弱点も一緒に見たい」
という場合は、組織単位の監視へ切り替える必要があります。
個人情報漏洩の確認に関するよくある質問
Q. Googleダークウェブレポートはもう使えませんか？
使えません。新規モニタリングは2026年1月15日に停止し、2026年2月16日にレポートと関連データへのアクセスが終了しました。Google Oneへ加入しても旧ダークウェブレポートは復活しません。現在はHIBP、Nortonなどの漏洩チェックや、用途に応じた別のモニタリングサービスを使います。
Q. 電話番号の漏洩はどうやって調べますか？
HIBPのWebサイトは2025年5月の2.0公開時に電話番号検索を廃止しています。そのため、HIBPの検索窓で電話番号を直接調べることはできません。電話番号を継続的に監視したい場合は、電話番号に対応するID保護・ダークウェブ監視サービスを利用します。ただし、対応項目は国やプランによって異なるため公式仕様を確認してください。
Q. 無料の漏洩チェックサイトは信用できますか？
無料か有料かだけでは判断できません。運営企業が明確か、プライバシーポリシーが公開されているか、入力した情報の利用・保存方法が説明されているかを確認してください。HIBPや大手セキュリティ企業の公式サービスなど、仕組みと運営主体を確認できるサービスを利用することが基本です。
Q. 「漏洩なし」と表示されたら安全ですか？
安全の証明にはなりません。そのサービスが確認できるデータ内で一致が見つからなかったという意味です。未公開の侵害や、そのサービスが取得していない漏洩情報まで否定するものではありません。パスワードの使い回しをなくし、多要素認証を有効にするなど、基本対策は継続してください。
Q. スマホからでも確認できますか？
はい。HIBPやNortonの無料メールチェックなど、ブラウザで利用できるサービスであればスマートフォンからも確認できます。Googleの「あなたに関する検索結果」もモバイルから利用できます。ただし、検索広告経由で似た名前の偽サイトへアクセスしないよう、URLと運営元を確認してください。
Q. パスワードを漏洩チェックサイトに入力しても大丈夫ですか？
原則として、現在使用中のパスワードを無名のサイトへ直接入力しないでください。HIBPのPwned Passwordsのように、パスワード原文を送らず、端末側でハッシュ化してk-Anonymityで照合する仕組みを明示しているサービスは例外です。
Q. 最も多く漏洩しているパスワードは何ですか？
「123456」などの単純なパスワードは、過去の各種調査で繰り返し上位に確認されています。ただし、Pwned Passwordsのデータは随時追加されるため、「現在○回で世界1位」と固定的な数字を掲載するとすぐ古くなります。利用予定のパスワードが過去の流出データに含まれているかをPwned Passwordsで直接確認するほうが実用的です。
Q. 特定企業の漏洩事故で自分が対象かどうか確認するには？
まず、その企業の公式発表や個別通知を確認してください。漏洩対象者へメールや郵送で通知する企業もあります。ただし、事故を装ったフィッシングが発生することもあるため、届いたメールのリンクをそのまま開かず、企業公式サイトから発表内容を確認することをおすすめします。
Q. 会社のメールアドレスをHIBPなどで調べてもよいですか？
技術的には検索できますが、会社のセキュリティポリシーや外部サービス利用ルールを確認してください。特に複数従業員の情報を管理者が一括で扱う場合は、個人による簡易チェックとは異なります。企業として実施する場合は、利用規約、個人情報の取扱い、ドメイン所有権確認などを含めて正式な仕組みで運用することをおすすめします。
Q. 従業員全員分をまとめて確認できますか？
できます。HIBPにはドメイン所有権を確認した組織向けのドメイン検索機能があり、ALIENGATEなどにも複数メールアドレスやドメインを組織単位で確認する機能があります。
ただし、一括確認だけで終わらせず、漏洩発見時のパスワード変更、アカウント停止、MFA有効化、インシデント調査へつなげる運用まで決めておくことが重要です。
まとめ｜確認は一度で終わらせない
2026年現在、個人情報漏洩を確認する方法は以前とは変わっています。
特に押さえておきたいのは次の3点です。
- Googleダークウェブレポートは2026年2月16日に終了しており、現在はHIBP、Norton、ALIENGATEなど別の手段を使う
- 「検出なし」は安全証明ではないため、パスワードの使い回し解消や多要素認証などの基本対策を続ける
- 個人のメールアドレス1件を確認することと、企業のドメインや全従業員を継続監視することは別のセキュリティ対策である
また、現在の攻撃では認証情報だけでなく、外部公開システムの脆弱性も重要な侵入経路になっています。Verizonの2026 DBIRでは、脆弱性悪用が31％で初めて最大の侵入経路になりました。
そのため企業では、
「情報が漏れていないか」
「漏れた認証情報を悪用されないか」
「そもそも外部から侵入できる弱点がないか」
を別々に確認する必要があります。
今日まず行うことは、自分または自社の業務用メールアドレスについて、信頼できる無料チェックサービスで現在の状況を一度確認することです。
そこで終わらず、検出された場合はパスワード変更・使い回し解消・多要素認証へ進み、企業であれば残りの従業員、退職者、管理者アカウント、VPN、外部公開資産まで確認範囲を広げてください。
CyberCrewでは、ALIENGATEによる無料の簡易漏洩チェックから、企業ドメインの継続監視、ホワイトハッカーによるダークウェブ調査まで対応しています。
「自社の情報がどこまで漏れている可能性があるか確認したい」「取引先から漏洩を指摘された」「無料チェックだけでは判断できない」という場合は、CyberCrewへご相談ください。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
