パスワードが漏洩したら——発覚から復旧まで24時間以内の行動チェックリスト

パスワード漏洩の通知を受け取ったらパニックにならずに

サービスからの漏洩通知、またはHave I Been Pwnedでの自主チェックで漏洩を発見したら、落ち着いて以下のステップを順番に実行しよう。速さが大事だよ。

即時対応：発覚から1時間以内

ステップ1：漏洩した情報の範囲を確認

通知に「何のデータが漏洩したか」が記載されているはずだよ。

• メールアドレスのみ → 緊急度：低
• パスワード（ハッシュ） → 緊急度：高
• パスワード（平文） → 緊急度：最高
• クレジットカード情報 → 緊急度：最高（カード会社へも連絡）

ステップ2：該当サービスのパスワードを即変更

漏洩したサービスに直接アクセスし（メールのリンクはクリックしない）、パスワードを新しいランダムな文字列に変更する。16文字以上、記号込みを推奨だよ。

ステップ3：同じパスワードを使い回しているサービスをすべて変更

使い回しているサービスがあればクレデンシャルスタッフィング攻撃に悪用される。パスワードマネージャーを使っていれば「使い回し警告」機能で一覧できるよ。

2〜6時間以内の対応

ステップ4：2要素認証を設定

パスワードを変更しただけでは不十分。認証アプリ（Google Authenticator・Authyなど）でTOTPを設定しよう。特にメールアカウントは最優先だよ。

ステップ5：ログイン履歴を確認

サービスの「セキュリティ設定」→「ログイン履歴」を確認して、見覚えのない場所・端末からのアクセスがないか確認。あれば「すべてのデバイスからサインアウト」を実行しよう。

ステップ6：同じメールアドレスを使う重要サービスを確認

特にメールアカウント自体が漏洩した場合、パスワードリセットメールを悪用した二次被害が起きやすいよ。

24時間以内の対応

ステップ7：クレジットカードへの不正利用確認

金融情報が漏洩した可能性がある場合はカード明細を確認。不審な利用があればカード会社に連絡して利用停止手続きをしよう。

ステップ8：関係機関への報告（必要に応じて）

• 個人情報保護委員会（個人の場合は任意）
• 警察のサイバー犯罪相談窓口
• 国民生活センター（0120-797-188）

再発防止策

1. パスワードマネージャーを導入してサービスごとに異なる強力なパスワードを使う
2. 重要サービスにはすべて2FAを設定する
3. Have I Been Pwnedでメールアドレスを監視設定（無料）する

漏洩は自分のせいではないことも多いけど、被害を広げないための行動は自分でできるよ。素早く動けば動くほど被害は小さくなるね。