「自分が使っているパスワードは、どこかから流出していないだろうか？」
「Googleからパスワードが漏えいした可能性があると警告されたけれど、どうすればいい？」
企業へのサイバー攻撃や個人情報漏えいがニュースになると、普段使っているパスワードが安全なのか心配になることがあります。
実は、保存しているパスワードが過去の情報漏えいに関連していないか、無料で確認できるサービスがあります。
代表的なのが、Googleパスワードマネージャーの「パスワードチェックアップ」です。
また、Have I Been Pwnedが提供する「Pwned Passwords」では、特定のパスワードが既知の漏えいデータに含まれているかを確認できます。
この記事では、パスワード流出の確認方法、使い回しが危険な理由、パスワードの変更手順、安全性を高めるための対策を解説します。
情報確認日：2026年10月21日
パスワードが流出したか無料で確認する方法はある？
はい。パスワードの漏えいや安全性を確認できる無料サービスがあります。
ただし、確認できる内容はサービスによって異なります。
| サービス | 確認できる内容 | 特徴 |
|---|---|---|
| Googleパスワードマネージャー | 保存済みパスワードの漏えい・使い回し・脆弱性 | 日本語対応、ChromeやGoogleアカウントと連携 |
| Have I Been Pwned「Pwned Passwords」 | 特定のパスワードが既知の漏えいデータに含まれているか | 英語サイト、無料で確認可能 |
重要なのは、これらのサービスで「問題なし」と表示されても、パスワードの安全性が完全に保証されるわけではないことです。
検索対象に含まれていない情報漏えいや、まだ発覚していない漏えいもあるためです。
① Googleパスワードマネージャーで流出を確認する方法
Googleパスワードマネージャーは、GoogleアカウントやChromeに保存しているパスワードを管理するサービスです。
パスワードチェックアップを利用すると、次の3種類の問題を確認できます。
- 不正使用された可能性があるパスワード
- 複数のサービスで使い回しているパスワード
- 推測されやすい脆弱なパスワード
公式サイト：Googleパスワードマネージャー
パソコンのGoogle Chromeで確認する手順
- Google Chromeを開く
- 画面右上のメニューを開く
- 「パスワードと自動入力」を選ぶ
- 「Googleパスワードマネージャー」を開く
- 「チェックアップ」を選択する
- 表示された結果を確認する
Chromeのバージョンなどによって、メニュー名や表示位置が変わる場合があります。
Googleの公式ヘルプでも、Chromeからパスワードチェックアップを開く方法が案内されています。
Chrome以外のブラウザで確認する手順
Googleアカウントに保存されたパスワードは、Chrome以外のブラウザからも確認できます。
- passwords.google.comを開く
- 必要に応じてGoogleアカウントにログインする
- 「パスワードチェックアップに移動」などを選ぶ
- 画面の案内に従ってパスワードを確認する
- 漏えい・使い回し・脆弱性に関する警告を確認する
なお、Googleパスワードマネージャーに保存されていないパスワードは、通常このチェックの対象になりません。
また、これはメールアドレスそのものの流出履歴を調べる機能ではありません。
「不正使用されたパスワード」と表示された場合
Googleの公式ヘルプでは、不正使用されたパスワードとユーザー名の組み合わせは安全ではなく、早急なパスワード変更をおすすめしています。
警告が表示された場合は、該当サービスの公式サイトや公式アプリを開き、パスワードを変更してください。
メールや通知に含まれるリンクからアクセスするのではなく、普段利用している公式サイトを直接開く方法が安心です。
参考：Google公式ヘルプ｜不正使用されたパスワードを変更する
② Have I Been Pwnedでパスワードの流出を確認する方法
Have I Been Pwnedは、過去の情報漏えいに関連するデータを確認できるサービスです。
メールアドレスの流出検索とは別に、パスワードの漏えいを確認する「Pwned Passwords」という機能があります。
公式サイト：Have I Been Pwned｜Pwned Passwords
Pwned Passwordsの使い方
- 上記のPwned Passwords公式ページを開く
- ブラウザのアドレス欄で「haveibeenpwned.com」という公式ドメインを確認する
- パスワードの確認欄を探す
- 確認したいパスワードを入力する
- 「Check」などのボタンを押す
- 表示された結果を確認する
サイトは英語表示が中心です。画面構成やボタンの名称は変更される場合があります。
【重要】パスワードを入力する前に、必ず公式URLを確認してください。
検索結果や広告などからアクセスした場合、Have I Been Pwnedを装った偽サイトに誘導される危険性も考えられます。
公式ドメインは「haveibeenpwned.com」です。似た文字列のドメインや、運営元が不明な確認サイトにはパスワードを入力しないでください。
特に、現在使用中の重要なパスワードを、不審なサイトに入力することは避けましょう。
パスワードはそのまま送信されるの？
Pwned Passwordsの公式説明では、k-Anonymityという仕組みを利用し、入力されたパスワードそのものや完全なハッシュ値を送信せずに照合すると案内されています。
具体的には、パスワードから計算したハッシュ値の一部分を使って候補データを取得し、照合する仕組みです。
ただし、この説明はHave I Been Pwnedの公式サービスに関するものです。
類似サイトや第三者が運営するパスワード確認サイトでも、同じ安全対策が行われているとは限りません。
公式URLを確認することが大切です。
「Oh no — pwned!」と表示された場合
そのパスワードが、過去の既知の情報漏えいデータに含まれていたことを示します。
そのパスワードを現在も使っている場合は、使用しているサービスで速やかに変更してください。
同じパスワードを複数のサービスで使っている場合は、すべて見直す必要があります。
ただし、Pwned Passwordsは、そのパスワードがどの利用者のものだったのかを示すサービスではありません。
検索結果に表示されたからといって、自分のアカウントから流出したと断定できるわけではありません。
「Good news — no pwnage found!」と表示された場合
入力したパスワードが、Pwned Passwordsに登録された漏えいデータから見つからなかったことを意味します。
ただし、短いパスワードや推測されやすいパスワードでも、登録データに存在しなければ見つからない場合があります。
そのため、検索結果だけでなく、パスワードの長さや使い回しの有無も確認しましょう。
パスワードの使い回しが危険な理由とは？
パスワードを複数のサービスで使い回すと、1つのサービスから認証情報が流出した場合に、他のサービスまで不正ログインされる可能性があります。
例えば、次のようなケースです。
- 通販サイトAで使用していたメールアドレスとパスワードが流出する
- 第三者がその組み合わせを入手する
- 同じ組み合わせを通販サイトBやSNSなどで試す
- パスワードを使い回している場合、別のサービスにもログインされるおそれがある
このように、流出したIDとパスワードの組み合わせを別のサービスで試す攻撃は「パスワードリスト攻撃」と呼ばれます。
そのため、パスワードはサービスごとに異なるものを設定することが重要です。
パスワードの一部だけ変えれば安全？
例えば、共通のパスワードの末尾にサービス名や数字を付け加える方法は、一定の規則性を推測されるおそれがあります。
できるだけサービスごとに独立した、長く推測されにくいパスワードを設定しましょう。
複数のパスワードを覚えるのが難しい場合は、パスワード管理ツールを利用すると便利です。
パスワードが流出した場合の安全な変更手順
パスワードの漏えいが確認された場合や、不正ログインが疑われる場合は、次の手順で対応しましょう。
手順① 該当サービスの公式サイトを開く
まず、パスワードを変更するサービスの公式サイトや公式アプリを開きます。
「パスワードが流出しました」というメールが届いていても、メール内のリンクを安易に開かないようにしてください。
企業を装ったフィッシングメールの可能性があるためです。
手順② アカウント設定からパスワードを変更する
ログイン後、アカウント設定やセキュリティ設定からパスワード変更画面を開きます。
現在のパスワードの入力が必要な場合は、公式サイト上で操作してください。
すでに不正ログインによってパスワードが変更されている場合は、公式のアカウント復旧手続きを利用しましょう。
手順③ 新しいパスワードを設定する
新しいパスワードは、以前使用していたものとは異なるものにしてください。
パスワードはできるだけ長く、推測されにくくし、他のサービスと使い回さないことが重要です。
パスワード管理ツールの自動生成機能を利用すると、長くランダムなパスワードを作成しやすくなります。
氏名、生年月日、電話番号、単純な数字の並びなど、推測されやすい文字列は避けましょう。
手順④ 同じパスワードを使っている他のサービスも変更する
漏えいしたパスワードを別のサービスでも使っている場合は、そちらも変更してください。
特に優先したいのは、メールアカウント、ネット銀行、通販サイト、SNSなどです。
メールアカウントが不正ログインされると、他サービスのパスワード再設定メールを悪用されるおそれもあります。
手順⑤ ログイン履歴と登録情報を確認する
パスワードを変更したら、不審なログインがなかったか確認しましょう。
確認できる場合は、次の項目もチェックしてください。
- 最近ログインした端末や場所
- 登録メールアドレスや電話番号
- 不審な連携アプリ
- 通販サイトの注文履歴や配送先
- アカウントの復旧用情報
サービスが対応している場合は、不審な端末からのログアウトや、すべてのセッションの終了も検討してください。
手順⑥ 二段階認証・多要素認証を設定する
パスワードの変更だけでなく、二段階認証や多要素認証も設定しましょう。
認証アプリやパスキーなどを利用できる場合は、サービスの案内に従って設定してください。
ただし、二段階認証を設定していても、偽サイトに認証コードを入力するなどの行為には注意が必要です。
安全なパスワードの作り方と管理方法
パスワードの流出対策では、単に変更するだけでなく、新しいパスワードを安全に管理することが大切です。
長く推測されにくいパスワードを使う
パスワードは、利用するサービスが許可する範囲で、できるだけ長く設定しましょう。
ランダムに生成した文字列や、推測されにくい長いパスフレーズなどが選択肢になります。
サービスによって設定できる文字数や記号に制限があるため、実際の条件に従ってください。
サービスごとに異なるパスワードを設定する
同じパスワードを複数のサービスで使わないことが重要です。
特に、メールアカウントや金融サービスなど、重要度の高いアカウントでは固有のパスワードを使用しましょう。
パスワード管理ツールを活用する
すべてのパスワードを暗記するのは大変です。
Googleパスワードマネージャーなどの管理ツールを使えば、サービスごとに異なるパスワードを保存・管理できます。
ただし、パスワード管理ツールを利用するアカウント自体の保護も重要です。
Googleアカウントなどには強固な認証方法を設定し、第三者がアクセスできないようにしましょう。
パスキーを使えばパスワード流出のリスクを減らせる？
パスキーは、従来のパスワードに代わるログイン方法の1つです。
スマートフォンの画面ロックや生体認証などを利用して、対応サービスにログインできます。
パスキーでは、サービス側にログイン用の秘密鍵を送信しない仕組みが使われるため、従来のパスワードを入力する方式と比べてフィッシングへの耐性があります。
ただし、すべてのサービスがパスキーに対応しているわけではありません。
また、パスキーを設定しても、従来のパスワードによるログインが残るサービスでは、そのパスワードの管理も引き続き重要です。
対応サービスでは、パスキーの利用を検討するとよいでしょう。
パスワードの流出が疑われるときにやってはいけないこと
次のような行動は避けましょう。
- 不審なメールに書かれたリンクからパスワードを入力する
- 知らないサイトに現在使用中のパスワードを入力する
- 流出した可能性があるパスワードを使い続ける
- 複数サービスで同じパスワードを使い回す
- 認証コードを第三者に伝える
- 不正ログインの警告を確認せずに放置する
特に、パスワード流出を確認できると称する不審なサイトには注意が必要です。
確認サービスを利用する場合は、運営元と公式URLを確認しましょう。
パスワード流出に関するよくある質問
Q. パスワードが流出したか、無料で確認できますか？
はい。Googleパスワードマネージャーでは、保存済みパスワードの漏えいや使い回しなどを確認できます。
また、Have I Been PwnedのPwned Passwordsでは、特定のパスワードが既知の漏えいデータに含まれているかを確認できます。
Q. Googleから「パスワードが漏えいしました」と通知が届きました。どうすればいいですか？
まず、メール内のリンクを安易に開かず、Googleパスワードマネージャーの公式サイトから警告を確認してください。
不正使用されたパスワードが表示された場合は、該当サービスのパスワードを速やかに変更しましょう。
同じパスワードを他のサービスでも使っている場合は、そちらも変更してください。
Q. パスワードを変更すれば、もう安全ですか？
パスワード変更は重要な対策ですが、それだけですべての問題が解決するとは限りません。
不正ログインが発生していた場合は、登録情報の改ざんや不審な連携アプリなどが残っている可能性もあります。
ログイン履歴やアカウント設定も確認しましょう。
Q. パスワードは定期的に変更した方がいいですか？
十分に強固で、他サービスと使い回していないパスワードについては、漏えいや不正利用の兆候がない限り、短期間ごとの機械的な変更が必ずしも必要とは限りません。
むしろ、頻繁な変更によって覚えやすい単純なパスワードを設定したり、規則的な変更を繰り返したりすることは避けたいところです。
ただし、パスワードの漏えいが確認された場合や、不正ログインが疑われる場合は、定期変更の予定を待たず、速やかに変更してください。
また、サービスの管理者から正当な理由に基づいて変更を求められた場合も、公式サイトで案内を確認して対応しましょう。
Q. Have I Been Pwnedで見つかったパスワードは、自分のアカウントから流出したという意味ですか？
いいえ。Pwned Passwordsは、パスワードが過去の漏えいデータに含まれていたかを確認するサービスです。
そのパスワードが誰のものだったのか、どのアカウントから流出したのかを特定するものではありません。
Q. メールアドレスだけが流出した場合もパスワード変更は必要ですか？
メールアドレスだけの漏えいで、パスワードの流出や不正ログインが確認されていない場合は、必ずしも緊急の変更が必要とは限りません。
ただし、パスワードの使い回しや脆弱性がある場合は、見直しをおすすめします。
メールアドレスの流出確認については、当サイトの「自分のメールアドレスが流出しているか調べる方法！無料チェックサイト3選と対処法」でも詳しく解説しています。
まとめ｜パスワードの流出を確認し、使い回しを防ごう
パスワードが流出したか心配な場合は、まず信頼できる公式サービスで確認しましょう。
主な確認方法は次の2つです。
- Googleパスワードマネージャー：保存済みパスワードの漏えい・使い回し・脆弱性を確認する
- Have I Been Pwned「Pwned Passwords」：特定のパスワードが既知の漏えいデータに含まれているかを確認する
Have I Been Pwnedなどの確認サービスを利用する際は、必ず公式URLを確認し、偽サイトにパスワードを入力しないよう注意してください。
パスワードの漏えいが確認された場合は、該当サービスで速やかに変更し、同じパスワードを使用している他のサービスも見直してください。
さらに、二段階認証やパスキーを活用することで、アカウントの安全性を高められます。
パスワードの使い回しを避け、サービスごとに異なる認証情報を設定することが、不正ログインを防ぐための重要な対策です。
参考情報・公式サイト
- Google Chromeヘルプ｜不正使用されたパスワードを変更する
- Have I Been Pwned｜Pwned Passwords
- Have I Been Pwned｜公式FAQ
- IPA（情報処理推進機構）｜情報セキュリティ
※本記事は2026年10月21日時点の情報をもとに作成しています。サービスの機能や画面表示は変更される場合があります。