使い捨てメール ツール
2026年10月29日更新
盗まれた何十億件ものログイン情報がインターネット上に出回っています。下にパスワードを入力すると、その中に含まれているかがわかります。パスワードが端末の外に出ることはなく、送信されるのはハッシュ値の先頭5文字だけです。
パスワードそのものが送信されることはありません。ブラウザーはまず、パスワードを ハッシュ値 に変換します。SHA-1というアルゴリズムで計算される40文字の文字列です。同じ入力からは必ず同じハッシュ値ができますが、ハッシュ値から元のパスワードに戻すことはできません。
次にツールは、このハッシュ値の 先頭5文字だけ を、Have I Been PwnedのPwned Passwordsというサービスに送ります。データ流出で見つかったパスワードを集めた公開データベースです。サービスは、この5文字で始まる既知のハッシュ値をすべて一覧で返します。多くの場合、1000件を超えます。そのうえで、お使いの端末のブラウザーが一覧の中からあなたのハッシュ値を探します。
この方式は k-匿名性 と呼ばれます。サービス側は、一覧のどのハッシュ値が目的なのか、そもそも一覧に含まれているのかさえわかりません。さらに、応答の大きさから何かが推測されないよう、ツールはダミーの項目を加えた応答を要求しています。
| 結果 | 意味 | すべきこと |
|---|---|---|
| N 回見つかった | このパスワードとまったく同じものが、漏えいデータに合計 N 回登場している | 使うのをやめ、すべての場所で変更する |
| 見つからない、強度は普通または強い | 漏えいリストになく、推測もされにくい | ひとつのアカウント専用で使い続ける |
| 見つからない、強度は弱い | 漏えいリストにはないが、推測されやすい | もっと長いパスワードに替える |
数字は、このパスワードが漏えいデータ全体で何回見つかったかを示しており、あなたのアカウントから漏れたとは限りません。1回だけ見つかったパスワードを、別の誰かが使っていた可能性も十分にあります。それでも関係ありません。一度リストに載れば、攻撃者は何千ものサイトで自動的に試します。そのパスワードはもう使えません。
漏えいに含まれていないことは、そのパスワードがまだ公開されていないことを示すだけです。名前と年を組み合わせたような短い、または予測しやすいパスワードは、何百万通りもの組み合わせを試すソフトによって一瞬で推測されます。
そのためツールは、お使いの端末上で、次のような簡単な基準から 強度 も推定します。
この推定はあくまで目安です。複雑に見えるパスワードでも、あなたの私生活に関係するものなら、あなたを知る人には推測できてしまいます。
もっとも覚えやすいのは パスフレーズ です。互いに関係のない4つか5つの単語を無作為に選び、たとえば lamp-storm-violin-brick-salt のようにつなげます。長いので推測がとても難しく、記号の羅列よりずっと覚えやすくなります。名言、歌詞、ことわざは攻撃用辞書に載っているので避けましょう。
そのほかのアカウントでは、パスワード管理ツールに16文字以上のランダムなパスワードを作らせましょう。覚えるのは管理ツールのパスワードだけで済みます。
いいえ。パスワードが端末の外に出ることはありません。Have I Been Pwnedに送られるのはSHA-1ハッシュ値の先頭5文字だけで、そこからパスワードを割り出すことも、どれを確認したかを知ることもできません。Boxoには何も届きません。
そうとは限りません。このパスワードとまったく同じものが漏えいデータに出回っているという意味で、別の誰かが使っていたものかもしれません。ただし攻撃者には試されます。使っているすべての場所で変更し、2段階認証を有効にしてください。
必ずしもそうではありません。公開されていないことがわかるだけです。短い、または予測しやすいパスワードなら、ソフトに推測されてしまいます。強度の推定も確認し、12文字以上にしましょう。
ここでのSHA-1はパスワードを守るためではなく、Have I Been Pwnedのデータベースと照合するために使います。データベースがSHA-1で整理されているからです。送信するのはハッシュ値の5文字だけなので、SHA-1の弱さがプライバシーに影響することはありません。