インターネットを利用していると、自分が利用しているサービスから個人情報が流出したというニュースを耳にすることがあります。しかし、実際に自分のメールアドレスやパスワードが攻撃者の手に渡ったのかを正確に知る術は多くありません。そんな不安を解消するために開発されたのが、セキュリティ専門家のTroy Hunt氏によるウェブサイトHave I Been Pwned? (HIBP)です。
このサービスは、世界中で発生した膨大なデータ漏洩（データブリーチ）の記録をデータベース化し、ユーザーが自分の情報が漏洩しているかを簡単に検索できる仕組みを提供しています。
Key Facts
- 目的： メールアドレスやユーザー名を入力することで、過去のデータ漏洩に含まれているかを確認できる。
- 創設者： セキュリティ専門家のTroy Hunt氏が2013年12月4日に立ち上げた。
- 規模： 数十億件のアカウントレコードを保持し、1日平均約16万人が利用（2019年時点）。
- 機能： 漏洩検知時の通知サービスや、パスワード自体の漏洩を確認できるAPIを提供。
- 信頼性： Googleのパスワードチェック機能など、多くの外部サービスに技術が採用されている。
HIBPの基本機能と仕組み
HIBPのメイン機能は、公開されたデータベースダンプ（流出したデータの塊）を収集・分析し、検索可能な状態にすることです。ユーザーがメールアドレスを入力すると、システムがデータベースを照合し、どのサービスから情報が漏れたかを提示します。
リアルタイムでの漏洩検知
2014年9月からは、Twitterボット「Dump Monitor」を導入し、Pastebinなどのテキスト共有サイトに投稿されたパスワードダンプを自動的に検知する仕組みを構築しました。これにより、公式な発表が出る前の段階で、ユーザーに迅速に漏洩の可能性を知らせることが可能になりました。
「Pwned Passwords」による匿名検証
2017年8月、Hunt氏は3億件以上の漏洩パスワードを公開しました。その後、2018年にはコンピュータ科学者のJunade Ali氏が考案した、k-匿名性と暗号学的ハッシュ関数を用いた通信プロトコルを実装しました。これにより、パスワードそのものをサーバーに送信することなく、そのパスワードが漏洩しているかを匿名で検証できるようになりました。この技術は、パスワードマネージャーやブラウザ拡張機能、さらにはGoogleのパスワードチェック機能にも応用されています。
サービスの歴史と背景
HIBPが誕生したきっかけは、2013年10月に発生したAdobe Systemsのセキュリティ侵害（約1億5,300万アカウントが影響）でした。Hunt氏は、攻撃者は容易にデータを分析できる一方で、一般ユーザーが自分の被害状況を把握する手段がないという不平等さを解消したいと考え、2013年12月にサイトを公開しました。当初はAdobeやSony Picturesなど5つの事例からスタートしましたが、現在は数え切れないほどの事例が登録されています。
また、サイト名の「Pwned」はハッカー用語の「pwn（権限を奪う、侵害する）」に由来しており、ロゴに含まれる「';--」という文字列は、データベースを不正に操作するSQLインジェクション攻撃でよく使われるコードを模しています。
過去の主要なデータ漏洩事例
HIBPは、社会的に影響の大きい多くの漏洩事件を記録してきました。例えば、不倫向けマッチングサイト「Ashley Madison」の漏洩では、アクセス数が57,000%も急増しました。この経験から、機密性の高いサイトの漏洩情報は、一般検索ではなくメール通知登録者のみに公開するという配慮が導入されました。
| 対象サービス | 漏洩規模（概数） | 特徴・経緯 |
|---|---|---|
| MySpace | 3.6億アカウント | 2009年頃のデータが後に公開 |
| 1.64億アカウント | 2012年のデータが後に公開 | |
| VK (ロシアSNS) | 1.71億アカウント | 大規模な「メガブリーチ」として追加 |
| Ashley Madison | 3,000万ユーザー | 機密性の高いデータとして特別管理 |
| VTech | 500万件 | 保護者の記録が流出した重大な事例 |
運営の変遷とオープンソース化
2019年、Hunt氏は個人の負担軽減とサービスの拡大を目的に売却を検討しましたが、最終的に2020年3月に独立した運営を継続することを決定しました。さらに、2020年8月にはコードベースのオープンソース化を表明し、2021年からは順次コードの公開を開始しています。
Frequently Asked Questions
Have I Been Pwned?にメールアドレスを入力しても安全ですか？
はい。このサイトは漏洩したかどうかを確認するためのものであり、ユーザーからパスワードを収集することはありません。また、パスワード検証APIではk-匿名性という技術を用いており、パスワードそのものをサーバーに送信せずに照合が行われます。
「Pwned」とはどういう意味ですか？
ハッカー文化におけるスラングで、コンピュータシステムへの不正アクセスに成功したことや、相手を完全に制圧したことを意味します。
自分のアドレスが漏洩していた場合、どうすればいいですか？
直ちに該当するサービスのパスワードを変更してください。また、同じパスワードを他のサービスでも使い回している場合は、それらすべてのパスワードを個別の強力なものに変更することを強く推奨します。
このサービスは無料で利用できますか？
基本的な検索機能や通知登録は無料で提供されています。サイトは商業的な側面を持ちつつも、一般ユーザーのセキュリティ向上という公共性の高い目的で運営されています。
なぜロゴに「';--」という記号が入っているのですか？
これはSQLインジェクションと呼ばれる、データベースを攻撃する際によく使われる文字列です。ウェブアプリケーションの脆弱性の代表例であるこの攻撃手法を象徴的にデザインに取り入れています。
References
- Pronounced