データ漏洩とは？アカウントの確認方法とデータの保護方法

データ漏洩通知は、特にテキストメッセージやメールで届き、迅速な対応を求められると、不安になるものです。まずは落ち着いて、「どのような情報が漏洩したのか、そしてその情報を使って何ができるのか？」という質問から始めましょう。漏洩とは、データが不正に公開またはアクセスされたことを意味し、必ずしも誰かがあなたのアカウントにログインしたり、あなたの身元情報を使用したりしたことを証明するものでもありません。最善の策は、事実関係の確認、アカウントの保護、そして漏洩した金融情報や個人情報に対する明確な対策を立てることです。

以下の手順を順番に実行してください。通知内容を確認し、ご自身のメールアドレスに関する情報を確認し、漏洩した認証情報を共有しているアカウントを保護し、関係するデータの種類に応じて対応してください。このガイドは、2026年9月26日時点の米国消費者向けガイダンスに基づいています。各企業は、自社の事案に応じて追加の指示を出す場合があります。

1. 行動を起こす前に通知内容を確認してください。

企業から個人情報が漏洩したとの連絡があった場合、メッセージに記載されているリンクや電話番号を使ってログインしないでください。企業のアプリを開くか、既に知っているウェブサイトのアドレスを入力し、アカウントに通知がないか確認するか、信頼できる方法でサポートに連絡してください。連邦取引委員会（FTC）も、不審なメッセージを受け取った場合、同様に信頼できるウェブサイトや電話番号を使って企業に連絡するようアドバイスしています。

通知には、影響を受けたサービス、発生日、漏洩した情報の種類、および会社が推奨する手順が記載されています。通知には、メールアドレス、パスワード、電話番号、支払い情報、社会保障番号、またはその他の情報が漏洩したと記載されている場合があります。これらの情報によって対応が変わります。後日、会社、銀行、保険会社、または政府機関に連絡する必要がある場合に備え、通知とその日付を保存してください。

メッセージで即時の対応を迫られたり、パスワードやワンタイムコードの入力を求められたり、支払いを要求されたり、見慣れないサイトに誘導されたりした場合は注意が必要です。正規の情報漏洩通知だからといって、その後のメッセージが必ずしも正当とは限りません。通知が本物と思われる場合は、該当組織に直接連絡を取り、本当にその組織がアラートを送信したのかを確認してください。個人情報を返信したり、発信者にデバイスへのリモートアクセスを許可したりしないでください。

2. メールアドレスと影響を受けているアカウントを確認してください。

メールアドレスは、収集した情報漏洩データセットにそのアドレスが含まれているかどうかを報告する情報漏洩検索サービス「 Have I Been Pwned 」で検索できます。FAQには、情報漏洩検索ではアドレスに関連付けられたパスワードは表示されないと説明されています。これはあくまでも手がかりの一つとして利用し、完全なセキュリティ監査として利用しないでください。「検索結果なし」ページは、情報が漏洩したことがないことを証明するものではありません。情報漏洩は新しいものであったり、公表されていなかったり、サービスに含まれていなかったりする可能性があります。また、機密性の高い情報漏洩の中には、一般公開されていないものもあります。

確認したいメールアドレスのみを入力してください。情報漏洩検索ページ、メッセージ、または漏洩を「確認」できると謳うフォームにパスワードを貼り付けないでください。パスワードが漏洩しているかどうかを確認したい場合は、信頼できるパスワードマネージャーに組み込まれているセキュリティツールを使用するか、サービスの公式指示に従ってください。漏洩したパスワードに対する最も安全な即時対応策は、新しい固有のパスワードに変更することです。

次に、影響を受けたサービスのアプリまたは既知のウェブサイトを自分で開いてサインインしてください。最近のサインイン履歴、デバイス、復旧用メールアドレスと電話番号、接続されているアプリ、およびサービスが提供している場合はセキュリティアラートを確認してください。メールアカウントでは、見慣れない転送ルールやフィルタも確認してください。不明なセッション、変更された復旧用アドレス、送信していないメッセージ、または予期しないパスワードリセット通知は、アカウント自体が不正アクセスされた可能性が高い兆候です。情報漏洩リストに掲載されているだけでは、アカウント乗っ取りの証拠にはなりません。

3. 正しい順序でアカウントを保護する

漏洩したデータにパスワードが含まれている場合は、漏洩したサービスおよび同じパスワードを使い回していた他のすべてのサービスでパスワードを変更してください。まずはメインのメールアカウントから始めましょう。メールは他のサービスのパスワードリセットにも使用されることが多いためです。次に、同じパスワードを使用していた金融機関、携帯電話会社、クラウドストレージ、ショッピング、ソーシャルメディアのアカウントを保護してください。各アカウントに既に異なるパスワードが設定されており、通知にパスワードの漏洩はなかったと記載されている場合は、すべてのアカウントでパスワードを一括変更しても、特定のリスクに対処することなく作業が増える可能性があります。

アカウントごとに異なる長いパスワードを作成してください。信頼できるパスワードマネージャーを使用すれば、固有の認証情報を生成して保存できるため、すべてのパスワードを覚えておく必要はありません。NISTの最新のデジタルアイデンティティガイドラインであるSP 800-63Bリビジョン4では、サービスは恣意的な定期的なパスワード変更を要求すべきではなく、パスワードが侵害された証拠がある場合にのみ変更を要求するべきだとされています。漏洩した、または再利用されたパスワードについては、今すぐ変更してください。侵害の影響を受けていないアカウントで、固有の認証情報を使用している場合は、カレンダーにパスワードを変更するよりも、多要素認証（MFA）、復旧設定、および不審なアクティビティに重点を置いてください。

メール、金融機関、携帯電話会社、その他の重要なアカウントでMFAが利用可能な場合は、MFAを有効にしてください。MFAは、パスワードに加えて、認証アプリの承認、セキュリティキー、パスキー、ワンタイムコードなど、追加の本人確認手段を要求します。サービスがパスキー、セキュリティキー、またはその他のフィッシング対策機能を提供している場合は、そちらを優先してください。CISAは、可能な限りフィッシング対策機能付きのMFAを推奨しており、未確認のプッシュ通知よりも番号照合による承認の方がより強力な代替手段であると指摘しています。テキストメッセージによる認証しか選択肢がない場合でも、パスワードに加えて認証レイヤーが追加されますが、電話番号と復旧プロセスも保護されます。トレードオフについては、CISAの多要素認証に関するガイダンスを参照してください。

パスワードを変更した後は、サービスのセキュリティページを使用して他のセッションからログアウトし、身に覚えのないデバイスや接続アプリを削除してください。復旧情報がご自身のものであることを確認し、バックアップコードはスマートフォンとは別の安全な場所に保管してください。アカウントにログインできない場合は、プロバイダーの公式アカウント復旧手順に従ってください。不正な金融取引が見つかった場合は、カードに記載されている番号または公式アプリを使用して、銀行またはカード発行会社に直ちに連絡してください。

4. 次の行動を、表示された情報と一致させる。

米国では、信用情報凍結は無料で、他人があなたの名義で新たな信用口座を開設することを困難にすることができます。ただし、既存のクレジットカードへの不正請求など、あらゆる種類の不正行為を阻止できるわけではなく、信用取引を申し込む際には一時的に凍結を解除する必要がある場合もあります。連邦取引委員会（FTC）は、信用情報凍結と不正利用警告の違いについて説明しています。個人情報盗難の疑いがある場合は、IdentityTheft.govが復旧計画の策定を支援します。情報漏洩通知を待つことなく、このガイダンスを利用できます。

自分の対応が効果を発揮しているかどうかを見分ける方法

情報漏洩が元に戻るという約束ではなく、具体的な対策を求めましょう。どのサービスが関与していたのか、どのような種類のデータが漏洩したのかを把握し、漏洩したパスワードや再利用したパスワードはすべて変更し、可能な限り多要素認証（MFA）を有効にし、身に覚えのないセッションや接続アプリを削除してください。銀行やカードの利用状況を確認し、説明のつかない取引がないか調べましょう。個人情報が漏洩した場合は、信用情報凍結や不正利用警告が状況に合致するかどうかを判断し、信用情報機関に直接問い合わせて状況を確認してください。

通知、会社の対応、ケース番号、通話内容や取引に関するメモはすべて保管してください。特に金融情報や個人情報に関する通知を受け取った後は、アカウントの利用状況や明細書を定期的に確認してください。パスワードリセットのメッセージ、見慣れないログイン情報、身に覚えのない請求、または開設していないアカウントが表示された場合は、単なる通知の問題として扱うのではなく、影響を受けたプロバイダーまたは銀行に連絡し、IdentityTheft.govの復旧手順に従ってください。

情報漏洩チェックでは分からないこと

公開されているメールアドレス検索は、そのサービスで利用可能なレコードのみをチェックするものであり、すべてのプライベートデータベースを検査したり、誰かが情報を悪用するかどうかを予測したりすることはできません。検索結果が陰性だったとしても、影響を受けていないという証明にはなりませんし、一致したからといって、攻撃者があなたのアカウントにログインしたという証明にもなりません。同様に、信用情報監視サービスは、いくつかの変化に気づくのに役立ちますが、誰かが公開されたデータを悪用しようとするのを防ぐことはできません。パスワードのリセットは、その認証情報を使用した今後のログインを保護するものであり、既に公開された情報のコピーを削除することはできません。

連邦政府の消費者保護および標準規格に関するガイダンスについては、まずFTC（連邦取引委員会）のデータ侵害後の対応手順、CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）のSecure Our Worldガイダンス、およびNIST SP 800-63B Revision 4パスワードガイダンスを参照してください。社会保障番号や個人情報が漏洩した場合は、 IdentityTheft.govの紛失・盗難情報対応手順をご利用ください。これらのツールはリスクを軽減し、復旧を円滑に進めるのに役立ちますが、適切な対応は通知の内容とアカウントで確認できる状況によって異なります。

ガイダンスは2026年9月26日に確認済みです。セキュリティ設定や情報漏洩データベースは変更される可能性があるため、正確な手順については各プロバイダーの最新のヘルプページとアカウントダッシュボードを参照してください。