インターネットを利用していると、「自分のメールアドレスが流出していないだろうか」と心配になることはありませんか？
メールアドレスは、ネットショッピングや会員登録、SNSなど、さまざまなサービスで使用されています。そのため、利用しているサービスに関連する情報が流出し、第三者に知られてしまう可能性があります。
そこで活用したいのが、メールアドレスが過去のデータ漏洩に含まれていないかを確認できる「Have I Been Pwned（ハブ・アイ・ビーン・ポーンド）」というWebサイトで、「pwned」は「乗っ取られた、やられた」を意味する英語のネットスラングです。
2026/10/22現在で、このサイトに登録されている漏洩済みのメールアドレス数は約178億件にのぼります。

今回は、Have I Been Pwnedの使い方と、実際に確認された「Gravatar」のデータ漏洩を例に、流出した情報や必要な対策について解説します。

１．Have I Been Pwnedとは？
Have I Been Pwnedは、過去に発生したデータ漏洩に自分のメールアドレスが含まれていないかを確認できるWebサイトで、公式サイトはこちらです。

https://haveibeenpwned.com/

メールアドレスを入力して検索すると、登録されている漏洩情報と照合され、該当する場合は漏洩元のサービス名や流出した情報の種類などが表示されます。
なお、検索結果は、メールアドレスに関連する情報が漏洩データに含まれていたことを示すものであり、現在そのアカウントが不正アクセスされていることを意味するわけではありません。

２．メールアドレスの流出を確認する方法
操作は比較的簡単です。

手順1：公式サイトを開く
Have I Been Pwnedの公式サイトにアクセスします。
https://haveibeenpwned.com/

手順2：メールアドレスを入力する
検索欄に、流出していないか確認したいメールアドレスを入力し、検索を実行します。

手順3：検索結果を確認する
検索結果には、メールアドレスが漏洩データに含まれていたかどうかが表示されます。
該当するデータがある場合は、漏洩元のサービス名や発生時期、流出した情報の種類などを確認できます。
なお、該当するデータが見つからなくても、すべてのデータ漏洩について安全であると保証されるわけではありません。

結果は以下のように表示されます。

表示	意味	対応
Good news — no pwnage found!	HIBPに登録されている流出事故のデータには見つからなかった	安心しすぎず、定期的に再確認する
Oh no — pwned!	流出事故のデータに含まれていた	続けて表示される流出事故の一覧を確認し、該当するサービスのパスワードを変更する

3. 実際に表示されたデータ漏洩「Gravatar」とは？
今回、あるメールアドレスを検索したところ、以下の画像のように流出が確認できました。


下にスクロールすると、「Gravatar」というサービスに関連するデータ漏洩が表示されています。
Gravatarとは、メールアドレスなどに関連付けられたプロフィール画像を、対応するWebサイトやサービスで表示するための仕組みです。WordPress関連のサービスなどで利用されています。


Have I Been Pwnedの説明によると、2020年10月、Gravatarに関連する大量のデータが収集され、ハッキングコミュニティ内で配布されました。
その後、影響を受けたメールアドレスがHave I Been Pwnedで検索できるようになっています。

どのような情報が流出したのか？
Have I Been PwnedのGravatarに関する説明では、次の情報が挙げられています。
・メールアドレス
・名前
・ユーザー名
説明によると、約1億6,700万件の名前、ユーザー名、メールアドレスのMD5ハッシュが収集され、そのうち約1億1,400万件について、ハッシュから元のメールアドレスが判明したとされています。
ここで注意したいのは、今回のGravatarの流出情報として挙げられている項目に、パスワードは含まれていないという点です。
ただし、メールアドレスや名前、ユーザー名が第三者に知られることにもリスクがあります。これらの情報が、迷惑メールやフィッシングメールなどに悪用される可能性があります。
※上記の件数や流出情報は、Have I Been Pwnedが公開しているGravatarの事案説明に基づいています。

４．自分のメールアドレスが流出していた場合の対策
メールアドレスが漏洩データに含まれていた場合でも、慌ててすべてのアカウントを削除する必要はありません。
まずは、流出した情報の種類を確認し、状況に応じて対策を行いましょう。

①パスワードを使い回していないか確認する
今回のGravatarの事案では、パスワードは流出情報として挙げられていませんが、ほかのサービスで同じパスワードを使い回している場合は注意が必要です。
万が一、別のサービスからパスワードが漏洩すると、同じパスワードを使っているほかのアカウントにも不正アクセスされるおそれがあります。
サービスごとに異なるパスワードを設定し、可能であれば二要素認証なども利用しましょう。

②不審なメールに注意する
メールアドレスや名前が知られている場合、それらを使って本人を信用させようとするメールが届く可能性があります。
例えば、次のようなメールには注意が必要です。
・アカウントが停止されると不安をあおるメール
・パスワードの再設定を求めるメール
・不審なリンクからログインするよう促すメール
・身に覚えのない請求や当選を知らせるメール

メールに記載されたリンクを安易にクリックせず、必要に応じて公式サイトを直接開いて確認しましょう。

まとめ：メールアドレスの流出を確認して適切な対策を
Have I Been Pwnedを利用すると、自分のメールアドレスが過去のデータ漏洩に含まれていないかを確認できます。
今回紹介したGravatarの事案では、メールアドレス、名前、ユーザー名が流出情報として挙げられていました。
メールアドレスが漏洩データに含まれていたからといって、必ずしもアカウントが不正アクセスされているわけではありません。しかし、フィッシングメールなどのリスクを考え、適切な対策を行うことが大切です。

まずは公式サイトでメールアドレスを確認し、検索結果に表示された情報をもとに、必要なセキュリティ対策を進めてみてはいかがでしょうか。