おはようございます。10月9日、SHIPの朝礼を始めます。

最近、企業やサービスからの情報流出のニュースを、ほとんど毎日のように目にします。明らかにAIの脅威のひとつでもあります。

大企業だから安全、小さなサービスだから危険、という話でもありません。普段何気なく使っているサービスから、メールアドレスやパスワードなどの情報が流出することがあります。

そこで今日は、自分のメールアドレスが過去の情報流出に含まれていないかを調べられるサイトを紹介します。

Have I Been Pwned（ハブ・アイ・ビーン・ポーンド）
https://haveibeenpwned.com/

使い方は簡単です。

サイトを開いて、自分のメールアドレスを入力して検索するだけです。

私も実際に調べてみました。

すると、私の場合はHouzzから情報が流出していたことがわかりました。

Houzzは登場したころウオッチしていましたが、今はまったくアクセスすることもなかったので、早速アカウントを削除しました。

もう一つはDropboxでした。

Dropboxはすぐにアカウントを削除するとなかなかたいへんなので、こちらはとりあえずパスワードを変更しました。

こうして実際に自分のメールアドレスを調べてみると、情報流出というものが急に身近な話になります。

自分自身が怪しいメールを開いたわけでも、怪しいサイトにアクセスしたわけでもありません。

普通に利用していたサービス側で情報流出が起これば、私たちの情報も一緒に流出する可能性があります。

さらに問題なのは、パスワードの使い回しです。

例えば、あるサービスからメールアドレスとパスワードが漏れたとします。

そのパスワードをGoogle、Amazon、SNS、その他のサービスでも使っていたら、攻撃者は同じメールアドレスとパスワードの組み合わせを別のサービスでも試します。

いわゆるパスワードリスト攻撃です。

一つのサービスから漏れた情報が、別のサービスへの不正ログインにつながってしまいます。

Have I Been Pwnedは、オーストラリアのセキュリティ専門家、トロイ・ハント氏が2013年に始めたサービスです。

世界中で発生した情報漏洩のデータを集め、自分のメールアドレスがその中に含まれているかを確認できるようにしています。

「流出を調べるサイトにメールアドレスを入力する方が危ないのではないか」と思う人もいるでしょう。

しかし、メールアドレスの流出確認ではパスワードを入力する必要はありません。

また、パスワード自体が過去に流出しているかを確認する機能についても、入力したパスワードそのものをそのままサーバーに送る仕組みにはなっていません。

では、自分のメールアドレスが流出していたらどうするか。

私が今回行ったことと同じです。

• 使っていないサービスならアカウントを削除する。
• 使っているサービスならパスワードを変更する。
• 同じパスワードを使い回していたら、ほかのサービスも変更する。
• 重要なサービスには二段階認証を設定する。

これだけでもリスクはかなり減らせます。

一方で、検索して何も出なかったから絶対に安全、というわけでもありません。

このサイトが把握している情報流出の中には見つからなかった、というだけです。

ですから基本は、パスワードを使い回さないこと、二段階認証を使うこと、そして使わなくなったサービスのアカウントを放置しないことです。

今日紹介したサイトは、まずは自分自身のために一度使ってみてください。

そして私たちはWebに関わる仕事をしています。

お客様から、

「最近、迷惑メールが増えた」
「自分のメールアドレスは漏れていないだろうか」
「セキュリティが心配だ」

そんな相談を受けることもあると思います。

そのときに、

「Have I Been Pwnedというサイトで一度調べてみるといいですよ」

と紹介できるだけでも、お客様に提供できる価値は一つ増えます。

まず自分で試す。
自分の状態を知る。
必要な対策をする。
そして、その経験をお客様にも伝える。

今回、私自身がHouzzとDropboxからの流出を知って対処したように、知っているだけではなく、実際に行動することが大切です。

以上で朝礼を終わります。