あなたの個人情報はダークウェブに売られている？確認方法と対処法　「自分には関係ない」と思っていませんか？それが一番危ない。

「自分には関係ない」と思っていませんか？それが一番危ない。

2024年、日本国内だけで数百万件規模の個人情報漏洩が報告されました。ニコニコ動画を運営するKADOKAWAへのランサムウェア攻撃では約254万人分の個人情報が流出し、LINEヤフーでは約44万件の不正アクセスが確認されています。あなたが使っているサービスのどれかが、すでに攻撃されているかもしれない。そしてあなたのメールアドレスやパスワードが、今この瞬間もダークウェブのどこかで売り買いされているかもしれないのです。

でも、怖がるだけでは何も解決しません。この記事では「ダークウェブとは何か」から始まり、「自分の情報が流出しているか調べる方法」「流出後にやるべきこと」「クレジットカード不正利用対策」まで、できるだけわかりやすく、でもちゃんと使える情報としてまとめました。

ダークウェブって何？怖いものなの？
ダークウェブで何が売られているのか？OSINT的な視点から
自分の情報が流出しているか確認する方法
情報が流出していたらどうする？すぐやるべき対処法
クレジットカード不正利用対策：これだけはやっておけ
日頃からできるセキュリティの習慣
まとめ：知ることが最大の防衛

ダークウェブって何？怖いものなの？

インターネットには、大きく分けて3つの層があります。

サーフェスウェブ（Surface Web） は、GoogleやYahooで検索できる普通のウェブサイトの世界。私たちが日常的に使っている部分です。実はインターネット全体のわずか4〜10%しかないとも言われています。

ディープウェブ（Deep Web） は、検索エンジンにインデックスされていないページ全般のこと。会員制サイトのログイン後のページや、企業の社内システム、オンラインバンキングの画面なども含まれます。「深い」というだけで、悪いものではありません。

そしてダークウェブ（Dark Web） は、通常のブラウザではアクセスできない、特殊なソフトウェア（主にTorブラウザ）を使わないと入れない領域です。匿名性が非常に高く、アクセスした人のIPアドレスを特定しにくい構造になっています。

ダークウェブそのものは「悪」ではありません。報道の自由が制限されている国のジャーナリストが検閲を回避するために使ったり、内部告発者が身元を隠して情報提供したりする目的でも使われています。問題なのは、その匿名性を悪用した犯罪市場の存在です。

やさい

併せて読んでみてください。

あなたの名前、住所、クレジットカード番号、パスポート情報——これらは今この瞬間も、インターネットの「裏側」でひっそりと売買されている。しかもその価格は、あなたが思うより遥かに安い。 | やさしいサイバーセキュリティ

ダークウェブは本当に見られる？仕組みとリスクを徹底解説 | やさしいサイバーセキュリティ

なぜ企業データはダークウェブに公開されるのか？ランサムウェア、リークサイト、そして「情報公開」という名の脅迫の実態 | やさしいサイバーセキュリティ

日本人の個人情報はダークウェブでどれくらい流通しているのか？ | やさしいサイバーセキュリティ

ダークウェブで何が売られているのか？OSINT的な視点から

OSINTとは「Open Source Intelligence（オープンソースインテリジェンス）」の略で、公開されている情報から有益な知見を得る情報収集・分析の手法です。セキュリティ研究者やサイバー犯罪捜査員が、ダークウェブを調査する際にもこの考え方を応用します。

実際にセキュリティ研究者が調査した結果（※研究目的での調査のため詳細URLは省略）、ダークウェブのマーケットでは以下のようなものが売り買いされています。

個人情報のセット（Fullz） 氏名・住所・生年月日・社会保障番号（またはマイナンバーに相当する情報）・クレジットカード番号がセットになったデータ。1件あたり数百円〜数千円で取引されることも。

メールアドレスとパスワードのリスト 大規模なデータ漏洩で得られた認証情報のリスト（「クレデンシャルリスト」と呼ばれる）。これを使って不正ログインを試みる「リスト型攻撃」に使われます。

クレジットカード情報 カード番号・有効期限・セキュリティコードのセット。「CVVショップ」と呼ばれる専門サイトで流通しています。

偽造身分証明書の作成サービス パスポートや運転免許証の偽造を請け負うサービスまで存在します。

ランサムウェア・マルウェアの売買 攻撃ツールそのものや、攻撃のノウハウが販売されています。

漏洩した情報はダークウェブに出回るまでに「時間差」があることです。企業がサイバー攻撃を受けてから、その情報がダークウェブに登場するまで、早ければ数日、長ければ数ヶ月かかることがあります。つまり「まだニュースになっていない漏洩」がすでに起きている可能性があるということ。定期的な確認が必要な理由がここにあります。

自分の情報が流出しているか確認する方法

Have I Been Pwned（HIBP）

最も有名で信頼性の高いサービスが、セキュリティ研究者のトロイ・ハント氏が運営する「Have I Been Pwned」（https://haveibeenpwned.com）です。

使い方は非常に簡単です。サイトにアクセスして、調べたいメールアドレスを入力するだけ。緑色のバナーが出れば「今のところ問題なし」、赤いバナーが出れば「このメールアドレスに関連するデータ漏洩が確認されています」という意味です。

このサービスのすごいところは、調査したメールアドレスが収集・保存されないプライバシー設計になっているという点と、2024年末時点で100億件以上のアカウント情報をデータベースに保持しているスケールの大きさです。Canva、LinkedIn、Adobe、Dropboxなどのメジャーなサービスでのデータ漏洩情報も網羅されています。

パスワードの確認は「Pwned Passwords」（https://haveibeenpwned.com/Passwords）から。ここでパスワードを入力すると、そのパスワードが過去のデータ漏洩で確認されているかどうかを調べられます。仕組みとして、パスワードそのものはサーバーに送信されず、ハッシュ値の一部だけを送る「k-匿名性」という技術を使っているので安全に使えます。

Googleのダークウェブレポート

Google Oneに加入しているユーザー（または一部の無料ユーザー）は、Googleが提供する「ダークウェブレポート」を利用できます。Googleアカウントの設定から「セキュリティ」→「ダークウェブレポート」で確認できます。Googleアカウントに登録したメールアドレスや電話番号が漏洩していないかをチェックしてくれます。

やさい

２０２６年２月をもって終了しちゃいました。Googleパスワードマネージャに集約。

パスワードマネージャーの漏洩チェック機能

1Passwordや Bitwardenなどのパスワードマネージャーには、保存しているパスワードが漏洩データと一致していないかを自動チェックする機能が搭載されています。Apple製品を使っている方はiCloudキーチェーンにも同様の機能があり、「このパスワードはデータ漏洩で確認されています」と通知が来ることがあります。

ダークウェブ監視サービスとは？

より本格的に監視したい方向けに、いくつかの企業が「ダークウェブ監視サービス」を提供しています。

これらのサービスは、専門のリサーチャーやボットがダークウェブのフォーラムやマーケットを定期的に巡回し、指定したメールアドレス・電話番号・クレジットカード番号・社会保障番号などが言及されていないかをチェックしてくれるものです。

代表的なサービスとして、Identity Guard、Aura、Norton LifeLockなどがあります（いずれも有料）。日本では、クレジットカード会社や銀行が付帯サービスとして提供しているケースもあります。

ただし注意点があります。これらのサービスは「ダークウェブのすべてを監視できる」わけではありません。ダークウェブには数え切れないほどのサイトが存在し、暗号化されたプライベートチャンネルでの取引も多く、完全な網羅は技術的に不可能です。あくまで「一定範囲の監視サービス」として活用するものと理解してください。

情報が流出していたらどうする？すぐやるべき対処法

「漏洩確認」したら赤いバナーが出た。さあどうする？パニックにならなくて大丈夫です。手順通りに対処しましょう。

ステップ1：パスワードをすぐ変える

まず最初にやることはこれです。漏洩が確認されたサービスのパスワードを、今すぐ変更してください。さらに重要なのが「使い回しの確認」です。

同じパスワードを複数のサービスで使っていた場合、芋づる式に被害が拡大します。これが「パスワードスプレー攻撃」や「クレデンシャルスタッフィング」と呼ばれる攻撃手法で、攻撃者は漏洩したメールアドレス＋パスワードの組み合わせを、Amazon・楽天・Googleなど主要サービスに片っ端から試してきます。

新しいパスワードは、各サービスごとに異なる、12文字以上のランダムな文字列にしてください。「覚えられない」と思ったら、それが正解です。パスワードマネージャーに任せましょう。

ステップ2：二段階認証（2FA）を設定する

パスワードを変えたら、次は二段階認証の設定です。二段階認証を有効にしておけば、仮にパスワードが漏洩していても、スマートフォンへの確認コードがなければログインできません。

おすすめの認証アプリはGoogle AuthenticatorやAuthy、Microsoft Authenticatorなど。SMSでのコード受信も二段階認証の一種ですが、SIMスワップ攻撃のリスクがあるため、アプリ型の方がより安全です。

ステップ3：ログイン履歴を確認する

パスワード変更後、各サービスの「ログイン履歴」や「セキュリティアクティビティ」を確認しましょう。見知らぬデバイスや地域からのアクセスがあれば、すでに不正ログインされた可能性があります。その場合は「すべてのセッションからログアウト」を実行してください。

ステップ4：個人情報の悪用に備える

メールアドレスだけでなく、氏名・住所・生年月日などの個人情報が漏洩した可能性がある場合は、次の点にも注意が必要です。

フィッシング詐欺への注意：あなたの名前や登録情報を知った攻撃者が、銀行や公的機関を騙る不審なメールや電話をしてくることがあります。「○○銀行です。不正利用が検知されました」系の連絡は、必ず公式サイトから確認を。

なりすまし被害への備え：重要な書類（パスポート番号、マイナンバーなど）が漏洩した疑いがある場合は、各機関に相談することも検討してください。

クレジットカード不正利用対策：これだけはやっておけ

クレジットカード情報の漏洩は、金銭的被害に直結するため特に注意が必要です。

カード明細を毎月必ず確認する

これが最も基本的かつ効果的な対策です。1円単位で確認する必要はありませんが、見覚えのない請求がないかを毎月チェックする習慣をつけましょう。特に少額（数百円）の請求は見落としがちですが、攻撃者はまず少額で「使えるカードかどうか」をテストする手口（「カーディング」）をよく使います。

カード会社のアプリで通知設定をONにする

ほとんどのクレジットカード会社が提供するアプリには「利用通知」機能があります。カードが使われるたびにスマートフォンに通知が来るよう設定しておけば、不正利用にすぐ気づくことができます。

バーチャルカードを活用する

オンラインショッピング専用の「バーチャルカード」を使うのも有効な対策です。メインカードとは別に、オンライン決済専用の使い捨てカード番号を発行できるサービスがあります。国内では楽天カードやdカードなどが対応しており、海外ではPrivacy.com（米国）が有名です。

仮にバーチャルカードの番号が漏洩しても、そのカード番号を停止するだけでメインカードへの影響はありません。

不正利用が発覚したらすぐカード会社に連絡

万が一不正利用が確認された場合、すぐにカード会社に連絡してカードを停止し、チャージバック（不正利用分の返金）を申請しましょう。多くのカード会社では、不正利用分は保険でカバーされます（申請期限や条件があるので約款を確認してください）。

3Dセキュア（本人認証サービス）の登録

「Visa Secure」「Mastercard Identity Check」「American Express SafeKey」などの名称で呼ばれる本人認証サービス（3Dセキュア）に登録しておくと、オンライン決済の際に追加の認証が求められるようになります。これにより、カード番号が盗まれてもオンラインでの不正利用を防ぎやすくなります。