自社のメールアドレスが漏れていないか、無料で確認する方法と限界

取引先や監査から「情報漏洩の有無は確認していますか」と聞かれ、答えに詰まった——中小企業の担当者からよく聞く場面です。社内に情報システムの担当者がいない会社では、そもそもどこから手をつければいいのかが分かりません。

結論から言うと、無料で始められる確認手段はあります。ただし、そこで分かることには範囲があります。両方を知っておくと、判断が早くなります。

■ 無料でできる3つの確認

1. 漏洩確認サイトでメールアドレスを照合する

過去に公開された流出データを集めて、メールアドレス単位で「含まれているか」を返してくれるサービスが、いくつか無料で公開されています。自社ドメインのアドレスを入力すると、どの流出事案に含まれていたかが表示されるものが一般的です。

使うときの注意が2つあります。ひとつは、パスワードそのものを入力させるサイトは避けること。照合はメールアドレスだけで足ります。もうひとつは、社員のアドレスを勝手に照合する前に、就業規則や社内ルールとの関係を一度確認しておくことです。会社が所有するドメインのアドレスであっても、社内への説明があるほうが後々こじれません。

2. パスワードの使い回しを洗い出す

流出そのものより、被害につながりやすいのは使い回しです。ひとつのサービスから漏れたIDとパスワードの組み合わせが、他のサービスのログインに次々と試される——という流れが典型的です。

ブラウザやパスワード管理ツールの多くには、保存済みのパスワードのうち「使い回しているもの」「短すぎるもの」「流出データに含まれていたもの」を一覧で出す機能があります。まずは会社で使っているブラウザのパスワード管理画面を開いて、警告が出ている項目を見るだけでも、優先順位の見当がつきます。

3. 多要素認証（MFA）の導入状況を確認する

パスワードが漏れても、もう一段の確認が入れば不正ログインは成立しにくくなります。メール、クラウドストレージ、会計や販売管理のクラウドサービス。それぞれの管理画面で、多要素認証が使えるか、誰が有効にしているかを確認します。多くのサービスでは、管理者が「全員に必須にする」設定を持っています。

■ それだけでは分からないこと

無料の確認は入口としては有効ですが、抜け落ちる部分があります。

掲載されていても照合できないデータがある

漏洩確認サイトが扱うのは、収集され、整理され、公開された流出データです。フォーラムやリークサイトに掲載されただけで、まだ広く集約されていないデータや、販売中で内容が公開されていないデータは、検索しても出てきません。「検出なし」は「漏れていない」という意味ではない、という点は押さえておく必要があります。

組織単位の傾向が見えない

アドレスを1件ずつ照合しても、「経理部門のアドレスに集中している」「同じ時期の同じサービスから、複数名分がまとめて出ている」といった傾向は浮かんできません。傾向が分かると、原因の見当と、次に手を打つべき部署が絞れます。

優先順位がつかない

検出結果が数十件出てきたとき、どれから対応するかは、漏れた情報の種類（平文のパスワードか、ハッシュ化されたものか、氏名や電話番号か）、公開された時期、そのアカウントで何ができるかによって変わります。一覧を見るだけでは、この判断まではたどり着きません。

■ 担当者がいない会社が、最低限やるべき3つ

情報システムの担当者を置けない規模でも、この3つは効果に対して手間が小さい部類です。

1. メールとクラウドサービスに多要素認証を入れる

入口の数は多くありません。メール、ファイル共有、会計。この3つに入れるだけで、パスワードが漏れたときの影響がかなり変わります。

2. 退職者と休眠アカウントを止める

使われていないアカウントは、誰も異変に気づけません。半期に一度、利用者一覧を出して、在籍していない人のアカウントを無効化する。これだけで、放置された入口が減ります。

3. 「開いてしまった」を言える窓口を決めておく

誰に、どうやって伝えるか。連絡先を1行決めて社内に掲示しておくと、報告までの時間が縮みます。技術的な対策より先に効くことがあります。

■ 自社ドメイン単位で確認したい方へ

「アドレスを1件ずつ調べるのは手が回らない」「経営層や取引先に説明できる形にまとめたい」という場合は、自社ドメインとメールアドレスをまとめて調べる調査を承っています。公開されているリークデータベースとダークウェブ上の掲載状況を確認し、検出内容・出所・推奨対処の優先順位をPDF報告書にまとめてお返しします。

ダークウェブ・リーク情報の漏洩調査（15,400円／ドメイン1つ＋メール最大50件）

https://coconala.com/services/4393285