メールアドレスの流出チェック

問題点：Have I been pwned? と Firefox Monitor では検出結果が異なる

 情報漏えいのインシデントがかなりの頻度で発生しているのは周知の通りである。

その中でアカウント情報の流出は、ユーザーがどれほど注意を払っていても、企業が“やらかしている”のでどうしようもない。発覚したらアカウント情報の変更／サービスの退会という、後手に回る対応しかとれない。

さて、データベースごとアカウント情報を盗まれると、その母体と呼ぶべきメールアドレスとパスワードの両方が明るみに出てしまう。もっとも、パスワードは通常ハッシュ化されているので、それほど気にしなくても良いのかもしれないが。

メールアドレスはそのまま流出しているため、迷惑メールが届くようになったり、勝手にWebサービスに登録されたりと、当然ながら悪いことしか起きない。

毎回捨てアドレスを利用できる状況とは限らないため、、エイリアスでの登録やYahoo!メールのセーフティーアドレスが有効なのだろう。

話を戻すと、メールアドレスの漏えいを確認できるサービスで、悪いデータリストに登録されていないか調べてみたくなるのが必然だ。

現在、 Have I been pwned? と Firefox Monitor の２種類の漏えい確認サービスが登場している。これらのサービスがメールアドレスの収集を目論んでいるかどうかはさておき、試してみることにした。

Have I been pwned? と Firefox Monitor はおそらく、確認用のデータベースを同一のものとしているはずである。にもかかわらず、私が持っている、迷惑メールの届く二つのメールアドレスは、その両方が次の結果を示した。

漏えいが確認された　＝　Have I been pwned?
漏えいはないようです　＝　Firefox Monitor

これがいったいどういうことなのか……気になるところである。