ダブルクリックで英日反転
Applied Sciences · Cybersecurity
Have I Been Pwned — the world's breach index and the privacy trick behind Pwned Passwords
Have I Been Pwned (HIBP) is a free service founded by security researcher Troy Hunt in December 2013, aggregating hundreds of confirmed data breaches into a searchable index. It lets anyone check whether their email or password was exposed — without ever sending the actual password to the server.
What HIBP Is & the Three Data Types
- Founded 2013-12-04 in the wake of the Adobe breach (153 million accounts). Troy Hunt originally built it to maintain technical skills between management roles — it became an industry standard.
- Traditional breaches: specific companies hacked and their customer databases exfiltrated. Each breach carries metadata: date, verified count, data classes exposed (emails, passwords, phone numbers, etc.).
- Stealer logs: credentials captured by malware running on infected machines. Unlike a company breach, stealer logs confirm only that malware saw you type those credentials — not that any service was hacked. As of 2026 HIBP has indexed hundreds of millions of stealer log records.
- Paste data: credentials shared publicly on paste sites (Pastebin etc.).
Pwned Passwords & the k-Anonymity API
- HIBP's Pwned Passwords indexes 850+ million compromised passwords. The API lets you check whether a password was seen in a breach — without ever sending the password to the server.
- Privacy model (k-anonymity): your device hashes the password with SHA-1, then sends only the first 5 hex characters of the 40-character hash. The server returns all ~478 matching suffixes. Your device checks locally. The actual password never leaves your machine.
- Why 5 characters: 16^5 ≈ 1 million possible prefixes — large enough to provide genuine anonymity (NIST: a 5-char prefix among 16^34 possibilities cannot identify the queried individual), small enough that each bucket averages ~850 entries rather than millions.
- Scale: 2+ billion queries per month via integrations with password managers, browsers, and applications.
Key Integrations & Institutional Use
- Firefox Monitor: breach alerts for saved Firefox passwords, using HIBP data via anonymised sharing.
- 1Password Watchtower: flags breached accounts, reused or weak passwords, missing passkeys — all via HIBP Pwned Passwords.
- NCSC (UK National Cyber Security Centre): monitors all UK .gov domains automatically on HIBP; receives real-time alerts within minutes of a breach being indexed.
- ACSC (Australian Cyber Security Centre): monitors all .gov.au domains.
- FBI & NCA (US/UK law enforcement): feed breach data into Pwned Passwords — law enforcement agencies directly contribute to the public dataset.
Credential Stuffing — Why This Matters
- Credential stuffing (クレデンシャルスタッフィング): attackers take username/password pairs from one breach and try them at scale across thousands of other services. No hacking required — just automation and a list.
- This works because most users reuse passwords across sites. A single breach gives attackers keys to dozens of other accounts.
- HIBP's core value proposition: if you know a password was seen in a breach, you can force-rotate it before it is stuffed. Services like GitHub and Okta block sign-ups with known-pwned passwords via the Pwned Passwords API.
- Notable datasets: Collection #1 (2019 — 773 million unique emails); RockYou2024 (2024 — ~10 billion unique plaintext passwords, the largest password list ever published).
→ HIBP turns the passive disaster of a data breach into actionable intelligence — for individuals, organisations, and governments. The k-anonymity trick in Pwned Passwords is an elegant proof that you can check a secret against a public database without revealing the secret.
応用科学 · サイバーセキュリティ
Have I Been Pwned — 世界最大の漏洩インデックスとPwned Passwordsのプライバシー技術
Have I Been Pwned（HIBP、ハブ・アイ・ビーン・ポウンド）は、セキュリティ研究者のトロイ・ハント（Troy Hunt）が2013年12月4日に開設した無料サービス。数百件の確認済みデータ漏洩（data breach、データブリーチ）を横断検索可能なインデックスとして提供し、パスワードそのものをサーバーに送ることなく自分の情報が漏洩していないか確認できる。
HIBPとは・3種類のデータ
- Adobeの大規模漏洩（1億5,300万件）を機に創設。当初はトロイ・ハントの個人プロジェクトだったが、現在は政府・セキュリティ企業が使う業界標準となっている。
- 従来型ブリーチ（breach）：企業のサーバーに不正アクセスし顧客DBを持ち出したもの。漏洩日・件数・流出した情報の種類（メール・パスワード・電話番号等）がメタデータとして付与される。
- スティーラーログ（stealer log）：感染端末で動くマルウェア（不正プログラム）が認証時に入力値をこっそり記録したもの。「特定サービスが攻撃された」証拠ではなく「マルウェアがその端末のブラウザで見た」という記録。2026年時点で数億件がインデックス済み。
- ペーストデータ（paste data）：PastebinなどのペーストサイトにPublicに貼られた認証情報。
Pwned Passwords と k-匿名性API
- HIBPのPwned Passwordsは8億5,000万件超のパスワードをインデックス。APIで「このパスワードは漏洩済みか」を確認できるが、パスワード本体はサーバーに送らない。
- プライバシーの仕組み（k-匿名性／k-anonymity）：端末側でパスワードをSHA-1（ハッシュ化）し、40文字のハッシュのうち**最初の5文字だけ**を送信。サーバーはそのプレフィックスに一致する約478件のハッシュの後半部分を返す。端末側で自分のハッシュ全体と照合→パスワード本体はサーバーに届かない。
- なぜ5文字か：16^5≒100万通りのプレフィックスが存在し、1バケットに平均850件入る。4文字では応答が大きくなりすぎ、6文字では匿名性が薄れる（NISの定義でPII＝個人特定情報にあたらないギリギリの値）。
- 処理規模：パスワードマネージャー・ブラウザ・アプリからの統合で**月20億件超のクエリ**を処理。
主要連携と公的機関利用
- Firefox Monitor：Firefoxに保存されたパスワードのブリーチアラート。HIBPデータを匿名共有で活用。
- 1Password Watchtower（ウォッチタワー）：漏洩アカウント・使い回し・弱いパスワード・パスキー未設定を検出。全てPwned Passwords API経由。
- NCSC（英国国家サイバーセキュリティセンター）：英.govドメイン全件をHIBPで常時モニタリング。新規ブリーチがインデックスされると数分以内にアラートを受け取る。
- ACSC（オーストラリアサイバーセキュリティセンター）：.gov.auドメイン全件を同様にモニタリング。
- FBI・NCA（米英の捜査機関）：押収した漏洩データをPwned Passwordsに提供。国家機関が公開データセットに直接貢献している。
クレデンシャルスタッフィングとはなぜ重要か
- クレデンシャルスタッフィング（credential stuffing）：あるサービスの漏洩リストを使い、他サービスに大規模で自動ログイン試行する攻撃。「ハッキング」は要らない——リストと自動化ツールがあれば十分。
- 成立する理由はパスワードの使い回し。1件のブリーチで他の十数サービスの鍵が手に入る。
- HIBPの本質的価値：パスワードが漏洩済みと分かれば、「スタッフィングされる前に変更させる」ことができる。GitHubやOktaはPwned Passwords APIで漏洩済みパスワードでの新規登録をブロックしている。
- 注目データセット：Collection #1（2019年・7億7,300万件のユニークメール）・RockYou2024（2024年・約100億件のユニーク平文パスワード、史上最大）。
→ HIBPはデータ漏洩という受け身の災害を「行動できる情報」に変換する。Pwned PasswordsのSHA-1プレフィックス手法は、「秘密を明かさずに秘密がリストにあるか確かめる」という数学的に優雅な解法の実証でもある。
Applied Sciences · Cybersecurity
Have I Been Pwned — the world's breach index and the privacy trick behind Pwned Passwords
Have I Been Pwned (HIBP) is a free service founded by security researcher Troy Hunt in December 2013, aggregating hundreds of confirmed data breaches into a searchable index. It lets anyone check whether their email or password was exposed — without ever sending the actual password to the server.
What HIBP Is & the Three Data Types
- Founded 2013-12-04 in the wake of the Adobe breach (153 million accounts). Troy Hunt originally built it to maintain technical skills between management roles — it became an industry standard.
- Traditional breaches: specific companies hacked and their customer databases exfiltrated. Each breach carries metadata: date, verified count, data classes exposed (emails, passwords, phone numbers, etc.).
- Stealer logs: credentials captured by malware running on infected machines. Unlike a company breach, stealer logs confirm only that malware saw you type those credentials — not that any service was hacked. As of 2026 HIBP has indexed hundreds of millions of stealer log records.
- Paste data: credentials shared publicly on paste sites (Pastebin etc.).
Pwned Passwords & the k-Anonymity API
- HIBP's Pwned Passwords indexes 850+ million compromised passwords. The API lets you check whether a password was seen in a breach — without ever sending the password to the server.
- Privacy model (k-anonymity): your device hashes the password with SHA-1, then sends only the first 5 hex characters of the 40-character hash. The server returns all ~478 matching suffixes. Your device checks locally. The actual password never leaves your machine.
- Why 5 characters: 16^5 ≈ 1 million possible prefixes — large enough to provide genuine anonymity (NIST: a 5-char prefix among 16^34 possibilities cannot identify the queried individual), small enough that each bucket averages ~850 entries rather than millions.
- Scale: 2+ billion queries per month via integrations with password managers, browsers, and applications.
Key Integrations & Institutional Use
- Firefox Monitor: breach alerts for saved Firefox passwords, using HIBP data via anonymised sharing.
- 1Password Watchtower: flags breached accounts, reused or weak passwords, missing passkeys — all via HIBP Pwned Passwords.
- NCSC (UK National Cyber Security Centre): monitors all UK .gov domains automatically on HIBP; receives real-time alerts within minutes of a breach being indexed.
- ACSC (Australian Cyber Security Centre): monitors all .gov.au domains.
- FBI & NCA (US/UK law enforcement): feed breach data into Pwned Passwords — law enforcement agencies directly contribute to the public dataset.
Credential Stuffing — Why This Matters
- Credential stuffing (クレデンシャルスタッフィング): attackers take username/password pairs from one breach and try them at scale across thousands of other services. No hacking required — just automation and a list.
- This works because most users reuse passwords across sites. A single breach gives attackers keys to dozens of other accounts.
- HIBP's core value proposition: if you know a password was seen in a breach, you can force-rotate it before it is stuffed. Services like GitHub and Okta block sign-ups with known-pwned passwords via the Pwned Passwords API.
- Notable datasets: Collection #1 (2019 — 773 million unique emails); RockYou2024 (2024 — ~10 billion unique plaintext passwords, the largest password list ever published).
→ HIBP turns the passive disaster of a data breach into actionable intelligence — for individuals, organisations, and governments. The k-anonymity trick in Pwned Passwords is an elegant proof that you can check a secret against a public database without revealing the secret.
応用科学 · サイバーセキュリティ
Have I Been Pwned — 世界最大の漏洩インデックスとPwned Passwordsのプライバシー技術
Have I Been Pwned（HIBP、ハブ・アイ・ビーン・ポウンド）は、セキュリティ研究者のトロイ・ハント（Troy Hunt）が2013年12月4日に開設した無料サービス。数百件の確認済みデータ漏洩（data breach、データブリーチ）を横断検索可能なインデックスとして提供し、パスワードそのものをサーバーに送ることなく自分の情報が漏洩していないか確認できる。
HIBPとは・3種類のデータ
- Adobeの大規模漏洩（1億5,300万件）を機に創設。当初はトロイ・ハントの個人プロジェクトだったが、現在は政府・セキュリティ企業が使う業界標準となっている。
- 従来型ブリーチ（breach）：企業のサーバーに不正アクセスし顧客DBを持ち出したもの。漏洩日・件数・流出した情報の種類（メール・パスワード・電話番号等）がメタデータとして付与される。
- スティーラーログ（stealer log）：感染端末で動くマルウェア（不正プログラム）が認証時に入力値をこっそり記録したもの。「特定サービスが攻撃された」証拠ではなく「マルウェアがその端末のブラウザで見た」という記録。2026年時点で数億件がインデックス済み。
- ペーストデータ（paste data）：PastebinなどのペーストサイトにPublicに貼られた認証情報。
Pwned Passwords と k-匿名性API
- HIBPのPwned Passwordsは8億5,000万件超のパスワードをインデックス。APIで「このパスワードは漏洩済みか」を確認できるが、パスワード本体はサーバーに送らない。
- プライバシーの仕組み（k-匿名性／k-anonymity）：端末側でパスワードをSHA-1（ハッシュ化）し、40文字のハッシュのうち**最初の5文字だけ**を送信。サーバーはそのプレフィックスに一致する約478件のハッシュの後半部分を返す。端末側で自分のハッシュ全体と照合→パスワード本体はサーバーに届かない。
- なぜ5文字か：16^5≒100万通りのプレフィックスが存在し、1バケットに平均850件入る。4文字では応答が大きくなりすぎ、6文字では匿名性が薄れる（NISの定義でPII＝個人特定情報にあたらないギリギリの値）。
- 処理規模：パスワードマネージャー・ブラウザ・アプリからの統合で**月20億件超のクエリ**を処理。
主要連携と公的機関利用
- Firefox Monitor：Firefoxに保存されたパスワードのブリーチアラート。HIBPデータを匿名共有で活用。
- 1Password Watchtower（ウォッチタワー）：漏洩アカウント・使い回し・弱いパスワード・パスキー未設定を検出。全てPwned Passwords API経由。
- NCSC（英国国家サイバーセキュリティセンター）：英.govドメイン全件をHIBPで常時モニタリング。新規ブリーチがインデックスされると数分以内にアラートを受け取る。
- ACSC（オーストラリアサイバーセキュリティセンター）：.gov.auドメイン全件を同様にモニタリング。
- FBI・NCA（米英の捜査機関）：押収した漏洩データをPwned Passwordsに提供。国家機関が公開データセットに直接貢献している。
クレデンシャルスタッフィングとはなぜ重要か
- クレデンシャルスタッフィング（credential stuffing）：あるサービスの漏洩リストを使い、他サービスに大規模で自動ログイン試行する攻撃。「ハッキング」は要らない——リストと自動化ツールがあれば十分。
- 成立する理由はパスワードの使い回し。1件のブリーチで他の十数サービスの鍵が手に入る。
- HIBPの本質的価値：パスワードが漏洩済みと分かれば、「スタッフィングされる前に変更させる」ことができる。GitHubやOktaはPwned Passwords APIで漏洩済みパスワードでの新規登録をブロックしている。
- 注目データセット：Collection #1（2019年・7億7,300万件のユニークメール）・RockYou2024（2024年・約100億件のユニーク平文パスワード、史上最大）。
→ HIBPはデータ漏洩という受け身の災害を「行動できる情報」に変換する。Pwned PasswordsのSHA-1プレフィックス手法は、「秘密を明かさずに秘密がリストにあるか確かめる」という数学的に優雅な解法の実証でもある。
Related notes
- Evolutionary Model Merge — Sakana AI's evolutionary search over model combination space
- A workflow for getting more beautiful UI/UX out of Claude Code
- What actually happens when Claude Code settles on a design
- A DESIGN.md-based design-transfer playbook
- Adopting ElevenLabs' official OSS UI components
- Building product UI with Tailwind — how UI Kit, UI Blocks, shadcn, and ag-grid divide up the work