先に要点
- ブラウザに出る「データ侵害でパスワードが検出されました」は、Chrome（Googleパスワードマネージャー）の正規の警告。意味は「保存中のそのパスワードが、公開されている漏洩データの中に見つかった」です。
- よくある誤解：Googleが侵入されたわけでも、そのアカウントが今まさに乗っ取られたわけでもありません。「そのパスワード文字列が世に出回っている」という意味です。
- 検出は Password Checkup。Googleは1日に10億超のパスワードを漏洩リストと照合しますが、あなたの生パスワードはGoogle側から読めない設計で行われます。
- 本当の脅威は「使い回し」。漏洩したID・パスワードの組を他サイトで機械的に試すパスワードリスト攻撃で、連鎖的に破られます。同じパスワードを使った全サービスを変えるのが最重要です。
- あわせて 2段階認証や パスキーを有効に。なお「漏洩しました」はフィッシングの常套句でもあるため、メールやWebページ内のリンクからは絶対に変更しないでください。
ブラウザに突然「あなたのパスワードが漏洩しています」と出た。これ本物？何をすればいい？ ── 驚きますが、落ち着いて意味を理解すれば対処はシンプルです。そしてやるべきことの優先順位を間違えないことが何より大切です。
この記事では、この警告の正しい意味、検出の仕組み、優先順位つきの対処、自動変更機能の是非、そして偽の漏洩警告の見分け方までを整理します。
この警告の意味
Chrome（Googleパスワードマネージャー）が出すこの警告は、「あなたが保存しているそのパスワードが、インターネット上に公開されている漏洩データの中に存在する」ことを知らせるものです。Google公式も、こうした漏洩済みのユーザー名・パスワードの組み合わせは公開されているため安全ではなく、できるだけ早く変更すべきだと案内しています。
❌ こういう意味ではない
Googleが侵入された／そのアカウントが今まさに乗っ取られた／あなたの端末がウイルスに感染した——どれも違います。
✅ こういう意味
どこかのサービスの流出データに、そのパスワード（またはID＋パスワードの組）が含まれていて、攻撃者が入手できる状態だということ。
つまり「今すぐ被害が出ている」わけではないが、鍵が出回っているので早く付け替えるべき、という状況です。
どうやって検出しているのか（Password Checkup）
この検出は Password Checkup という仕組みによるものです。Google の公式ブログによると、Googleは1日に10億件を超えるパスワードを、既知の漏洩データと照合しています。警告が出るタイミングは①自分でチェックを実行したときと②ログインしようとしたその場の2通りです。
プライバシーはどうなっている？
- Googleは Protected Computing という仕組みを使い、本人以外がパスワードにアクセスできない状態のまま漏洩チェックを行うと説明しています。
- Chrome のヘルプでは、Chromeがユーザー名とパスワードを暗号化してから送り、暗号化された漏洩データの一覧と照合するので、この過程でGoogleがユーザー名やパスワードを知ることはない、と説明されています。
- つまり「生のパスワードをGoogleに送って調べてもらう」わけではない、という設計です。
本当の脅威は「パスワードリスト攻撃」
なぜ漏洩パスワードがそれほど危険なのか。理由は使い回しです。
- 1
どこかのサービスが流出
あなたが使っていた別のサービスから、ID（メールアドレス）とパスワードの組が漏れる。自分では気づかないことが多い。
- 2
攻撃者がリストを入手
流出データは出回り、誰でも入手できる状態になる。ここでPassword Checkupが『見つかった』と警告する。
- 3
他サイトで機械的に試す
同じID・パスワードで、銀行・SNS・ECなど別のサービスへ自動で大量ログイン試行。使い回していれば通ってしまう。
ポイントは、攻撃者は「そのサービス」を破る必要すらないこと。あなたが同じパスワードを使い回している他のサービスが芋づる式に破られます。総当たりと違い、正解のパスワードを試すので防ぎにくいのが厄介です。だから「漏れた1か所を変えて終わり」では不十分なのです。
何をすべきか（優先順位つき）
漏洩警告が出たときの対処
- 11. 警告が出たパスワードを変更する
まずはその場のパスワードを、他とかぶらない強力なものに変更する。ブラウザの自動生成に任せるのが手軽で確実。
- 22. ⭐同じパスワードを使い回した全サービスを変える
最重要。漏れたパスワードを他でも使っていたら、そこも全部変更する。銀行・メール・SNSなど重要なものから優先的に。
- 33. 2段階認証（2FA）やパスキーを有効にする
パスワードが漏れても突破されにくくなる。特にメールと決済まわりは必須級。パスキーが使えるならさらに強い。
- 44. 二度と使い回さない仕組みを作る
パスワード管理ツール（ブラウザ内蔵でも可）で、サービスごとに固有の強力なパスワードを自動生成・保存する運用に切り替える。
とくにメールアカウントは要注意です。メールを取られると他サービスのパスワードリセットを次々に通されて被害が一気に広がるため、最優先で守ります。
「自動で変更」は使っていい？
Chromeには、公開された漏洩でパスワードが見つかったときに安全なパスワードへ自動で更新する機能（自動パスワード変更）があります。対応サイトにログインしたときに警告が出て、「変更を任せる」を選ぶと、新しいパスワードの生成・変更・保存までやってくれます。
Google のヘルプ（Chrome Enterprise 向け）では、この機能の対象を米国在住・18歳以上・Chrome にログインして同期をオンにしている人とし、対応しているのは一部の英語のサイトだけと案内しています。日本のサービスでは、ほとんどの場合は自分で変更することになります。
使う利点
速くて確実。強力な固有パスワードが自動生成・保存され、手作業のミス（弱いパスワードの再設定など）を防げる。
気になる点
自動化のため、変更を行うサイトのURL・ページのタイトル・ページの内容などがGoogleに送られるとヘルプに書かれている。社内のシステムなどで気になる場合は使わない選択もある。
迷ったら手動でOK
気持ち悪ければ自分でサイトにアクセスして変更すれば同じこと。大事なのは「変えること」と「使い回さないこと」。
どちらでも忘れずに
自動変更しても、他サービスでの使い回しは自動では直りません。そこは自分で潰す必要がある。
Chrome 以外でも同じ警告が出る
同じ種類の警告は、ほかのブラウザやOSにもあります。意味も対処も同じで、「そのパスワードが既知の漏洩データに含まれている」ということです。
iPhone・Mac（パスワード App）
Apple のヘルプでは、「パスワード」App のセキュリティで、弱いパスワード・使い回し・既知のデータ漏洩に含まれるパスワードを知らせると案内されています。漏洩の監視は設定でオン・オフできます。変更はそのサイトやアプリで行い、使えるならパスキーへの切り替えも勧められています。
⚠️ 偽の「漏洩警告」に注意
ここが実務でいちばん危険なポイントです。「パスワードが漏洩しました」はフィッシングの常套句でもあります。本物そっくりの警告で偽サイトへ誘導し、入力したパスワードをそのまま盗む手口が横行しています。
本物の見分け方
ブラウザ自身のUI（設定画面やブラウザのポップアップ）として出ているか。Webページの中に描画された「警告」は疑う。
絶対にやらないこと
メールやページ内のリンクから変更ページへ飛ばない。そこが偽サイトなら、変更操作そのものが窃取になる。
安全な動き方
自分でブラウザの設定を開くか、公式URLを自分で入力してアクセスしてから変更する。これだけで大半の被害を防げる。
煽り文句に注意
「24時間以内に対応しないと凍結」など急かす表現は典型的なフィッシングのサイン。焦らせる警告ほど疑う。
再発を防ぐには
使い回しをやめる
根本原因はこれ一つ。サービスごとに固有のパスワードにするだけで、漏洩の影響がそのサービス内に閉じ込められる。
定期的に点検
ブラウザやGoogleアカウントのパスワード診断を時々実行し、弱い・使い回し・漏洩済みを洗い出す。
パスワード漏洩の警告に関するよくある質問
警告が出たら、アカウントは乗っ取られているのですか？
いいえ、必ずしもそうではありません。この警告は「そのパスワードが公開された漏洩データの中にある」という意味で、乗っ取られた事実を示すものではありません。ただし攻撃者が試せる状態なので、早めの変更が必要です。心当たりがなければ、ログイン履歴も確認しておくと安心です。
Googleが私のパスワードを見ているということですか？
いいえ。Googleは Protected Computing により、本人以外がパスワードにアクセスできない形のまま漏洩チェックを行うと説明しています。Chromeもパスワード・ユーザー名がGoogleに読み取られないよう保護したうえで照合します。「生パスワードを送って調べてもらう」仕組みではありません。
そのサイトのパスワードだけ変えれば大丈夫ですか？
不十分です。最大の危険は使い回しで、同じパスワードを使った他サービスがパスワードリスト攻撃で破られます。同じパスワードを使っていた全サービスを変えてください。特にメール・銀行・決済を優先します。
「自動で変更」は安全ですか？
Chromeの正規機能で、強力なパスワードを自動生成・保存してくれるため手作業より確実です。ただし2026年10月時点では米国在住の人と一部の英語サイトが対象で、日本のサービスでは使えないことがほとんどです。また、変更するページの内容などがGoogleに送られるため、気になる場合は自分でサイトにアクセスして手動変更しても構いません。重要なのは「変えること」と「使い回さないこと」です。
本物の警告か、フィッシングかを見分けるには？
ブラウザ自身のUIとして出ているかを見ます。Webページの中の「警告」やメールから来たものは疑ってください。そしてリンクから変更ページへ飛ばず、自分でブラウザ設定や公式URLからアクセスして変更するのが鉄則です。急かす表現は典型的なフィッシングのサインです。
パスワード以外にカード情報や本人確認書類の画像が漏れたときの対処は、個人情報が漏えいしたとお知らせが来たら？ で種類ごとに整理しています。
「閲覧履歴を晒す」などと脅し、実際のパスワードを書いてくるメールもあります。支払わず、書かれたパスワードを使っていれば変更します。閲覧履歴を消しても対処にはなりません。詳しくは 閲覧履歴の削除方法 の後半で整理しています。
まとめ
ブラウザの「データ侵害でパスワードが検出されました」は正規の警告で、意味は「そのパスワードが公開された漏洩データの中にある」こと。Googleが破られたのでも、乗っ取られたのでもありませんが、鍵が出回っているので早く変えるべきです。検出は Password Checkup（1日10億超を照合、生パスワードはGoogleから読めない設計）。そして本当の脅威は使い回しを突くパスワードリスト攻撃なので、①該当パスワードを変更 → ②同じパスワードを使った全サービスを変更（最重要）→ ③2FA・パスキー → ④管理ツールで固有パスワード運用の順で対処します。最後に、「漏洩しました」はフィッシングの常套句でもあるため、メールやページ内リンクからは変更せず、自分でブラウザ設定や公式サイトから行ってください。
参考リンク
- 関連記事: MFA（多要素認証）とは / Passkeysとは / パスワード管理ツールの現実的な運用
- 関連記事: 攻撃手法と防御の基本
- 用語集: フィッシング / パスワード管理ツール / 2FA / パスキー
- 公式: 漏洩したパスワードを変更する（Googleヘルプ）
- 公式: Chrome でパスワードを保護する仕組み（Googleヘルプ）
- 公式: Why password managers are your safety net during a data breach（Google ブログ）
- 公式: Automated password change（Chrome Enterprise and Education ヘルプ）
- 公式: iPhoneで弱いパスワードや侵害されたパスワードを変更する（Apple サポート）
- 公式: Protect your online accounts using Password Monitor（Microsoft サポート）