先に要点
- ブラウザに出る「データ侵害でパスワードが検出されました」は、Chrome（Googleパスワードマネージャー）の正規の警告。意味は「保存中のそのパスワードが、公開されている漏洩データの中に見つかった」です。
- よくある誤解：Googleが侵入されたわけでも、そのアカウントが今まさに乗っ取られたわけでもありません。「そのパスワード文字列が世に出回っている」という意味です。
- 検出は Password Checkup。Googleは1日に10億超のパスワードを漏洩リストと照合しますが、あなたの生パスワードはGoogle側から読めない設計で行われます。
- 本当の脅威は「使い回し」。漏洩したID・パスワードの組を他サイトで機械的に試すパスワードリスト攻撃で、連鎖的に破られます。同じパスワードを使った全サービスを変えるのが最重要です。
- あわせて 2段階認証や パスキーを有効に。なお「漏洩しました」はフィッシングの常套句でもあるため、メールやWebページ内のリンクからは絶対に変更しないでください。
ブラウザに突然「あなたのパスワードが漏洩しています」と出た。これ本物？何をすればいい？ ── 驚きますが、落ち着いて意味を理解すれば対処はシンプルです。そしてやるべきことの優先順位を間違えないことが何より大切です。
この記事では、この警告の正しい意味、検出の仕組み、優先順位つきの対処、自動変更機能の是非、そして偽の漏洩警告の見分け方までを整理します。
この警告の意味
Chrome（Googleパスワードマネージャー）が出すこの警告は、「あなたが保存しているそのパスワードが、インターネット上に公開されている漏洩データの中に存在する」ことを知らせるものです。Google公式も、こうした漏洩済みのユーザー名・パスワードの組み合わせは公開されているため安全ではなく、できるだけ早く変更すべきだと案内しています。
❌ こういう意味ではない
Googleが侵入された／そのアカウントが今まさに乗っ取られた／あなたの端末がウイルスに感染した——どれも違います。
✅ こういう意味
どこかのサービスの流出データに、そのパスワード（またはID＋パスワードの組）が含まれていて、攻撃者が入手できる状態だということ。
つまり「今すぐ被害が出ている」わけではないが、鍵が出回っているので早く付け替えるべき、という状況です。
どうやって検出しているのか（Password Checkup）
この検出は Password Checkup という仕組みによるものです。Googleは1日に10億件を超えるパスワードを、既知の漏洩データと照合しています。警告が出るタイミングは①自分でチェックを実行したときと②ログインしようとしたその場の2通りです。
プライバシーはどうなっている？
- Googleは Protected Computing という仕組みを使い、本人以外がパスワードにアクセスできない状態のまま漏洩チェックを行うと説明しています。
- Chromeはパスワードとユーザー名がGoogleに読み取られないように保護したうえで照合します。
- つまり「生のパスワードをGoogleに送って調べてもらう」わけではない、という設計です。
本当の脅威は「パスワードリスト攻撃」
なぜ漏洩パスワードがそれほど危険なのか。理由は使い回しです。
ポイントは、攻撃者は「そのサービス」を破る必要すらないこと。あなたが同じパスワードを使い回している他のサービスが芋づる式に破られます。総当たりと違い、正解のパスワードを試すので防ぎにくいのが厄介です。だから「漏れた1か所を変えて終わり」では不十分なのです。
何をすべきか（優先順位つき）
とくにメールアカウントは要注意です。メールを取られると他サービスのパスワードリセットを次々に通されて被害が一気に広がるため、最優先で守ります。
「自動で変更」は使っていい？
Chromeには、公開された漏洩でパスワードが見つかったときに安全なパスワードへ自動で更新する機能（自動パスワード変更）があります。対応サイトなら、変更ページを開いて強力なパスワードを生成・保存するところまでやってくれます。
使う利点
速くて確実。強力な固有パスワードが自動生成・保存され、手作業のミス（弱いパスワードの再設定など）を防げる。
気になる点
自動化のため、変更ページの内容が送信・確認される旨が案内される場合がある（パスワード自体は暗号化される、と説明されている）。
迷ったら手動でOK
気持ち悪ければ自分でサイトにアクセスして変更すれば同じこと。大事なのは「変えること」と「使い回さないこと」。
どちらでも忘れずに
自動変更しても、他サービスでの使い回しは自動では直りません。そこは自分で潰す必要がある。
⚠️ 偽の「漏洩警告」に注意
ここが実務でいちばん危険なポイントです。「パスワードが漏洩しました」はフィッシングの常套句でもあります。本物そっくりの警告で偽サイトへ誘導し、入力したパスワードをそのまま盗む手口が横行しています。
本物の見分け方
ブラウザ自身のUI（設定画面やブラウザのポップアップ）として出ているか。Webページの中に描画された「警告」は疑う。
絶対にやらないこと
メールやページ内のリンクから変更ページへ飛ばない。そこが偽サイトなら、変更操作そのものが窃取になる。
安全な動き方
自分でブラウザの設定を開くか、公式URLを自分で入力してアクセスしてから変更する。これだけで大半の被害を防げる。
煽り文句に注意
「24時間以内に対応しないと凍結」など急かす表現は典型的なフィッシングのサイン。焦らせる警告ほど疑う。
再発を防ぐには
使い回しをやめる
根本原因はこれ一つ。サービスごとに固有のパスワードにするだけで、漏洩の影響がそのサービス内に閉じ込められる。
定期的に点検
ブラウザやGoogleアカウントのパスワード診断を時々実行し、弱い・使い回し・漏洩済みを洗い出す。
パスワード漏洩の警告に関するよくある質問
警告が出たら、アカウントは乗っ取られているのですか？
いいえ、必ずしもそうではありません。この警告は「そのパスワードが公開された漏洩データの中にある」という意味で、乗っ取られた事実を示すものではありません。ただし攻撃者が試せる状態なので、早めの変更が必要です。心当たりがなければ、ログイン履歴も確認しておくと安心です。
Googleが私のパスワードを見ているということですか？
いいえ。Googleは Protected Computing により、本人以外がパスワードにアクセスできない形のまま漏洩チェックを行うと説明しています。Chromeもパスワード・ユーザー名がGoogleに読み取られないよう保護したうえで照合します。「生パスワードを送って調べてもらう」仕組みではありません。
そのサイトのパスワードだけ変えれば大丈夫ですか？
不十分です。最大の危険は使い回しで、同じパスワードを使った他サービスがパスワードリスト攻撃で破られます。同じパスワードを使っていた全サービスを変えてください。特にメール・銀行・決済を優先します。
「自動で変更」は安全ですか？
Chromeの正規機能で、強力なパスワードを自動生成・保存してくれるため手作業より確実です。ただし自動化のためにページ内容が送信・確認される旨の案内が出ることがあり、気になる場合は自分でサイトにアクセスして手動変更しても構いません。重要なのは「変えること」と「使い回さないこと」です。
本物の警告か、フィッシングかを見分けるには？
ブラウザ自身のUIとして出ているかを見ます。Webページの中の「警告」やメールから来たものは疑ってください。そしてリンクから変更ページへ飛ばず、自分でブラウザ設定や公式URLからアクセスして変更するのが鉄則です。急かす表現は典型的なフィッシングのサインです。
まとめ
ブラウザの「データ侵害でパスワードが検出されました」は正規の警告で、意味は「そのパスワードが公開された漏洩データの中にある」こと。Googleが破られたのでも、乗っ取られたのでもありませんが、鍵が出回っているので早く変えるべきです。検出は Password Checkup（1日10億超を照合、生パスワードはGoogleから読めない設計）。そして本当の脅威は使い回しを突くパスワードリスト攻撃なので、①該当パスワードを変更 → ②同じパスワードを使った全サービスを変更（最重要）→ ③2FA・パスキー → ④管理ツールで固有パスワード運用の順で対処します。最後に、「漏洩しました」はフィッシングの常套句でもあるため、メールやページ内リンクからは変更せず、自分でブラウザ設定や公式サイトから行ってください。
参考リンク
- 関連記事: MFA（多要素認証）とは / Passkeysとは / パスワード管理ツールの現実的な運用
- 関連記事: 攻撃手法と防御の基本
- 用語集: フィッシング / パスワード管理ツール / 2FA / パスキー
- 公式: 漏洩したパスワードを変更する（Googleヘルプ）