Googleダークウェブレポートは終了｜代わりに使える流出チェックと手順

Googleのダークウェブレポートは2026年2月16日に提供を終えました。新しい漏えいのスキャンは1か月前の1月15日に止まっています。いま検索している人が知りたいのは、届いた終了のお知らせが本物か、そして代わりに何で流出を確かめればよいか、の2点です。この記事では、Google検索ヘルプの告知を一次情報として日程と削除データを整理し、Googleに残った確認手段、Have I Been Pwned、国内セキュリティ会社の無料診断を「何を入力させ、何がわかるか」で比べます。流出が見つかったときの対処順と、会社のアカウントを預かる担当者が押さえる点まで扱います。

まとめ：ダークウェブレポート終了後にやること

• スキャン停止は2026年1月15日、提供終了は2月16日。登録していた監視用プロフィールを含む関連データは、2月16日に削除するとGoogleが告知しています。Google Oneの契約があっても使えません。
• Googleは監視の後継を出していません。案内されたのはセキュリティ診断、パスキー、パスワード マネージャー、パスワード チェックアップなど、漏れても入られないための道具です。
• まず passwords.google.com/checkup のパスワード チェックアップで保存済みパスワードの漏えいを確かめ、次にHave I Been Pwned（日本語ならMozilla Monitor）でメールアドレス単位の履歴を見る、の2手順が基本です。
• Have I Been Pwnedが拾える国内事業者の漏えいは限られます。「該当なし」は「漏れていない」の証明になりません。
• 終了の通知を装ってパスワードやカード番号を入力させるメールは偽物です。本物の告知は何も入力させません。

ダークウェブレポートの終了日程と、消えたデータ

2026年1月15日のスキャン停止と2月16日の提供終了

Google検索ヘルプの「ダークウェブ レポートの更新について」は、終了を2段階で告知しています。2026年1月15日にダークウェブへの新たな情報漏えいのスキャンが終わり、2026年2月16日にダークウェブ レポート自体が使えなくなりました。告知は2025年12月に出ており、利用者にはメールでも届いています（TechCrunchの報道）。

2段階の意味は小さくありません。1月16日以降に見つかった漏えいは、レポートに一度も載っていません。1月後半に「問題なし」と見ていた人も、それは1月15日までのスキャン結果です。

削除されたデータと、Google Oneや会社アカウントで使えない理由

ヘルプは「2026 年 2 月 16 日に、ダークウェブ レポートに関連するすべてのデータが削除されます」と告知しており、監視のために登録した氏名・住所・電話番号などのプロフィールもこの範囲に入ります。Googleアカウント本体のデータは削除対象として告知されていません。「監視用に預けた個人情報が残っていて危険ではないか」という心配には、この削除の告知が答えになります。

ダークウェブレポートはGoogle Oneの有料特典として始まり、2024年7月にすべての個人向けGoogleアカウントへ無料開放されました。終了は契約プランを問わないため、Google Oneを続けていても画面は戻りません。

同じヘルプには、Google Workspaceのアカウントと管理対象のアカウントでは、もともとダークウェブ レポートを利用できないとも書かれています。会社や学校から配られたアカウントで「ダークウェブレポートで監視していたはず」と考えている場合、その前提は終了前から成り立っていませんでした。組織のアカウントの漏えい確認は、後述のドメイン単位の照合で行います。

Googleが挙げた終了理由

Googleは、レポートは一般的な情報をまとめていたものの効果的な対処法を示せていない、というフィードバックがあったと説明しています。そのうえで「今後もダークウェブを含むオンライン上の脅威を追跡してユーザーを保護」し、具体的な対処につながるツールに注力するとしています。利用者向けの監視画面はやめても、Google側の脅威追跡は続くという書き方です。

実態に照らしても納得できる理由です。レポートが示せたのは、どの侵害にどの情報が含まれていたかまでで、ダークウェブに出回ったデータを消す手段はありませんでした。利用者がやることは結局パスワードの変更と二段階認証の設定であり、その道具は別の機能が担っていました。

終了のお知らせメールと、旧リンクが開けない理由

本物の終了通知の見分け方

「Googleを終了しました」「レポートが終了」といった文面のメールが届き、本物かどうかを調べている人は少なくありません。Googleからの本物の通知は、機能の終了とデータの削除を知らせるだけで、利用者に何かを入力させる内容ではありません。パスワードの再入力、クレジットカードの確認、期限付きの手続きを求めるメールは偽物と判断できます。終わる機能のために新しい情報を差し出す理由がないからです。

確かめるときはメール内のリンクを開かず、ブラウザで自分でGoogle検索ヘルプを開いて記事番号16767242の内容と照らし合わせます。スキャン停止が2026年1月15日、提供終了が2月16日という日付と合っていれば、メールの内容は公式告知と同じです。差出人の表示名やアドレスは偽装できるので、判定材料にしません。

ブックマーク・旧ヘルプ経由の404エラー

以前のブックマークや、ヘルプ内の「ダークウェブ レポートの仕組み」から結果画面へのリンクをたどると404エラーになる、という報告がGoogle検索コミュニティに上がっています。提供が終わった画面へのリンクが残っているためで、アカウントの不具合でも乗っ取りの兆候でもありません。結果を見直したい場合も、データは2月16日に削除済みのため取り出せません。

代わりに使える流出チェックの比較

代替は「Googleに保存したパスワードを調べる」「メールアドレスで侵害履歴を調べる」「公開Webに載った個人情報を調べる」の3系統に分かれます。何を入力して何がわかるかが違うので、目的で選びます。

パスワード チェックアップとChromeの漏洩警告

実害に一番近いのはパスワード チェックアップです。passwords.google.com/checkup を開くと、Google パスワード マネージャーに保存したパスワードのうち、データ侵害で漏れたもの、使い回しているもの、弱いものが一覧になります。ただし調べられるのは保存済みのパスワードだけで、手帳やメモアプリで管理しているネットバンキングや証券口座は検査から漏れます。重要なアカウントほど保存し直して検査対象に載せるのが先です。

Chromeでログインした直後に、パスワードがデータ侵害で漏れているという警告が出ることがあります。Chromeのヘルプによれば、ログインに使ったユーザー名とパスワードがデータ侵害の対象になっている場合に警告する設定で、既定でオンです。ダークウェブレポートの終了とは関係なく今も動いています。警告が出たら、そのサイトと同じパスワードを使っている全サービスを変えてください。

Googleアカウント自体の点検は myaccount.google.com/security-checkup のセキュリティ診断で行います。Googleアカウントのヘルプは、アカウントの状況に応じたおすすめの対策を示す機能と説明しており、日本語で使えます。

Have I Been PwnedとMozilla Monitor：日本の漏えいの収録の薄さ

メールアドレスを起点に調べるならHave I Been Pwnedです。公開APIで数えると、2026年10月22日時点の収録は1,047件の侵害、延べ17,846,550,965件のメールアドレスです。メールアドレスを入れると、どの侵害に含まれていたか、漏れた項目にパスワードがあるかまでわかります。日本語の画面がよければ、同じデータを使うMozilla Monitorで、無料のまま最大20件のメールアドレスを継続監視できます。Mozillaのヘルプによると、有料のMonitor Plus（データブローカーからの削除代行）は提供を終え、無料の監視が1人20件まで広がりました。

注意したいのは収録の偏りです。同じAPIで説明文に「Japan」を含む侵害を数えると7件しかなく、ドメインが .jp の侵害は2件でした（2026年10月22日時点）。国内企業が公表した漏えいの多くは、データそのものが流出先から公開されない限り収録されません。Have I Been Pwnedで「該当なし」でも、国内サービスからの漏えいが無いことの証明にはなりません。国内事業者の漏えいは、各社のお知らせと個人情報漏えい件数の推移のような公表データで確かめる必要があります。

国内セキュリティ会社の無料診断は「予備診断」

「ダークウェブ チェック」で上位に出るのは、ノートンやトレンドマイクロなど国内向けに提供されている診断ページです。たとえばノートンの個人情報流出チェックページは、メールアドレスを入れると流出の有無を「予備的に診断」し、ページ自身が「ここではメールアドレスのみ流出をチェック」と書いています。銀行口座やカード番号の監視は有料製品の機能です。

こうした無料診断は入口としては使えますが、結果を見るためにメールアドレスとプライバシーポリシーへの同意を求め、製品の案内につながる作りです。メールアドレス単位の判定が目的なら、収録元を公開しているHave I Been Pwnedで足ります。カード番号や口座番号まで継続監視したくなった段階で、有料製品を比べれば遅くありません。

「あなたに関する検索結果」は公開Web向け

ダークウェブレポートの後継と誤解されやすいのが「あなたに関する検索結果」です。2024年7月以降、ダークウェブレポートは同じ画面から開く配置だったため、入口が近く混乱が起きています。こちらは自分の住所や電話番号、メールアドレスがGoogle検索の結果に出ていないかを確かめ、出ていれば削除をリクエストする機能で、myactivity.google.com/results-about-you から使います。2026年2月10日には、米国でパスポートや運転免許証などの身分証番号も監視対象に加わりました（Googleの発表は他地域へ広げる予定とし、日本での提供は告知されていません）。対象は誰でも見られる公開ページで、闇市場で売買されるIDとパスワードの組は見えません。名簿サイト対策には使えますが、漏えい確認の代わりにはなりません。

Have I Been Pwnedは安全か：パスワードを送らずに照合する仕組み

「漏えいを調べるサイトにメールアドレスやパスワードを入れて大丈夫か」という不安はもっともです。メールアドレスの検索は、そのアドレスを相手に渡すことになります。一方、パスワードの照合（Pwned Passwords）は、パスワードそのものも完全なハッシュも送らない仕組みです。SHA-1ハッシュの先頭5文字だけを送り、同じ5文字で始まるハッシュの残り部分を一覧で受け取って、手元で一致を探します。

macOSやLinuxのターミナルなら、次のコマンドで同じ照合を自分で再現できます。例として誰もが知る「password」を調べています。

h=$(printf '%s' 'password' | shasum -a 1 | awk '{print toupper($1)}')
curl -s "https://api.pwnedpasswords.com/range/${h:0:5}" | grep "^${h:5}"
# 出力例: 1E4C9B93F3F0682250B6CF8331B7EE68FD8:52372427

2026年10月22日の実行では、先頭5文字「5BAA6」に対して1,978件の候補が返り、その中で「password」は52,372,427回の漏えいに含まれていました。送ったのは5文字だけなので、サーバー側はどのパスワードを調べたのか特定できません。自分の実パスワードを上のように直接書くとシェルの履歴に残ります。実パスワードで試すときは、次のように入力を画面に出さずに読み込みます（bashとzshで動作。shasum が無いLinuxでは sha1sum に置き換えます）。

read -rs p; h=$(printf '%s' "$p" | shasum -a 1 | awk '{print toupper($1)}')
curl -s "https://api.pwnedpasswords.com/range/${h:0:5}" | grep "^${h:5}"
# 何も表示されなければ、既知の漏えいデータに一致はありません

偽サイトへの対策は単純で、ブックマークした haveibeenpwned.com から開くことです。検索広告や似たドメインから入ると、確認のつもりで本物のパスワードを入力させられかねません。正規サイトのPwned Passwordsの入力欄も、ブラウザ内でハッシュ化して先頭5文字だけを送る同じ仕組みです。

流出が見つかったときの対処順序

1. メールアカウントを最初に固める。メールを乗っ取られると、他サービスのパスワード再設定メールを受け取られ、以後の変更がすべて無効になります。
2. 漏れたパスワードと同じものを使っている全サービスのパスワードを変える。使い回しがある限り、1件の漏えいは全アカウントの漏えいと同じです。
3. パスキーか多要素認証を設定する。パスワードが漏れても入られない状態にすることが、監視の代わりになる対策です。考え方はパスキー認証の仕組みと企業の導入判断で整理しています。
4. 本物らしい詐欺メールに備える。漏れた氏名や購入履歴を使ったメールが届きやすくなります。手口はフィッシング詐欺の成立の仕組みと技術的対策で解説しています。

メールを先にする理由は作業時間です。件数の多いパスワード変更から始めると、その間にメールを押さえられて振り出しに戻ります。Have I Been Pwnedの結果には侵害の発生年が出るので、その後パスワードを変えていれば急ぎません。直近の侵害でパスワードが漏れた項目に入っていれば、今日中に手を付けます。国内でも@nifty・BIGLOBEのISPメール漏えいのように、使っている自覚の薄いサービスから認証情報が漏れる例が続いています。

会社のアカウントを預かる担当者が押さえること

私用アカウントの漏えいが業務システムに及ぶ経路

先に触れたとおり、ダークウェブレポートは会社のWorkspaceアカウントでは最初から使えませんでした。社員が私用のGoogleアカウントで自分の漏えいを見ていたとしても、その結果は会社に共有されません。私用サービスで漏れたパスワードが業務用SaaSで使い回されていれば、私用側の侵害がそのまま業務システムへの不正ログインになります。攻撃側にとっては、守りの固い企業システムを直接狙うより安上がりです。この手口はパスワードリスト攻撃の検知と漏えい照合で詳しく扱っています。

不正アクセス7,190件の内訳が示す優先順位

警察庁・総務省・経済産業省が2026年3月に公表した令和7年の不正アクセス行為の発生状況では、認知件数は7,190件で前年から約34%増えました。不正アクセス後の行為はインターネットバンキングでの不正送金等が4,747件と約66%を占めます。検挙431件のうち399件は他人のIDとパスワードを使う識別符号窃用型で、入手手口はパスワードの設定・管理の甘さにつけ込んだものが84件、フィッシングが77件と上位でした。「インターネット上に流出・公開されていた識別符号を入手」は9件です。

検挙できた事件で見る限り、ネット上に出回った認証情報を拾う手口より、弱いパスワードとフィッシングのほうが桁違いに多いということです。予算の順番は、使い回しの検出と認証方式の強化が先、ダークウェブ監視サービスは後です。社内システムの認証を作り直すなら、認証基盤・ID管理システムの開発でパスキーや多要素認証を前提にした設計から相談できます。パスワードを減らす方式の比較はパスワードレス認証の方式と移行判断が参考になります。

自社ドメインの漏えいを一覧で確かめる方法

組織として流出状況をつかむ入口は、Have I Been Pwnedのドメイン検索です。DNSレコードの追加などで対象ドメインの管理者であることを確認すると、自社ドメインのメールアドレスがどの侵害に含まれていたかを一覧で見られます。公式のサポート記事では、侵害されたアドレスが10件を超えるドメインの検索にはサブスクリプションが必要です。前述のとおり国内事業者の漏えいは収録が薄いので、取引先や利用中サービスのお知らせの確認と組み合わせて使います。

ダークウェブの到達条件と、漏えい情報が売買されるまで

ダークウェブは、Torなどの匿名化ネットワークを通さないと届かない .onion などのサイト群です。通信が複数の中継点を経由して暗号化されるため、運営者も閲覧者も身元を隠したまま取引でき、この匿名性が盗まれた認証情報の売買を成り立たせています。混同されやすいディープウェブは検索エンジンに載らないページ全般で、会員サイトのログイン後の画面やネットバンキングの明細も含まれ、大半は違法性と関係ありません。

流出した認証情報は、複数の侵害から集めたメールアドレスとパスワードの組を結合した「名簿」として流通します。2019年にHave I Been Pwnedへ登録された「Collection #1」は、約7億7,290万件のメールアドレスを含む結合名簿でした。買い手はこの名簿で無関係なサービスのログイン画面を自動で試します。サービスごとに違うパスワードにしていれば、名簿に載っても被害はその1サービスで止まります。ダークウェブレポートが無くなっても、この原則は変わりません。

よくある質問

ダークウェブレポートはなぜ終了したのですか？

Googleは、レポートが一般的な情報を示すだけで効果的な対処法を提示できていない、というフィードバックを理由に挙げています。今後はセキュリティ診断やパスキーなど、具体的な対処につながるツールに注力するとしています。

ダークウェブレポートは危険だったのですか？

機能そのものが情報を漏らす仕組みではありませんでした。気にされていたのは監視のために氏名や住所をGoogleへ登録する点ですが、その登録データを含む関連データは2026年2月16日に削除するとGoogleが告知しています。むしろ危険なのは、終了の通知を装ってパスワードやカード番号を入力させる偽メールです。

Google Oneに入っていればまだ使えますか？

使えません。2024年7月にすべての個人向けアカウントへ無料開放された後、2026年2月16日に契約プランを問わず終了しました。Google Workspaceと管理対象のアカウントでは、終了前から利用できませんでした。

Googleで個人情報の流出を無料で確認する方法はありますか？

passwords.google.com/checkup のパスワード チェックアップで、保存済みパスワードの漏えいを無料で確かめられます。対象は保存したパスワードだけなので、メールアドレス単位の履歴はHave I Been PwnedかMozilla Monitorで補ってください。

ダークウェブで見つかった情報は削除できますか？

できません。出回ったデータを回収する手段は終了前から無く、レポートも検出を知らせるだけでした。できるのは該当するパスワードの変更と、パスキーや多要素認証で認証を固めることです。

関連記事

• パスワード管理のベストプラクティス：NIST SP 800-63B-4の要件と総務省・NISCの推奨、企業ポリシーの決め方
• パスキー認証とは？仕組み・パスワードとの違い・企業の導入判断を解説
• パスワードリスト攻撃とは？検知の指標と漏えい照合・レート制限の実装
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説
• 多要素認証（MFA）とは？3要素と実装方式・耐フィッシングMFAをコード付きで解説