1Password Watchtower で漏洩パスワードを監視する仕組みと使い方

パスワードの使い回しや過去のデータ漏洩は、気づかないうちにアカウント乗っ取りの入口になります。1Password の Watchtower は、保存済みの認証情報を Have I Been Pwned のデータと自動照合し、漏洩・脆弱なパスワードや古いデータ侵害を検知してくれる監視機能です。本記事では、監視の仕組み（k-匿名性）、通知が届いたときの具体的な対応手順、そしてダークウェブ監視との違いまでを、実務目線で整理します。

1Password Watchtower とは何を監視する機能か

1Password の Watchtower（ウォッチタワー）は、保管庫に保存したログイン情報の「健康診断」を自動で行うセキュリティ機能です。追加料金は不要で、個人向けの Individual から法人向けの Business まで、すべての有料プランに標準で含まれます。監視の対象は漏洩パスワードだけではありません。以下のように、複数のリスク項目を一覧で可視化します。

この中でも優先度が高いのが「漏洩したパスワード」です。攻撃者がすでに平文やハッシュを入手している可能性があるため、検知されたら最優先で対処します。ダッシュボードはアプリのサイドバーから開き、項目ごとに件数と該当アカウントの一覧を確認できます。

漏洩パスワード監視はどう動くのか

「自分のパスワードを 1Password のサーバーに送って照合しているのでは」と不安に感じる人もいますが、実際の仕組みはプライバシーに配慮した設計になっています。ここを正しく理解しておくと、通知の意味も判断しやすくなります。

Have I Been Pwned との連携

漏洩パスワードのチェックには、セキュリティ研究者 Troy Hunt 氏が運営する Have I Been Pwned（HIBP）の Pwned Passwords データベースを利用します。これは世界中のデータ侵害で流出した数億件規模のパスワード（ユニーク件数）を集約したデータベースで、延べの出現回数ベースではさらに多くの露出が記録されています。1Password はここに自分のパスワードが含まれていないかを照合します。ブラウザ内蔵の管理機能や他社ツールでも広く採用されている、業界標準の照合方式です。

k-匿名性でパスワードそのものは送らない

照合の際、あなたのパスワードそのものやマスターパスワードが外部に送信されることはありません。1Password はパスワードの SHA-1 ハッシュを計算し、その先頭 5 文字だけを HIBP に送ります。サーバーからは同じ先頭 5 文字を持つハッシュの一覧が返り、実際の一致判定は端末側（ローカル）で行われます。この「k-匿名性（k-anonymity）」と呼ばれる方式により、どのパスワードを調べたのかをサーバー側は特定できません。仕組みの詳細は 1Password 公式の Watchtower ドキュメント でも確認できます。

1Password の漏洩チェックは Have I Been Pwned の Pwned Passwords を利用し、パスワード本体ではなくハッシュの一部だけを照合に使う仕組みだと説明されています。（英語投稿の要約）

通知が届いたら何をすべきか

Watchtower が「漏洩したパスワード」やデータ侵害を検知すると、アプリ内やブラウザ拡張に警告が表示されます。慌てず、優先度の高いものから次の順で淡々と対応するのが基本です。

1. 検知されたアカウントを開き、パスワード生成機能で長くユニークなパスワードに変更する
2. 変更後、そのサイトで 2 要素認証（2FA / MFA）を有効化する
3. 同じパスワードを他サイトで使い回していないか、Watchtower の「再利用」項目で確認する
4. 対応が済んだら、該当項目を「解決済み（Resolved）」としてマークする
5. より根本的な対策として、対応サイトではパスキーへの移行を検討する

パスキーはパスワード自体を発行しないため、漏洩リスクを根本から下げられます。保存・同期・運用の具体的な手順は 1Password Passkey 活用ガイド にまとめました。優先順位に迷ったら、まず「漏洩したパスワード」→「再利用」→「脆弱」の順に潰していくと、限られた時間でも危険度の高いものから対処できます。

セキュリティ企業 Malwarebytes も、パスワードマネージャーが「どの漏洩で・何のデータが流出したか」まで具体的に通知することの重要性を指摘しています。（英語投稿の要約）

誤解されやすい 3 つのポイント

Watchtower は仕組みがシンプルな一方で、通知の解釈を誤ると過剰に不安になったり、逆に対応を後回しにしたりしがちです。よくある誤解を整理しておきます。

• 誤解: Compromised Website の警告＝自分のパスワードが必ず漏れた → 実際は、そのサイト側で漏洩事故があったという通知で、必ずしも自分の資格情報が流出したとは限りません。ただし念のため変更を推奨します。
• 誤解: Watchtower はパスワードを 1Password に送って照合している → 実際は前述の k-匿名性方式で、パスワード本体は一切送信されません。
• 誤解: ダークウェブ監視は Watchtower と全く別の高度な機能 → 実際は、1Password の漏洩・データ侵害アラートは共通して HIBP などの漏洩データベース照合を土台にしており、ダークウェブ監視もその延長線上にあります。

こうした検知はあくまで入口です。ブラウザ内蔵の管理機能や単体の漏洩スキャナーは「漏れている」と知らせるところで止まりがちですが、1Password は検知したその画面から、強力なパスワードの再生成・2FA の設定・パスキー移行までを別サービスに移らず同じアプリ内で一気通貫にこなせます。この「検知して終わり」にしない導線こそが、実務で効いてくる 1Password 固有の強みです。Watchtower 単体に頼らず、パスキーやフィッシング対策と組み合わせた多層防御の考え方は 生成 AI 時代の 1Password フィッシング対策 で詳しく整理しています。

どんな人に向いているか・チーム利用と Insights

Watchtower による漏洩監視が特に効くのは、次のような人です。

• 多数のサービスにアカウントを持ち、使い回しや古いパスワードが不安な人
• 過去に一度でもデータ漏洩の通知メールを受け取ったことがある人
• チームや家族のパスワード衛生をまとめて底上げしたい管理者

一方、そもそも保存するアカウントが数個しかなく、すべてパスキー化済みなら、監視の恩恵は限定的です。それでも Watchtower は無料でプランに含まれるため、有効にしておく分にはデメリットはありません。

チームや会社で使う場合、Business プランでは管理者向けの Insights（Watchtower レポート）が使え、メンバー全員の漏洩・脆弱・再利用パスワードの状況を集計ビューで俯瞰できます。Teams プランでは Insights は限定的で、ダッシュボード上の一部レポート（ドメイン漏洩レポートなど）やトライアルでの利用が中心になるため、組織全体を継続的に可視化したいなら Business が基本です。個人ごとの Watchtower が「自分の健康診断」なら、1Password の Insights は「組織全体の健康診断」に当たり、リスクの高いメンバーから優先的に是正を促せます。

まとめ

1Password の Watchtower は、漏洩・脆弱・使い回しのパスワードを Have I Been Pwned と自動照合し、プライバシーを守りながらアカウントのリスクを可視化してくれる機能です。重要なのは検知そのものより、通知が来たときに「変更 → 2FA → 使い回し確認 → 解決済み」という運用を習慣化することにあります。ブラウザ内蔵のパスワード管理から本格的な管理ツールへの乗り換えを検討している段階なら、監視機能の差も含めて 1Password と Google パスワードマネージャーの比較 を確認すると、自分に必要な監視レベルを判断しやすくなります。

※情報は 2026-07-08 時点の内容です。最新情報は公式サイトをご確認ください。

※本記事には PR を含みます。