Have I Been Pwnedでドメインサーチを使う

はじめに

• Microsoftのエンジニアが運営しているHave I Been Pwnedで，管理しているドメインに属するメールアドレスが流出していないか確認してみる．

• なお，検索する際には，そのドメインの管理者とわかるようにするために，検証用コードがpostmasterに届くので，それをみる権限が必要となる．

手順

• 下記のサイトにアクセス．

Have I Been Pwned：Domain Search

https://haveibeenpwned.com/DomainSearch

• アクセスすると次のような画面．

• ドメイン名を登録する．

• Subscripbe meのチェックを入れると，今後流出された際にメールが届くようになる．

• 今回は不要なのでチェックしない．

• Begin verificationボタンを押下する．

• 管理者を確認できるメールアドレスを選択する．今回はpostmasterを選択．

• send verification mailボタンを押下する．

• この画面が出るが，メールが届くまで待つ．

• postmasterにメールが届いたサンプル．

• トークンが記述されているので，それを利用．

• メールに書かれていたトークンをペーストする．

• トークンがあっていたら，successful!と表示される．

• 検証の結果，対象データがあろうがなかろうが，情報をダウンロードできる．

• 今回はExcel形式でデータをダウンロード．

• ダウンロードしたExcelファイルを開いてみると・・・

• 過去にMySpaceで漏洩していたことがわかる．

• 定期的に確認するのは大変なので，管理するドメインを登録(メール通知をSubscribe)しておくのが良さそうだ．