Have I Been Pwned MCP Server

Have I Been Pwned MCP サーバー

アカウントやパスワードがデータ侵害で漏えいしていないか確認するため、Have I Been Pwned API と連携する Model Context Protocol（MCP）サーバーです。

機能

この MCP サーバーでは、以下のツールを利用できます。

無料（API キー不要）

1. check_password：パスワードがデータ侵害で公開されていないか確認します（k-匿名性を使用）
2. get_breach_details：特定のデータ侵害の詳細情報を取得します
3. list_all_breaches：システム内のすべての侵害を一覧表示します。ドメインで絞り込むこともできます
4. get_data_classes：侵害で発生する可能性のあるデータの種類（データクラス）を一覧表示します
5. get_latest_breach：システムに追加された最新の侵害を取得します

有料の HIBP API キーが必要

6. check_email：メールアドレスがデータ侵害で見つかったか確認します
7. get_pastes_for_account：メールアドレスがペースト（例：Pastebin）に記載されたか確認します
8. check_stealer_logs_by_email：情報窃取マルウェアによってメールアドレスの認証情報が取得されたウェブサイトのドメインを確認します（Pro ティア以上）
9. check_stealer_logs_by_website_domain：情報窃取マルウェアによってウェブサイトのドメインの認証情報が取得されたメールアドレスのエイリアスを確認します（Pro ティア以上）
10. check_stealer_logs_by_email_domain：検証済みのメールドメインに属するメールアドレスのエイリアスについて、情報窃取マルウェアに認証情報が取得されたか、またその対象となったウェブサイトを確認します（Pro ティア以上）

スティーラーログは、従来の侵害リストとは異なる、より精度の高い脅威カテゴリです。企業のデータベースがハッキングされた際に漏えいした認証情報ではなく、情報窃取マルウェアが被害者のデバイスから直接取得した認証情報（たとえば、ブラウザーに保存されたパスワード）を示します。

インストール

Smithery 経由でインストールする

Smithery 経由で hibp-mcp-server を Claude Desktop に自動的にインストールするには：

npx -y @smithery/cli install @Cyreslab-AI/hibp-mcp-server --client claude

前提条件

• Node.js（v14 以上）
• npm（v6 以上）
• Have I Been Pwned API キー（haveibeenpwned.com/API/Key で取得できます）

セットアップ

1. このリポジトリをクローンします。

   git clone https://github.com/Cyreslab-AI/hibp-mcp-server.git
   cd hibp-mcp-server
   

2. 依存関係をインストールします。

   npm install
   

3. サーバーをビルドします。

   npm run build
   

4. MCP 設定ファイルでサーバーを設定します。

   Claude VSCode 拡張機能の場合は、~/Library/Application Support/Code/User/globalStorage/saoudrizwan.claude-dev/settings/cline_mcp_settings.json に追加します。

   {
     "mcpServers": {
       "hibp": {
         "command": "node",
         "args": ["/path/to/hibp-mcp-server/build/index.js"],
         "env": {
           "HIBP_API_KEY": "YOUR_API_KEY_HERE"
         },
         "disabled": false,
         "autoApprove": []
       }
     }
   }
   

   Claude デスクトップアプリの場合は、~/Library/Application Support/Claude/claude_desktop_config.json（macOS）または他のプラットフォームで同様のパスに追加します。

使用例

サーバーの設定後、Claude でデータ侵害を確認できます。

メールアドレスの確認

User: Has my email address [email protected] been pwned?

Claude: Good news! This email address has not been found in any known data breaches.

メールアドレスが侵害で見つかった場合：

User: Has my email address [email protected] been pwned?

Claude: ⚠️ This email address was found in 3 data breaches.

Breach details:

1. Adobe (2013-10-04)
   Domain: adobe.com
   Description: In October 2013, 153 million Adobe accounts were breached...
   Compromised data: Email addresses, Password hints, Passwords, Usernames

2. LinkedIn (2012-05-05)
   Domain: linkedin.com
   Description: In May 2016, LinkedIn had 164 million email addresses and passwords exposed...
   Compromised data: Email addresses, Passwords

3. Dropbox (2012-07-01)
   Domain: dropbox.com
   Description: In mid-2012, Dropbox suffered a data breach which exposed...
   Compromised data: Email addresses, Passwords

Recommendations:
- Change your password for these services immediately
- If you used the same password elsewhere, change those too
- Enable two-factor authentication where available
- Consider using a password manager

パスワードの確認

User: Has the password "password123" been exposed in any breaches?

Claude: ⚠️ This password has been exposed in data breaches 123,456 times!

Recommendations:
- Stop using this password immediately
- Change it on any site where you use it
- Use a unique, strong password for each account
- Consider using a password manager

侵害の詳細情報の取得

User: Tell me about the LinkedIn data breach

Claude: # LinkedIn Data Breach

**Date:** 2012-05-05
**Domain:** linkedin.com
**Accounts affected:** 164,611,595
**Verified:** Yes
**Data leaked:** Email addresses, Passwords

**Description:**
In May 2016, LinkedIn had 164 million email addresses and passwords exposed. Originally hacked in 2012, the data remained out of sight until being offered for sale on a dark market site 4 years later. The passwords in the breach were stored as SHA1 hashes without salt, the vast majority of which were quickly cracked in the days following the release of the data.

**Recommendations:**
- If you had an account on this service, change your password
- If you used the same password elsewhere, change those too
- Monitor your accounts for suspicious activity
- Be cautious of phishing attempts that may use this leaked information

すべての侵害の一覧表示

User: List all Adobe data breaches

Claude: Found 1 breaches for domain adobe.com:

1. Adobe (2013-10-04)
   Domain: adobe.com
   Accounts affected: 152,445,165
   Compromised data: Email addresses, Password hints, Passwords, Usernames

データクラスの取得

User: What types of data does HIBP track?

Claude: Have I Been Pwned tracks 165 types of compromised data:

- Academic records
- Account balances
- ...

最新の侵害の取得

User: What's the most recent breach added to HIBP?

Claude: # Latest Breach: Chess2026

**Date:** 2026-08-03
**Domain:** chess.com
**Accounts affected:** 4,653,212
**Data leaked:** Email addresses, Geographic locations, Names, Usernames

アカウントのペーストの取得（API キーが必要）

User: Has my email been found in any pastes?

Claude: ⚠️ This email address was found in 1 paste.

1. Source: Pastebin
   Date: 2014-03-04T19:14:54Z
   Email addresses in paste: 139

メールアドレスでスティーラーログを確認（Pro ティア以上の API キーが必要）

User: Has my email shown up in any stealer logs?

Claude: ⚠️ This email address's credentials were found in stealer logs for 2 websites.

Websites: netflix.com, spotify.com

Recommendations:
- Change your password on these websites immediately
- Run an up-to-date malware scan on any device you use to log in
- Enable two-factor authentication where available

ウェブサイトのドメインでスティーラーログを確認（Pro ティア以上の API キーが必要）

User: Which of our users had credentials for netflix.com captured by stealer malware?

Claude: ⚠️ Found 2 email aliases with credentials for netflix.com captured in stealer logs.

Email aliases: [email protected], [email protected]

メールドメインでスティーラーログを確認（Pro ティア以上の API キーと、検証済みドメインが必要）

User: Have any of our employees at example.com shown up in stealer logs?

Claude: ⚠️ Found 2 email aliases at example.com with credentials captured in stealer logs.

1. [email protected]: netflix.com
2. [email protected]: netflix.com, spotify.com

セキュリティに関する注意事項

• パスワード確認機能では、パスワード全体を Have I Been Pwned API に送信せずに確認するため、k-匿名性を使用します
• パスワードの SHA-1 ハッシュの最初の 5 文字だけが API に送信されます
• API はプレフィックスに一致するハッシュのサフィックス一覧を返し、照合はローカルで完了します

API キーの設定

HIBP API によると、一部のエンドポイントは無料で公開されていますが、その他のエンドポイントには有料 API キーが必要です。

• 無料、キー不要： check_password、get_breach_details、list_all_breaches、get_data_classes、get_latest_breach
• 有料 API キーが必要： check_email、get_pastes_for_account（Core、Pro、または High RPM ティア）
• Pro ティア以上のアクセス権を持つ有料 API キーが必要： check_stealer_logs_by_email、check_stealer_logs_by_website_domain、check_stealer_logs_by_email_domain（メールアドレス／ドメインを対象とする stealer logs エンドポイントでは、ドメインが HIBP で認証済みである必要もあります）

API キーは haveibeenpwned.com/API/Key で取得できます。

API キーは、MCP の設定で HIBP_API_KEY という名前の環境変数として指定してください。設定されていない場合も上記の無料ツールは引き続き動作し、キーが必要なツールはサイレントに失敗するのではなく、明確なエラーメッセージを返します。

ライセンス

MIT