Have I Been Pwned: onko sähköpostisi vuotanut?

Jos kuulet uutisista tietovuodosta, ensimmäinen kysymys on usein, onko oma sähköpostiosoite mukana. Have I Been Pwned (HIBP) on palvelu, jolla sen voi tarkistaa ilmaiseksi. Tässä oppaassa kerrotaan, mitä palvelu tekee, miten tuloksen tulkitset ja mitä tehdä, jos osoitteesi löytyy.

Teksti perustuu palvelun omiin ohjeisiin ja Traficomin Kyberturvallisuuskeskuksen neuvoihin. Se on yleistä tietoa, ei yksilöllistä turvallisuusneuvontaa.

Mikä Have I Been Pwned on?

HIBP on Troy Huntin luoma sivusto, joka kokoaa tietovuotojen tietoja, jotta ihmiset voivat tarkistaa, ovatko heidän verkkotilinsä joutuneet vaaraan. Hunt on ylläpitänyt sitä vuodesta 2013. Palvelun About-sivun mukaan kaikki sen tiedot tulevat vuodoista, joissa tietoja on päätynyt ihmisille, joilla ei olisi pitänyt olla niihin pääsyä. Sivusto kuvaa itseään ilmaisena resurssina kaikille.

Palvelun nimi on englantia, eikä sitä ole suomennettu. Sivusto toimii englanniksi.

Näin tarkistat osoitteesi

1. Avaa haveibeenpwned.com ja kirjoita hakukenttään yksi sähköpostiosoite tai käyttäjätunnus kerrallaan.
2. Lue tulos. Palvelu näyttää vuodot, joissa osoite on esiintynyt.
3. Tee sama muille osoitteillesi, myös vanhoille.

Palvelun ohjeen mukaan julkisessa haussa eivät näy arkaluonteiset tai poistetut vuodot. Arkaluonteiset vuodot näkyvät vain osoitteen vahvistetulle omistajalle kirjautuneena. Käyttäjätunnushaku voi lisäksi palauttaa vuotoja, joissa sama tunnus oli jonkun toisen käytössä.

Onko sivustolle turvallista syöttää osoite?

Palvelun FAQ-sivu sanoo, ettei sivusto kirjaa erikseen mitään, ja nimeää ainoiksi lokeiksi Google Analyticsin, Application Insightsin ja virheiden diagnostiikan. Haut tehdään salatulla yhteydellä. FAQ toteaa myös, ettei kukaan voi itse todentaa tätä, ja että jos epäilet tarkoitusperiä tai tietoturvaa, sivustoa ei pidä käyttää. Pelkkä sähköpostiosoitehaku ei FAQ:n mukaan paljasta käyttökelpoista kirjautumistietoa.

Mitä tulos kertoo ja mitä ei

Tulos ”osoite löytyi” kertoo, että osoite on esiintynyt vähintään yhdessä palvelun tuntemassa vuodossa. Se ei kerro, mikä salasanasi oli tai onko joku käyttänyt tiliäsi.

Tulos ”ei vuotoja” on helppo ymmärtää väärin. Palvelun FAQ painottaa, että se tarkoittaa vain, ettei osoitetta löytynyt HIBP:n aineistosta. Palvelussa on vain osa vuodetusta tiedosta ja monia vuotoja ei koskaan julkaista. Poistetut osoitteet ja poistetut vuodot eivät myöskään näy. Tulos ei siis todista, ettei osoitettasi ole vuodettu.

Näe, mitä tietojasi on julkisesti näkyvissä

HIBP kertoo vain osan kuvasta. Remove Me tekee ilmaisen analyysin ilman rekisteröitymistä. Se hakee julkisesti näkyvää tietoa, tunnettuja tietovuotoja ja tietovälittäjärekisteriä. Raportti avataan kuusinumeroisella koodilla, joka lähetetään sähköpostiisi. Remove Me ei vielä lähetä poistopyyntöjä puolestasi. Aloita ilmainen analyysi.

Notify me: ilmoitus tulevista vuodoista

HIBP:n Notify me -toiminnolla voit saada ilmoituksen, kun osoitteesi esiintyy tulevassa vuodossa. Palvelun FAQ:n mukaan:

• rekisteröidyt osoitteella ja vahvistat sen vahvistussähköpostilla
• palvelu tallentaa vain osoitteen, tilauspäivän ja satunnaisen vahvistustunnisteen
• voit seurata vain osoitetta, johon sinulla on pääsy
• ilmoitukset tulevat osoitteesta noreply@haveibeenpwned.com. Jos viesti ei saavu, tarkista roskaposti.

Kun käsittelet tällaisia viestejä, varmista silti, että avaat palvelun itse kirjoittamalla osoitteen selaimeen. Älä klikkaa tuntemattomia linkkejä sähköpostissa.

Pwned Passwords: entä salasana?

HIBP:llä on erillinen palvelu, jolla tarkistetaan, onko tietty salasana esiintynyt tietovuodossa. Salasana muunnetaan SHA-1-tiivisteeksi ja haku anonymisoidaan ennen lähettämistä. Tulos kertoo vain, että salasana on paljastunut ja kuinka monta kertaa se on nähty. FAQ neuvoo olemaan käyttämättä salasanaa, joka palvelussa esiintyy.

Jos osoitteesi löytyi vuodosta

Hae ensin rauhassa tieto, mikä palvelu vuoti. Sitten:

1. Vaihda salasana. Vaihda vuotaneen palvelun salasana ja jokaisen palvelun salasana, jossa olet käyttänyt samaa. Traficomin mukaan käyttäjätunnus on usein sähköpostiosoite ja salasanoja käytetään usein uudelleen, joten vuotanut salasana toimii muissakin palveluissa.
2. Tee salasanasta pitkä. Traficomin ohje: mitä pidempi salasana, sitä turvallisempi. Kokonainen lause on hyvä salasana, ja jokaiseen palveluun kannattaa tehdä oma. Salasanat voi tallentaa salasanahallintaohjelmaan. Lue lisää oppaasta salasanamanageri.
3. Ota kaksivaiheinen tunnistautuminen käyttöön. Traficomin mukaan lähes kaikki käyttäjätilien kaappausyritykset voidaan estää sillä. Vaikka joku saisi käyttäjätunnuksesi ja salasanasi, hän ei pääse sisään ilman lisätunnistetta. Ohjeet löydät artikkelista kaksivaiheinen tunnistautuminen.
4. Jos pankki- tai korttitietosi ovat voineet vuotaa, ota Traficomin ohjeen mukaan välittömästi yhteys pankkiisi.
5. Jos epäilet identiteettivarkautta, Traficomin ohjeessa on useita lisäaskelia, kuten rikosilmoitus ja vapaaehtoinen luottokielto Verohallinnon positiivisessa luottotietorekisterissä. Katso opas identiteettivarkaus.

Kokonaiskuva tietovuodoista löytyy oppaasta tietomurto ja tietovuoto: mitä tehdä.

Mitä HIBP ei tee

HIBP ei poista tietojasi mistään eikä estä uusia vuotoja. Se kertoo, missä vuodossa osoite on nähty. Se ei myöskään todista, että joku olisi käyttänyt tietojasi väärin. Tulos on lähtökohta toimille, ei päätös siitä, oletko vaarassa.

Lähteet

Luettu 5. marraskuuta 2026.

• Have I Been Pwned: About
• Have I Been Pwned: FAQs
• Traficom: Monivaiheinen tunnistautuminen suojaa käyttäjätilejäsi
• Traficom: Pidempi parempi, näin teet hyvän salasanan
• Traficom: Neuvoja identiteettivarkauden tai tietovuodon uhrille