Have I Been Pwned po polsku: jak sprawdzić, czy twój e-mail wyciekł

Have I Been Pwned (w skrócie HIBP) to jedna z najczęściej wymienianych wyszukiwarek wycieków. Wpisujesz adres e-mail i sprawdzasz, czy pojawił się w znanych wyciekach danych. Serwis działa po angielsku, więc w tym poradniku wyjaśniamy po polsku, co widzisz na ekranie, jak czytać wynik i co zrobić po trafieniu. Opisujemy też sprawdzanie haseł i różnicę między HIBP a polskim serwisem bezpiecznedane.gov.pl.

Opieramy się na stronach samego serwisu (About, FAQs, Pwned Passwords, Privacy) oraz na stronach bezpiecznedane.gov.pl. Gdy źródła czegoś nie mówią, piszemy to wprost. To informacja ogólna, nie porada prawna ani informatyczna dla twojej sytuacji.

Czym jest Have I Been Pwned i kto go prowadzi

Według strony About serwis stworzył Troy Hunt, blogger i prelegent z zakresu bezpieczeństwa informacji, i prowadzi go od 2013 roku. Impulsem był wyciek z Adobe, który autor opisuje jako największy wówczas wyciek kont klientów. Autor zbudował narzędzie jako „bezpłatne źródło”, w którym każdy może szybko ocenić, czy jego konto zostało naruszone. Dziś, według tej samej strony, operacjami serwisu (m.in. obsługą klientów oraz sprawami prawnymi i finansowymi) zajmuje się też Charlotte Hunt, a kod i infrastrukturę utrzymuje Stefán Jökull Sigurðsson.

Wszystkie dane w serwisie pochodzą z wycieków, w których informacje zostały ujawnione osobom, które nie powinny ich zobaczyć. HIBP nie włamuje się więc do niczego: porządkuje to, co już wyciekło, i pozwala to sprawdzić. Nazwa Have I Been Pwned jest zastrzeżonym znakiem towarowym firmy Superlative Enterprises Pty Ltd.

Strona główna zawiera również miejsca sponsorowane (podczas naszej wizyty były to promocje menedżera haseł 1Password). Nie polecamy ani nie oceniamy sponsorów, ale warto pamiętać, że obok wyniku mogą być reklamy.

Co znaczy „pwned”

„Pwned” czytasz mniej więcej jak „powned”. Według FAQ serwisu to slang z gier wideo, zapis słowa „owned” w stylu leetspeak, który oznacza, że ktoś został „kontrolowany lub skompromitowany”. W serwisie słowo jest skrótem myślowym: oznacza, że adres znalazł się w co najmniej jednym znanym wycieku.

Jak sprawdzić adres e-mail

1. Wejdź na stronę haveibeenpwned.com. Nagłówek głosi: „Check if your email address is in a data breach”, czyli „Sprawdź, czy twój adres e-mail znalazł się w wycieku danych”.
2. Wpisz adres e-mail i kliknij „Check”.
3. Przeczytaj wynik. Czysty wynik to komunikat „Good news — no pwnage found!”. Gdy adres występuje w bazie, zobaczysz „Oh no — pwned!” oraz szczegóły.

Wynik jest podzielony na dwie części: „Data Breaches” (wycieki z konkretnych serwisów) i „Paste Records” (miejsca, w których dane pojawiły się na stronach do udostępniania tekstu lub w publicznych zrzutach danych). Przy wycieku zobaczysz nazwę serwisu, datę i opis danych, które wyciekły. To właśnie rodzaj danych (same adresy, hasła, a może dane osobowe) decyduje o tym, co zrobić dalej.

Strona główna opisuje wyszukiwanie po adresie e-mail. Nie znaleźliśmy tam opisu sprawdzania numeru telefonu ani numeru PESEL. Polityka prywatności wspomina, że numery telefonów są przechowywane tylko w ograniczonych przypadkach, w osobnym magazynie niepowiązanym z adresami e-mail. Nie traktuj więc HIBP jako sposobu na sprawdzenie PESEL.

Jak czytać wynik

Wynik „pwned” nie dowodzi włamania

FAQ serwisu zaznacza, że obecność adresu w wycieku nie musi oznaczać włamania na twoje konto. Wyciek dotyczy najczęściej firmy lub serwisu, w którym zostawiono dane. Co więcej, w przypadku „pastes” FAQ zwraca uwagę, że znalezienie adresu w takim wpisie „nie oznacza od razu”, że wyciekł on w wyniku naruszenia.

Jeśli ktoś włamał się na twoje konto już po sprawdzeniu adresu, FAQ przypomina, że korelacja nie oznacza przyczynowości. Samo sprawdzenie w HIBP niczego nie otwiera przestępcom.

Brak wyniku też niczego nie dowodzi

Czysty wynik cieszy, ale FAQ stawia sprawę jasno: brak dowodu nie jest dowodem braku. Twój adres może znajdować się w wycieku, którego HIBP jeszcze nie załadował, albo w takim, który nigdy nie trafi do publicznej bazy.

Wycieki „wrażliwe” i „niezweryfikowane”

FAQ opisuje dwie kategorie, które wpływają na to, co zobaczysz:

• Wycieki wrażliwe to takie, w których sama obecność na liście mogłaby zaszkodzić osobie, gdyby dowiedzieli się o niej inni. Nie można ich wyszukiwać publicznie. Sprawdzić je może tylko zweryfikowany właściciel adresu, który zaloguje się do panelu po potwierdzeniu dostępu do wiadomości wysłanej na ten adres.
• Wycieki niezweryfikowane to takie, w których nie dało się ponad uzasadnioną wątpliwość potwierdzić wiarygodności. Serwis i tak je zamieszcza, bo zawierają dane osobowe, a ludzie mogą chcieć sprawdzić swoją ekspozycję.

Z tego wynika praktyczna uwaga: publiczne wyszukiwanie może nie pokazać wszystkiego, co w bazie jest. Jeśli sprawa jest dla ciebie ważna, skorzystaj z weryfikacji właściciela adresu opisanej wyżej.

Powiadomienia o przyszłych wyciekach

Pod wynikiem serwis proponuje przycisk „Notify Me” z komunikatem „Get notified when your email appears in future data breaches”, czyli powiadomienie, gdy adres pojawi się w kolejnych wyciekach. FAQ wyjaśnia, że powiadomienia są wysyłane na monitorowany adres, więc nie możesz w ten sposób obserwować cudzej skrzynki ani adresu, do którego straciono dostęp. Wiadomości przychodzą z adresu noreply@haveibeenpwned.com. Jeśli nie docierają, FAQ radzi dodać go do listy zaufanych nadawców.

W przypadku powiadomień serwis przechowuje, jak podaje FAQ, adres e-mail, datę zapisu i losowy token weryfikacyjny. Polityka prywatności nie wskazuje okresu przechowywania adresów subskrybentów. Decyzja o zapisaniu się jest twoja.

Czy sprawdzenie w HIBP jest prywatne

Polityka prywatności mówi, że serwis nie zbiera ani nie przechowuje danych osobowych, gdy wyszukujesz coś w bazie. Wynik jest pobierany z magazynu i zwracany, ale nie jest zapisywany. FAQ dodaje, że strona niczego nie loguje jawnie, a jedyne logowanie pochodzi z Google Analytics, monitorowania wydajności Application Insights i danych diagnostycznych wyjątków.

Co do przechowywania polityka podaje m.in.:

• adresy e-mail z załadowanych wycieków są trzymane w systemie online;
• obok danych osobowych nie jest zapisywane żadne hasło (FAQ: „No password is stored next to any personally identifiable data”);
• logi serwera WWW mogą zawierać dane z formularzy, nagłówki przeglądarki i czasem adresy IP, i są trzymane do 31 dni;
• całość przechowywanych danych osobowych znajduje się w centrum danych Microsoft Azure w zachodnich Stanach Zjednoczonych.

Ostatni punkt jest istotny dla czytelnika w Polsce, bo oznacza transfer poza Europejski Obszar Gospodarczy. Polityka prywatności serwisu nie zastępuje oceny prawnej, a my jej nie przeprowadzamy.

Nie wpisuj w żadne narzędzie adresu, którego nie jesteś właścicielem, i nie sprawdzaj cudzych kont bez wiedzy ich właścicieli.

Jak sprawdzić hasło w Pwned Passwords

Oprócz adresów HIBP prowadzi bazę haseł, które wystąpiły w znanych wyciekach. Strona Pwned Passwords opisuje ją jako bezpłatną usługę.

Wpisujesz hasło w pole na stronie. Wynik to jeden z dwóch komunikatów:

• Brak trafienia: hasła nie ma w żadnej z załadowanych baz Pwned Passwords.
• Trafienie: hasło „has previously appeared in a data breach and should never be used”, czyli już wcześniej pojawiło się w wycieku i nie powinno być nigdy używane.

Serwis stosuje k-anonimowość. Twoja przeglądarka wylicza skrót hasła lokalnie i do API wysyła tylko pierwsze 5 znaków skrótu SHA-1. Serwis zwraca pasujące zakończenia, a końcowe porównanie odbywa się na twoim urządzeniu. Samo hasło ani pełny skrót nie opuszczają przeglądarki. Możesz to sprawdzić w narzędziach deweloperskich przeglądarki. Mimo to rozsądne jest sprawdzanie haseł, których już nie używasz, oraz tych wymyślonych na potrzeby testu, a nie dopiero bieżącego hasła do banku. Strona tego nie nakazuje, to nasza ostrożność.

Strona zaznacza też, że brak trafienia nie oznacza dobrego hasła: oznacza tylko, że nie ma go w tej bazie. Poza tym, zgodnie z zaleceniami strony:

• jeśli hasło się znalazło, przestań go używać i zmień wszędzie, gdzie był używany;
• nie używaj tego samego hasła w kilku serwisach, bo wyciekłe dane logowania bywają wykorzystywane w atakach typu credential stuffing (wypróbowywanie wyciekłych par login-hasło w innych serwisach);
• do tworzenia i przechowywania unikalnych haseł może pomóc menedżer haseł.

Co zrobić po trafieniu w wyciek

HIBP nie ma osobnej instrukcji „co dalej”, a FAQ odsyła do rozsądku: sprawdź wyciek i zmień hasła. Konkretne zalecenia po wycieku danych podaje polski serwis bezpiecznedane.gov.pl w sekcji „Reakcja na wyciek danych”. Według niej:

1. Zmień hasła. Zrób to na zabezpieczonym lub wyczyszczonym komputerze. Jeśli to samo hasło masz w kilku serwisach, zmień je we wszystkich i nie powielaj haseł między serwisami.
2. Włącz weryfikację dwuetapową we wszystkich serwisach, które to umożliwiają.
3. Sprawdź komputer programem antywirusowym, pamiętając, że może on nie wykryć zagrożenia. Przy podejrzeniu infekcji strona radzi zabezpieczyć najważniejsze dane i przywrócić urządzenie do stanu fabrycznego.
4. Monitoruj konta bankowe i karty, aby wychwycić nieautoryzowane transakcje, oraz sprawdzaj historię kredytową w Biurze Informacji Kredytowej.
5. Uważaj na korespondencję. Nie reaguj na podejrzane zawiadomienia ani prośby o podanie danych osobistych.
6. Sprawdzaj powiadomienia o logowaniach. Po alercie o nieznanej próbie zmień hasło i sprawdź ustawienia bezpieczeństwa.

Strona dodaje, że jeśli wyciek spowodował szkodę majątkową lub niemajątkową, można ubiegać się o odszkodowanie od administratora serwisu. Nie oceniamy tu szans takiego roszczenia. Szersze omówienie kroków znajdziesz w poradniku Wyciek danych: co zrobić.

Chcesz zobaczyć, co o tobie widać poza samym adresem e-mail? Bezpłatna analiza Remove Me przeszukuje publicznie widoczne wyniki wyszukiwania, znane wycieki danych (Have I Been Pwned) i rejestr brokerów danych, po czym pokazuje, co znalazła. Raport otwierasz sześciocyfrowym kodem wysłanym na adres e-mail podany w analizie. Analiza niczego nie usuwa i niczego nie obiecuje.

Rozpocznij bezpłatną analizę

HIBP a bezpiecznedane.gov.pl

To dwa różne narzędzia, które się uzupełniają.

• Kto prowadzi. HIBP to serwis prywatny Troya Hunta. Bezpiecznedane.gov.pl powstało z inicjatywy Ministerstwa Cyfryzacji; specjaliści NASK pracują nad rozwiązaniami, a CERT Polska obsługuje zgłoszenia i pytania.
• Zasięg. HIBP obejmuje wycieki z całego świata załadowane do bazy. Polski portal obejmuje wycieki, którymi został zasilony (na stronie głównej wymieniono m.in. MyDr i Qbusoft).
• Jak sprawdzić. W HIBP wpisujesz adres e-mail. W polskim portalu klikasz „Sprawdź dane” i przechodzisz do logowania.
• Język. HIBP jest po angielsku, portal po polsku.

Strona główna bezpiecznedane.gov.pl pisze, że serwis „prewencyjnie przekazujemy informację, czyje numery PESEL znalazły się w wycieku” i że, według stanu na dzień sprawdzenia, służby nie stwierdziły upublicznienia tych danych. Jak zalogować się i co dokładnie pokazuje portal, opisujemy w osobnym poradniku: Czy moje dane wyciekły? Jak sprawdzić w bezpiecznedane.gov.pl. Fakty o wycieku z MyDr znajdziesz w tekście Wyciek danych MyDr: co zrobić.

Ani HIBP, ani polski portal nie obejmują wszystkich wycieków. Czysty wynik w jednym z nich nie wyklucza trafienia w drugim, a oba nie pokazują wycieków, o których nikt publicznie nie wie.

Czego źródła nie mówią

• Strony HIBP, które przeczytaliśmy, nie mówią o wersji polskiej, o sprawdzaniu numeru PESEL ani o cenniku rozszerzonych usług. Nie opisujemy więc tych kwestii.
• Strona About nie opisuje powiadomień, k-anonimowości ani wyszukiwania domen. Te informacje pochodzą z FAQ, Pwned Passwords i polityki prywatności.
• Strony bezpiecznedane.gov.pl, które odczytaliśmy, nie podają kosztów korzystania z serwisu ani zasad dotyczących braku wyniku. Zakres sprawdzanych danych i sposób logowania opisujemy w osobnym poradniku o tym portalu, na podstawie jego FAQ.
• Nie podajemy liczby wycieków ani adresów w bazie HIBP. Strona główna aktualizuje te liczby na bieżąco, więc każda wartość w tekście szybko by się zdezaktualizowała.

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

• Have I Been Pwned, About: https://haveibeenpwned.com/About
• Have I Been Pwned, FAQs: https://haveibeenpwned.com/FAQs
• Have I Been Pwned, Pwned Passwords: https://haveibeenpwned.com/Passwords
• Have I Been Pwned, Privacy: https://haveibeenpwned.com/Privacy
• Have I Been Pwned, strona główna: https://haveibeenpwned.com/
• bezpiecznedane.gov.pl, Strona główna: https://bezpiecznedane.gov.pl/
• bezpiecznedane.gov.pl, Reakcja na wyciek danych: https://bezpiecznedane.gov.pl/baza-wiedzy/reakcja-na-wyciek-danych