Have I Been Pwned?
# Have I Been Pwned?

Have I Been Pwned? (HIBP; con "Pwned" pronunciado como "poned", y estilizado en todas las minúsculas como "'';--have i been pwned?" en el sitio web) es un sitio web que permite a los usuarios de Internet comprobar si sus datos personales se han visto comprometidos por violaciones de datos. El servicio recopila y analiza cientos de ficheros de bases de datos que contienen información sobre miles de millones de cuentas filtradas, y permite a los usuarios buscar su propia información introduciendo su nombre de usuario o dirección de correo electrónico. Los usuarios también pueden inscribirse para que se les notifique si su dirección de correo electrónico aparece en futuros volcados. El sitio ha sido ampliamente promocionado como un recurso valioso para los usuarios de Internet que deseen proteger su propia seguridad y privacidad Have I Been Pwned? fue creado por el experto en seguridad Troy Hunt el 4 de diciembre de 2013.

En junio de 2019, Have I Been Pwned? tiene un promedio de unos ciento sesenta mil visitantes diarios, el sitio tiene casi tres millones de suscriptores de correo electrónico activos y contiene registros de casi ocho mil millones de cuentas.

## Características

La función principal de Have I Been Pwned? desde su lanzamiento es proporcionar al público en general un medio para comprobar si su información privada ha sido filtrada o comprometida. Los visitantes del sitio web pueden introducir una dirección de correo electrónico y ver una lista de todas las violaciones de datos conocidas con registros vinculados a esa dirección de correo electrónico. El sitio web también ofrece detalles sobre cada filtración de datos, como la historia de la filtración y qué tipos específicos de datos se incluyeron en ella.

Have I Been Pwned? también ofrece un servicio de "Notifícame" que permite a los visitantes suscribirse a notificaciones sobre futuras violaciones. Una vez que alguien se suscribe a este servicio de correo de notificaciones, recibirá un mensaje de correo electrónico cada vez que su información personal se encuentre en una nueva violación de datos.

En septiembre de 2014, Hunt añadió una funcionalidad que permitía añadir automáticamente nuevas violaciones de datos a la base de datos de HIBP. La nueva función utilizaba Dump Monitor, un bot de Twitter que detecta y difunde probables volcados de contraseñas encontrados en pastebin, para añadir automáticamente nuevas violaciones potenciales en tiempo real. Las filtraciones de datos suelen aparecer en los pastebins antes de que se informe ampliamente de ellas, por lo que la supervisión de esta fuente permite notificar antes a los consumidores si se han visto comprometidos.

Además de detallar los sucesos de violación de datos en los que se ha visto afectada la cuenta de correo electrónico, el sitio web también indica a quienes aparecen en su búsqueda en la base de datos que instalen un gestor de contraseñas, concretamente 1Password, que Troy Hunt ha respaldado recientemente. Una explicación en línea en su sitio web explica sus motivos y mantiene que el beneficio monetario no es el objetivo de esta colaboración.

### Contraseñas Comprometidas

En agosto de 2017, Hunt hizo públicas 306 millones de contraseñas a las que se podía acceder a través de una búsqueda en la web o que se podían descargar de forma masiva.

En febrero de 2018, el informático británico Junade Ali creó un protocolo de comunicación (que utiliza el k-anonimato y el hashing criptográfico) para verificar de forma anónima si una contraseña se filtró sin revelar completamente la contraseña buscada. Este protocolo se implementó como una API pública en el servicio de Hunt y ahora es consumido por múltiples sitios web y servicios, incluidos los gestores de contraseñas y las extensiones del navegador. Este enfoque fue replicado posteriormente por la función Chequeo de la Contraseña de Google. Ali trabajó con academics en Cornell Universidad a formalmente analizar el protocolo para identificar limitaciones y desarrollar dos versiones nuevas de este protocolo comocido como Bucketization de Medida de Frecuencia y Bucketización basada en identificador. En marzo de 2020, se añadió a este protocolo un esquema de relleno.

## Historia

### Lanzamiento

A finales de 2013, el experto en seguridad web Troy Hunt analizó las violaciones de datos en busca de amenazas y comportamientos. Se dio cuenta de que las filtraciones podían afectar en gran medida a los usuarios que ni siquiera eran conscientes de que sus datos estaban en peligro y, como resultado, comenzó a desarrollar HIBP. "Probablemente el principal detonante fue Adobe", dice Hunt sobre su motivación para poner en marcha el sitio, en referencia a la brecha de seguridad de Adobe Systems que afectó a 153 millones de cuentas en octubre de 2013.

Hunt lanzó Have I Been Pwned? el 4 de diciembre de 2013 con un anuncio en su blog. En ese momento, el sitio tenía sólo cinco violaciones de datos indexadas: Adobe Systems, Stratfor, Gawker, Yahoo! Voices y Sony Pictures. Sin embargo, el sitio tenía ahora la funcionalidad de añadir fácilmente futuras violaciones tan pronto como se hicieran públicas. Hunt escribió:

### Violación de datos

Desde su lanzamiento, el principal objetivo de desarrollo de HIBP ha sido añadir nuevas violaciones de datos lo más rápidamente posible después de que se filtren al público.

En julio de 2015, el servicio de citas en línea Ashley Madison, conocido por animar a los usuarios a mantener relaciones extramatrimoniales, sufrió una filtración de datos, y las identidades de más de 30 millones de usuarios del servicio se filtraron al público. La filtración de datos recibió una amplia cobertura mediática, presumiblemente debido al gran número de usuarios afectados y a la vergüenza percibida por tener una aventura. Según Hunt, la publicidad de la filtración provocó un aumento del 57000% en el tráfico de HIBP. A raíz de esta filtración, Hunt añadió a HIBP una función por la que las filtraciones consideradas "sensibles" no se podían buscar públicamente y sólo se revelaban a los suscriptores del sistema de notificación por correo electrónico. Esta funcionalidad se activó para los datos de Ashley Madison, así como para los datos de otros sitios potencialmente escandalosos, como Adult FriendFinder.

En octubre de 2015, Hunt fue contactado por una fuente anónima que le proporcionó un volcado de 13.5 millones de direcciones de correo electrónico y contraseñas en texto plano de usuarios, alegando que procedía de 000webhost, un proveedor de alojamiento web gratuito. En colaboración con Thomas Fox-Brewster, de Forbes, verificó que el volcado era probablemente genuino, probando las direcciones de correo electrónico que contenía y confirmando la información sensible con varios clientes de 000webhost. Hunt y Fox-Brewster intentaron ponerse en contacto varias veces con 000webhost para confirmar la autenticidad de la filtración, pero no obtuvieron respuesta. El 29 de octubre de 2015, tras el restablecimiento de todas las contraseñas y la publicación del artículo de Fox-Brewster sobre la filtración, 000webhost anunció la filtración de datos a través de su página de Facebook.

A principios de noviembre de 2015, el Grupo Paysafe, la empresa matriz de ambos proveedores, confirmó que dos violaciones de los proveedores de pagos de apuestas, Neteller y Skrill, eran auténticas. Los datos incluían 3,6 millones de registros de Neteller obtenidos en 2009 mediante un exploit en Joomla, y 4,2 millones de registros de Skrill (entonces conocido como Moneybookers) que se filtraron en 2010 tras verse comprometida una red privada virtual. Los 7,8 millones de registros combinados se añadieron a la base de datos de HIBP.

Ese mismo mes, el fabricante de juguetes electrónicos VTech fue pirateado, y una fuente anónima proporcionó en privado a HIBP una base de datos que contenía casi cinco millones de registros de padres. Según Hunt, esta fue la cuarta mayor violación de la privacidad de los consumidores hasta la fecha.

En mayo de 2016, una serie de filtraciones de datos sin precedentes que se remontaban a varios años atrás se hizo pública en un breve periodo de tiempo. Estas filtraciones incluían 360 millones de cuentas de Myspace de alrededor de 2009, 164 millones de cuentas de LinkedIn de 2012, 65 millones de cuentas de Tumblr de principios de 2013 y 40 millones de cuentas del servicio de citas para adultos Fling.com. Todos estos conjuntos de datos fueron puestos a la venta por un hacker anónimo llamado "peace_of_mind", y poco después fueron proporcionados a Hunt para que los incluyera en HIBP. En junio de 2016, se añadió a la base de datos de HIBP una "mega brecha" adicional de 171 millones de cuentas de la red social rusa VK.

En agosto de 2017, BBC News publicó el artículo Have I Been Pwned? sobre el descubrimiento por parte de Hunt de una operación de envío de spam que se ha nutrido de una lista de 711.5 millones de direcciones de correo electrónico.

### Esfuerzo infructuoso para vender HIBP

A mediados de junio de 2019, Hunt anunció sus planes de vender Have I Been Pwned? a una organización aún por determinar. En su blog, expuso sus deseos de reducir el estrés personal y ampliar el sitio más allá de lo que era capaz de lograr por sí mismo. En el momento de publicar la entrada en el blog, estaba trabajando con KPMG para encontrar empresas que considerara adecuadas y que estuvieran interesadas en la adquisición. Sin embargo, en marzo de 2020, anunció en su blog que Have I Been Pwned? seguiría siendo independiente en el futuro inmediato.

### Open-sourcing

El 7 de agosto de 2020, Hunt anunció en su blog su intención de abrir el código base de Have I Been Pwned?. Comenzó a publicar algunos códigos el 28 de mayo de 2021.

## Marca

El nombre "Have I Been Pwned?" se basa en el término de la jerga de los scripts "pwn", que significa "comprometer o tomar el control, específicamente de otro ordenador o aplicación".

HIBP el logotipo incluye el texto ';--, que es una cadena de ataque de inyección SQL común. Un hacker que intente tomar el control de la base de datos de un sitio web podría utilizar esta cadena de ataque para manipular un sitio web para que ejecute un código malicioso. Los ataques de inyección son uno de los vectores más comunes por los que puede producirse una violación de la base de datos; son la vulnerabilidad número 1 de las aplicaciones web en la lista Top 10 de OWASP.

