Have I Been Pwned?
# Have I Been Pwned?

Have I Been Pwned? (HIBP) è un sito web che consente agli utenti di Internet di verificare se i propri dati personali sono stati compromessi da violazioni dei dati. Il servizio raccoglie e analizza centinaia di dump e pastebin di database contenenti informazioni su miliardi di account violati e consente agli utenti di cercare le proprie informazioni inserendo il proprio numero di telefono o indirizzo e-mail. Gli utenti possono anche registrarsi per ricevere una notifica se il loro indirizzo e-mail appare nei dump futuri. Il sito è stato ampiamente pubblicizzato come una risorsa preziosa per gli utenti di Internet che desiderano proteggere la propria sicurezza e privacy. Il sito è stato creato dall'esperto di sicurezza Troy Hunt il 4 dicembre 2013.

A giugno 2019 Have I Been Pwned? conta in media circa centosessantamila visitatori giornalieri, il sito ha quasi tre milioni di abbonati e-mail attivi e contiene record di quasi otto miliardi di account.

## Descrizione

La funzione principale di Have I Been Pwned? da quando è stato lanciato è quella di fornire al grande pubblico un mezzo per verificare se le loro informazioni private sono divulgate o compromesse. I visitatori del sito web possono inserire un indirizzo e-mail e visualizzare un elenco di tutte le violazioni dei dati note con i record legati a tale indirizzo e-mail. Il sito web fornisce anche dettagli su ciascuna violazione dei dati, come il retroscena della violazione e quali tipi specifici di dati sono stati inclusi in essa.

Have I Been Pwned? offre anche un servizio "Notify Me" ("Avvisami") che consente ai visitatori di iscriversi al sito e ricevere le notifiche su future violazioni. Una volta che qualcuno si iscrive a questo servizio riceverà un messaggio di posta elettronica ogni volta che le sue informazioni personali vengono rilevate in una nuova violazione dei dati.

Nel settembre 2014, Hunt ha aggiunto una funzionalità che ha consentito di aggiungere automaticamente nuove violazioni dei dati al database di HIBP. La nuova funzionalità ha utilizzato Dump Monitor, un bot di Twitter che rileva e trasmette i probabili dump delle password trovati sui pastebin, per aggiungere automaticamente nuove potenziali violazioni in tempo reale. Le violazioni dei dati spesso compaiono sui pastebin prima che vengano segnalate a tutti; quindi, il monitoraggio di questa fonte consente ai consumatori di essere informati prima se sono stati compromessi.

Oltre a dettagliare le violazioni dei dati da cui è stato colpito l'account di posta elettronica, il sito web indica anche a coloro che compaiono nella ricerca del database di installare un gestore di password, vale a dire 1Password, che Troy Hunt ha recentemente approvato. Una spiegazione online sul suo sito web spiega le sue motivazioni e sostiene che il guadagno monetario non è l'obiettivo di questa partnership.

### Password violate

Nell'agosto 2017, Hunt ha reso pubbliche 306 milioni di password a cui era possibile accedere tramite una ricerca sul Web o scaricabili in blocco.

Nel febbraio 2018, l'informatico britannico Junade Ali ha creato un protocollo di comunicazione (utilizzando il k-anonimato e la funzione crittografica di hash) per verificare in modo anonimo se una password fosse trapelata senza rivelare completamente la password cercata. Questo protocollo è stato implementato come API pubblica nel servizio di Hunt ed è ora utilizzato da più siti web e servizi, inclusi i gestori di password e le estensioni del browser. Questo approccio è stato successivamente replicato dalla funzione di controllo password di Google. Ali ha lavorato con gli accademici della Cornell University per analizzare formalmente il protocollo per identificare i limiti e sviluppare due nuove versioni di questo protocollo note come Frequency Size Bucketization e Identifier Based Bucketization. Nel marzo 2020, il pudding crittografico è stato aggiunto a questo protocollo.

## Storia

### Lancio

Alla fine del 2013, l'esperto di sicurezza web Troy Hunt stava analizzando le violazioni dei dati per tendenze e modelli. Si è reso conto che le violazioni potrebbero avere un impatto notevole sugli utenti che potrebbero anche non essere consapevoli del fatto che i loro dati siano stati compromessi e, di conseguenza, ha iniziato a sviluppare HIBP. "Probabilmente il catalizzatore principale è stato Adobe", ha affermato Hunt parlando della sua motivazione per l'avvio del sito, riferendosi alla violazione della sicurezza di Adobe Systems che ha colpito 153 milioni di account nell'ottobre 2013.

Hunt lanciato Have I Been Pwned? il 4 dicembre 2013 con un annuncio sul suo blog. A quel tempo, il sito aveva solo cinque violazioni dei dati indicizzate: Adobe Systems, Stratfor, Gawker, Yahoo! Voices e Sony Pictures. Tuttavia, il sito ora aveva la funzionalità per aggiungere facilmente future violazioni non appena rese pubbliche:

«Ora che ho una piattaforma su cui lavorare, sarò in grado di integrare rapidamente future violazioni e renderle rapidamente ricercabili da persone che potrebbero essere state colpite. Al momento è un gioco un po' ingiusto: gli aggressori e altri che desiderano utilizzare violazioni dei dati per scopi dannosi possono ottenere e analizzare molto rapidamente i dati, ma il consumatore medio non ha un modo fattibile per estrarre gigabyte di account gzippati da un torrent e scoprire se sono stati compromessi o no.»

(Troy Hunt)

### Violazioni dei dati

Sin dal suo lancio, l'obiettivo principale dello sviluppo di HIBP è stato quello di aggiungere nuove violazioni di dati il più rapidamente possibile dopo che sono state divulgate al pubblico.

Nel luglio 2015, il sito di incontri Ashley Madison, noto per incoraggiare gli utenti ad avere relazioni extraconiugali, ha subito una violazione dei dati e le identità di oltre 30 milioni di utenti del servizio sono trapelate al pubblico. La violazione dei dati ha ricevuto un'ampia copertura mediatica, presumibilmente a causa dell'elevato numero di utenti interessati e della vergogna degli iscritti derivante dal giudizio dell'opinione pubblica. Secondo Hunt, la pubblicità della violazione ha determinato un aumento del 57.000% del traffico verso HIBP. A seguito di questa violazione, Hunt ha aggiunto funzionalità a HIBP in base alle quali le violazioni considerate "sensibili" non sarebbero state ricercabili pubblicamente e sarebbero state rivelate solo agli abbonati del sistema di notifica e-mail. Questa funzionalità è stata abilitata per i dati di Ashley Madison, così come per i dati di altri siti potenzialmente scandalosi, come Adult FriendFinder.

Nell'ottobre 2015, Hunt è stato contattato da una fonte anonima che gli ha fornito un deposito di 13,5 milioni di indirizzi e-mail e password in chiaro, sostenendo che provenivano da 000webhost, un provider di web hosting gratuito. Lavorando con Thomas Fox-Brewster di Forbes, ha appurato che il dump era molto probabilmente veritiero testando gli indirizzi e-mail ricevuti da esso e confermando le informazioni sensibili dei diversi clienti di 000webhost. Hunt e Fox-Brewster hanno tentato molte volte di contattare 000webhost per confermare ulteriormente l'autenticità della violazione, ma non sono stati in grado di ottenere una risposta. Il 29 ottobre 2015, a seguito del ripristino di tutte le password e della pubblicazione dell'articolo di Fox-Brewster sulla violazione, 000webhost ha annunciato la violazione dei dati tramite la propria pagina Facebook.

All'inizio di novembre 2015, due violazioni dei fornitori di pagamenti per il gioco d'azzardo Neteller e Skrill sono state confermate veritiere da Paysafe Group, la società madre di entrambi i fornitori. I dati includevano 3,6 milioni di record da Neteller ottenuti nel 2009 utilizzando un exploit in Joomla e 4,2 milioni di record da Skrill (allora noto come Moneybookers) trapelati nel 2010 dopo che una rete privata virtuale era stata compromessa. I 7,8 milioni di record combinati sono stati aggiunti al database di HIBP.

Più tardi quel mese, il produttore di giocattoli elettronici VTech è stato violato e una fonte anonima ha fornito privatamente a HIBP un database contenente quasi cinque milioni di record di genitori che avevano acquistato sul sito. Secondo Hunt, questa è stata la quarta più grande violazione della privacy dei consumatori fino ad oggi.

Nel maggio 2016, una serie senza precedenti di violazioni dei dati di grandi dimensioni risalenti a diversi anni prima è stata rilasciata in un breve lasso di tempo. Queste violazioni includevano 360 milioni di account Myspace dal 2009 circa, 164 milioni di account LinkedIn dal 2012, 65 milioni di account Tumblr dall'inizio del 2013 e 40 milioni di account dal servizio di incontri per adulti Fling.com. Questi set di dati furono tutti messi in vendita da un hacker anonimo di nome "peace_of_mind", e poco dopo furono forniti a Hunt per essere inclusi in HIBP. Nel giugno 2016, un'ulteriore mega violazione di 171 milioni di account dal social network russo VK è stata aggiunta al database di HIBP.

Nell'agosto 2017, BBC News citò Have I Been Pwned? nel suo articolo sulla scoperta di Hunt di un'operazione di spamming che ha attinto a un elenco di 711,5 milioni di indirizzi e-mail.

### Tentativo di vendita

A metà giugno 2019, Hunt ha annunciato l'intenzione di vendere Have I Been Pwned? a un'organizzazione ancora da definire. Nel suo blog, ha delineato i suoi desideri per ridurre lo stress personale ed espandere il sito oltre ciò che era in grado di realizzare da solo. Al momento del rilascio del post sul blog, stava lavorando con KPMG per trovare le aziende che riteneva adatte e interessate all'acquisizione. Tuttavia, nel marzo 2020 ha annunciato sul suo blog che Have I Been Pwned? rimarrà indipendente per il prossimo futuro.

### Open-source

Il 7 agosto 2020, Hunt ha annunciato sul suo blog l'intenzione di rendere open source il codice sorgente di Have I Been Pwned?

## Significato del nome

Il nome "Have I Been Pwned?" si basa sul termine "pwn" nel gergo degli script kiddie, che significa "compromettere o prendere il controllo, in particolare di un altro computer o applicazione".

Il logo di HIBP include il testo ';--, che è una comune stringa di attacco SQL injection. Un hacker che cerca di assumere il controllo del database di un sito web potrebbe utilizzare una stringa di attacco di questo tipo per manipolare il sito web in modo che esegua un codice dannoso. Gli attacchi injection sono uno dei vettori più comuni con cui può verificarsi una violazione dei database; sono le vulnerabilità delle applicazioni web numero 3 nell'elenco OWASP Top 10.

