Have I Been Pwned (HIBP) es un sitio web gratuito donde escribes tu correo electrónico y ves en qué filtraciones de datos conocidas aparece, para saber qué cuentas y contraseñas debes cambiar.

Las filtraciones de datos ocurren todo el tiempo. Hackean a una empresa, su base de datos de usuarios termina en internet y millones de correos, contraseñas y otros datos quedan al alcance de cualquiera. La mayoría de las personas nunca recibe un aviso de la empresa, y cuando lo recibe, es fácil pasarlo por alto.

Have I Been Pwned cubre ese hueco. Esta guía explica qué es, cómo revisar tu correo y tus contraseñas de forma segura, qué significan realmente los resultados y qué pasos seguir si apareces en una filtración.

¿Qué Es Have I Been Pwned?

Have I Been Pwned es un servicio de notificación de filtraciones creado en 2013 por Troy Hunt, un investigador de seguridad australiano. Reúne datos de filtraciones que se hicieron públicas y permite buscarlos, sin mostrarle a nadie las contraseñas ni los datos personales filtrados.

“Pwned” es jerga de internet que significa “dominado” o “comprometido”. Si tu correo está “pwned”, apareció en al menos una filtración que HIBP tiene cargada.

La base de datos cubre miles de millones de cuentas de más de mil sitios y servicios filtrados. La página principal muestra los totales actuales, y se agregan filtraciones nuevas con regularidad.

HIBP ofrece cuatro herramientas principales:

HerramientaQué haceCosto
Búsqueda por correoMuestra en qué filtraciones aparece una dirección de correoGratis
Notify me (avísame)Te envía un correo si tu dirección aparece en una filtración futuraGratis
Pwned PasswordsRevisa si una contraseña ha aparecido en alguna filtraciónGratis
Búsqueda por dominioPermite a una organización ver todas las direcciones de su dominio que aparecen en filtracionesGratis para dominios pequeños; planes de pago para los más grandes

Cómo Revisar si tu Correo Estuvo en una Filtración

  1. Entra a haveibeenpwned.com. Escribe la dirección directamente o usa un marcador, para no caer en un sitio falso parecido.
  2. Escribe tu correo electrónico y haz clic en Check.
  3. Lee los resultados:
    • Good news, no pwnage found significa que la dirección no está en ninguna filtración que HIBP tenga cargada. No prueba que tus datos nunca se hayan filtrado, solo que no están en esta colección.
    • Oh no, pwned significa que la dirección aparece en una o más filtraciones. HIBP muestra cada una con su fecha y los tipos de datos expuestos.
  4. Repite el proceso con todas las direcciones de correo que usas, incluidas las antiguas que quizá ya olvidaste.

En cada filtración, fíjate bien en la línea de datos comprometidos. Una filtración que solo expuso correos es un riesgo de spam y phishing. Una que expuso contraseñas, números de teléfono o direcciones requiere que actúes.

Regístrate para Recibir Avisos

Usa Notify me para recibir un correo si tu dirección aparece en una filtración futura. Confirmas la dirección una sola vez y HIBP te avisa cuando una nueva filtración la incluya. Es la función más útil del sitio, porque te enteras poco después de que se carga la filtración, en lugar de descubrirlo meses después.

Algunas filtraciones están marcadas como sensibles (por ejemplo, de sitios para adultos). No aparecen en una búsqueda pública. Solo las ves después de comprobar que la dirección es tuya mediante el registro de avisos.

Cómo Revisar si una Contraseña Quedó Expuesta

La página Pwned Passwords revisa si una contraseña apareció en alguna filtración, sin importar de qué cuenta venga. Si tu contraseña está en la lista, los atacantes ya la tienen en las listas de palabras que usan para adivinar inicios de sesión, así que deberías dejar de usarla en todas partes.

Es normal preocuparse por escribir una contraseña real en un sitio web. HIBP está diseñado para que la contraseña completa nunca salga de tu dispositivo:

  1. Tu navegador convierte la contraseña en un hash SHA-1, una especie de huella digital de longitud fija.
  2. Envía a HIBP solo los primeros cinco caracteres de ese hash.
  3. HIBP devuelve todos los hashes de su lista que empiezan con esos cinco caracteres, a menudo varios cientos.
  4. Tu navegador busca en esa lista, de forma local, una coincidencia completa.

HIBP nunca ve tu contraseña, ni siquiera su hash completo. Esta técnica se llama k-anonimato. Gestores de contraseñas como 1Password y Bitwarden usan el mismo método en sus reportes de filtraciones.

Revisa una Contraseña con Python

La API de Pwned Passwords es gratuita y no necesita clave, así que puedes revisar contraseñas desde un script. Este ejemplo usa solo la biblioteca estándar de Python:

import hashlib
import getpass
import urllib.request


def pwned_count(password: str) -> int:
    """Return how many times a password appears in Pwned Passwords (0 = not found)."""
    sha1 = hashlib.sha1(password.encode("utf-8")).hexdigest().upper()
    prefix, suffix = sha1[:5], sha1[5:]

    request = urllib.request.Request(
        f"https://api.pwnedpasswords.com/range/{prefix}",
        headers={"User-Agent": "password-check-example", "Add-Padding": "true"},
    )
    with urllib.request.urlopen(request, timeout=10) as response:
        body = response.read().decode("utf-8")

    for line in body.splitlines():
        hash_suffix, count = line.split(":")
        if hash_suffix == suffix:
            return int(count)
    return 0


if __name__ == "__main__":
    password = getpass.getpass("Password to check: ")
    count = pwned_count(password)
    if count:
        print(f"Found {count:,} times in known breaches. Don't use this password.")
    else:
        print("Not found in Pwned Passwords. That's good, but it doesn't guarantee it's strong.")

Guárdalo como check_password.py y ejecuta python3 check_password.py. getpass oculta la contraseña mientras la escribes. Al revisar password123 aparecen más de dos millones de coincidencias:

Password to check:
Found 2,266,677 times in known breaches. Don't use this password.

El encabezado Add-Padding le pide a la API que agregue entradas falsas a la respuesta, para que alguien que observe tu tráfico de red no pueda adivinar qué prefijo consultaste por el tamaño de la respuesta.

Si instalaste Python desde python.org en una Mac y te aparece el error CERTIFICATE_VERIFY_FAILED, ejecuta Install Certificates.command desde la carpeta de Python en Aplicaciones y vuelve a intentarlo.

Si necesitas contraseñas seguras para reemplazar las expuestas, el proyecto de generador de contraseñas en Python muestra cómo crear uno.

Qué Hacer si Tus Datos Se Filtraron

Encontrar tu correo en una filtración es común. No significa que alguien esté dentro de tus cuentas ahora mismo, pero sí que debes actuar:

  1. Cambia la contraseña del servicio filtrado. Si ya no usas la cuenta, elimínala.
  2. Cambia esa contraseña en todos los demás sitios donde la usaste. Los atacantes toman pares de correo y contraseña filtrados y los prueban en otros sitios, un ataque llamado credential stuffing (relleno de credenciales). Las contraseñas reutilizadas son las que convierten una filtración en muchas.
  3. Usa un gestor de contraseñas. Genera una contraseña única y aleatoria para cada sitio y la recuerda por ti.
  4. Activa la autenticación de dos factores, empezando por tu correo, tu banco y tus redes sociales. Consulta Autenticación de Dos Factores (2FA): Métodos y Cómo Activarla.
  5. Cambia a passkeys donde puedas. Una passkey no tiene una contraseña que pueda filtrarse. Consulta ¿Qué Es una Passkey?
  6. Cuidado con el phishing. Los correos filtrados reciben mensajes dirigidos que mencionan el servicio real. Desconfía de cualquier mensaje que te pida “verificar tu cuenta” después de una filtración.
  7. Si se expusieron datos financieros o de identidad, vigila tus estados de cuenta bancarios y considera congelar tu crédito con las agencias de crédito.

Limitaciones de Have I Been Pwned

  • Solo conoce las filtraciones que se hicieron públicas. Una filtración que todavía no sale a la luz, o que los delincuentes venden en privado, no aparecerá.
  • Un resultado limpio no es una garantía. Significa “no se encontró en esta colección”, no “nunca se expuso”.
  • El sitio busca por correo electrónico. Las búsquedas por número de teléfono y por nombre de usuario se quitaron del sitio en el rediseño de 2025.
  • No elimina tus datos. HIBP te dice dónde se filtraron tus datos. No puede borrarlos del servicio filtrado ni de las copias que circulan en internet.

Alternativas y Revisiones de Filtraciones Integradas

Es posible que ya tengas monitoreo de filtraciones sin visitar HIBP:

  • Los gestores de contraseñas como 1Password, Bitwarden y los integrados en los navegadores pueden marcar las contraseñas guardadas que aparecen en filtraciones.
  • El Gestor de Contraseñas de Google tiene la Revisión de Contraseñas, y la app Contraseñas de Apple muestra las contraseñas comprometidas en la sección de Seguridad.
  • Mozilla Monitor usa datos de filtraciones de HIBP y agrega alertas.

Son prácticos, pero revisar HIBP directamente y registrarte para sus avisos sigue valiendo el minuto que toma.

Para Negocios y Dueños de Sitios Web

Si tienes un negocio, usa la búsqueda por dominio para ver qué correos de tu personal aparecen en filtraciones y configura alertas para tu dominio. Esas direcciones expuestas son objetivos probables de phishing.

Si tienes un sitio web con cuentas de usuario, puedes revisar las contraseñas nuevas contra Pwned Passwords durante el registro y rechazar las que ya se filtraron. Las recomendaciones modernas de NIST sobre contraseñas sugieren justamente este tipo de revisión. Y si tu propio sitio sufre una filtración, la guía de fundamentos de ciberseguridad cubre lo básico de la respuesta y la prevención.

Conclusión

Have I Been Pwned responde una pregunta sencilla: ¿mi información apareció en una filtración de datos conocida? Revisa todas las direcciones de correo que usas, regístrate para recibir avisos y prueba tus contraseñas importantes con Pwned Passwords.

Si tus datos se filtraron, no entres en pánico. Cambia las contraseñas expuestas, deja de reutilizar contraseñas entre sitios, activa la autenticación de dos factores y pasa tus cuentas importantes a passkeys cuando puedas. Esos pasos hacen mucho menos probable que la próxima filtración te cueste algo.

Preguntas Frecuentes

¿Es seguro usar Have I Been Pwned?

Sí. Lo administra un investigador de seguridad muy conocido y lo usan gobiernos y equipos de seguridad. Las búsquedas por correo muestran los nombres de las filtraciones, no tus datos filtrados, y la revisión de contraseñas usa k-anonimato para que tu contraseña nunca salga de tu dispositivo.

¿Have I Been Pwned es gratis?

Sí, para personas. La búsqueda por correo, los avisos y Pwned Passwords son gratuitos. Las suscripciones de pago son para organizaciones que necesitan búsquedas por dominio más grandes o acceso por API a los datos de filtraciones.

¿Qué significa que mis datos estén “pwned”?

Que tu dirección de correo apareció en al menos una filtración de datos conocida. Revisa qué datos se expusieron en cada filtración y cambia las contraseñas afectadas, sobre todo si las reutilizaste.

¿Un resultado limpio significa que mis datos están seguros?

No. Significa que tu dirección no está en ninguna filtración que HIBP tenga cargada. Puede haber otras filtraciones que todavía no son públicas, así que sigue usando contraseñas únicas y 2FA de todos modos.

¿Debo escribir mi contraseña en Have I Been Pwned?

La revisión de Pwned Passwords solo envía los primeros cinco caracteres del hash de tu contraseña, así que la contraseña completa nunca sale de tu dispositivo. Úsala solo en el sitio real, haveibeenpwned.com, o usa la revisión integrada en tu gestor de contraseñas.

¿Cómo elimino mis datos de Have I Been Pwned?

Puedes pedir en el sitio de HIBP que tu dirección de correo no aparezca en las búsquedas públicas. Eso la oculta de las búsquedas, pero no elimina tus datos de la filtración original ni de las copias que circulan en internet.

Lecturas Relacionadas