';--have i been pwned?
FAQs Precisa saber alguma coisa sobre o I Have Pwned (HIBP)?
O que é uma "violação" e de onde vêm os dados?
Uma "violação" é um incidente em que os dados são expostos inadvertidamente em um sistema vulnerável, geralmente devido a controles de acesso insuficientes ou a deficiências de segurança no software. O HIBP agrega violações e permite que as pessoas avaliem onde seus dados pessoais foram expostos.
As senhas de usuários são armazenadas neste site?
Quando os endereços de e-mail de uma violação de dados são carregados no site, nenhuma senha correspondente é carregada com eles. Separadamente ao recurso de pesquisa de endereço pwned, o serviço Pwned Passwords permite que você verifique se uma senha individual foi vista anteriormente em uma violação de dados. Nenhuma senha é armazenada ao lado de quaisquer dados de identificação pessoal (como um endereço de e-mail) e cada senha é SHA-1 com hash (leia por que SHA-1 foi escolhido na postagem do blog de lançamento de Senhas Pwned).
Posso enviar usuários suas senhas expostas?
Não. Qualquer capacidade de enviar senhas para as pessoas coloca a mim e a mim em maior risco. Este tópico é discutido detalhadamente na postagem do blog sobre todos os motivos pelos quais não disponibilizo senhas por meio desse serviço.
Existe uma lista de todos os endereços de e-mail ou nomes de usuário disponíveis?
O recurso de pesquisa pública não pode retornar nada além dos resultados para um único endereço de e-mail ou nome de usuário fornecido pelo usuário por vez. Múltiplas contas violadas podem ser recuperadas pelo recurso de pesquisa de domínio, mas somente depois de verificar com sucesso que a pessoa que está executando a pesquisa está autorizada a acessar ativos no domínio.
E quanto às violações em que as senhas não são vazadas?
Ocasionalmente, uma violação será adicionada ao sistema, que não inclui credenciais para um serviço online. Isso pode ocorrer quando dados sobre indivíduos vazam e não podem incluir um nome de usuário e senha. No entanto, esses dados ainda têm um impacto na privacidade; são os dados que os impactados não esperariam que fossem divulgados publicamente e, como tal, têm interesse em ter a capacidade de serem notificados sobre isso.
Como uma violação é verificada como legítima?
Muitas vezes há "violações" anunciadas por invasores, que por sua vez são expostos como boatos. Existe um equilíbrio entre a disponibilização antecipada de dados pesquisáveis e a realização de due diligence suficiente para estabelecer a legitimidade da violação. As seguintes atividades são geralmente realizadas para validar a legitimidade da violação:
O serviço impactado reconheceu publicamente a violação?
Os dados da violação aparecem em uma pesquisa do Google (ou seja, são copiados de outra fonte)?
A estrutura dos dados é consistente com o que você esperaria ver em uma violação?
Os atacantes forneceram evidências suficientes para demonstrar o vetor de ataque?
Os invasores têm um histórico de liberar ou violar violações de maneira confiável?
O que é um "colar" e por que incluí-lo neste site?
Um "colar" é uma informação que foi "colada" em um site voltado para o público projetado para compartilhar conteúdo, como o Pastebin. Esses serviços são preferidos pelos hackers devido à facilidade de compartilhar informações anonimamente e eles são frequentemente o primeiro lugar em que uma violação aparece.
O HIBP pesquisa através de pastas que são transmitidas pela conta 
Meu e-mail foi relatado como aparecendo em uma pasta, mas a pasta agora não pode ser encontrada?
Pastas são frequentemente transitórias; eles aparecem brevemente e são removidos. O HIBP geralmente indexa um novo colar dentro de 40 segundos após sua exibição e armazena os endereços de e-mail que apareceram na pasta junto com alguns metadados, como data, título e autor (se existirem). A pasta em si não é armazenada e não pode ser exibida se não existir mais na origem.
Meu e-mail não foi encontrado - isso significa que eu não fui pwned?
Embora o HIBP seja mantido atualizado com o máximo de dados possível, ele contém apenas um pequeno subconjunto de todos os registros que foram violados ao longo dos anos. Muitas violações nunca resultam na divulgação pública de dados e, de fato, muitas violações nem sequer são detectadas. "Ausência de evidência não é evidência de ausência" ou, em outras palavras, só porque o seu endereço de e-mail não foi encontrado aqui não significa que ele não tenha sido comprometido em outra violação.
Como o HIBP manipula "mais aliasing" em endereços de email?
Algumas pessoas optam por criar contas usando um padrão conhecido como "mais aliasing" em seus endereços de e-mail. Isso permite que eles expressem seu endereço de e-mail com um dado adicional no alias, geralmente refletindo o site ao qual se inscreveram, como test+netflix@example.com ou test+amazon@example.com. Atualmente há uma sugestão de UserVoice solicitando suporte deste padrão no HIBP. No entanto, conforme explicado nessa sugestão, o uso de mais aliasing é extremamente raro, aparecendo em aproximadamente apenas 0,03% dos endereços carregados no HIBP. Vote na sugestão e siga seu progresso se esse recurso for importante para você.
Como os dados são armazenados?
As contas violadas ficam no armazenamento de tabela do Windows Azure, que contém nada mais do que o endereço de e-mail ou o nome de usuário e uma lista de sites em que ele foi violado. Se você estiver interessado nos detalhes, tudo está descrito em Trabalhando com 154 milhões de registros no Armazenamento de Tabelas do Azure - a história de Eu Já Fui Pwned
Há algo registrado quando as pessoas pesquisam uma conta?
Nada é explicitamente registrado pelo site. O único registro de qualquer tipo é por meio do Google Analytics, do monitoramento de desempenho do Application Insights e de quaisquer dados de diagnóstico coletados implicitamente, caso ocorra uma exceção no sistema.
Por que vejo meu nome de usuário violado em um serviço ao qual nunca me inscrevi?
Quando você pesquisa por um nome de usuário que não é um endereço de e-mail, pode ver esse nome sendo exibido contra violações de sites nos quais você nunca se inscreveu. Geralmente isso é simplesmente porque alguém escolheu usar o mesmo nome de usuário que você normalmente usa. Mesmo quando seu nome de usuário parece muito único, o simples fato de que existem vários bilhões de usuários de internet no mundo significa que há uma forte probabilidade de que a maioria dos nomes de usuários tenha sido usada por outros indivíduos de uma vez ou outra.
Por que vejo meu endereço de e-mail violado em um serviço para o qual nunca me inscrevi?
Quando você pesquisa um endereço de e-mail, pode ver esse endereço exibido contra violações de sites dos quais você não se lembra de ter se inscrito. Existem várias razões possíveis para isso, incluindo que seus dados foram adquiridos por outro serviço, o serviço é renomeado como outra coisa ou alguém o está inscrevendo. Para uma visão geral mais abrangente, consulte Por que estou em uma violação de dados de um site em que nunca me inscrevi?
O serviço de notificação armazena endereços de email?
Sim, é preciso rastrear quem entrar em contato caso eles sejam apanhados em uma violação de dados subsequente. Somente o endereço de e-mail, a data em que eles se inscreveram e um token aleatório para verificação é armazenado.
Como sei que o site não está apenas coletando endereços de e-mail pesquisados?
Você não, mas não é. O site destina-se simplesmente a ser um serviço gratuito para as pessoas avaliarem o risco em relação à sua conta ser pego em uma violação. Como em qualquer site, se você estiver preocupado com a intenção ou segurança, não o use.
É possível "link direto" diretamente para a pesquisa por uma conta?
Claro, você pode construir um link para que a busca por uma conta específica aconteça automaticamente quando for carregada, apenas passe o nome após o caminho da "conta". Aqui está um exemplo:
https://haveibeenpwned.com/account/test@example.com
Como posso enviar uma violação de dados?
Se você se deparar com uma violação de dados que gostaria de enviar, entre em contato comigo. Confira o que está atualmente carregado no HIBP na primeira página se você não tiver certeza se a violação já está no sistema.
O que é uma "violação sensível"?
O HIBP permite que você descubra se sua conta foi exposta na maioria das violações de dados, pesquisando diretamente no sistema. No entanto, certas violações são particularmente confidenciais, pois a presença de alguém na violação pode afetá-las negativamente se outras pessoas puderem descobrir que eram membros do site. Essas violações são classificadas como "confidenciais" e não podem ser pesquisadas publicamente.
Uma violação de dados confidenciais só pode ser pesquisada pelo proprietário confirmado do endereço de e-mail que está sendo pesquisado. Isso é feito por meio do sistema de notificação, que envolve o envio de um email de verificação para o endereço com um link exclusivo. Quando esse link é seguido, o proprietário do endereço verá todas as violações e pastas de dados em que aparecem, incluindo as sigilosas.
Existem atualmente 22 violações sensíveis no sistema, incluindo Adult Friend Finder, AdultFanFiction.Org, Ashley Madison, Pessoas Bonitas, Bestialitysextaboo, Brazzers, Crime Agence vBulletin Hacks, Fling, Florida Escola Virtual, Freedom Hosting II, Fridae, Fur Affinity, HongFire Mate1.com, Jogo Muçulmano, América Impertinente, Garotas Não Nuas, Placa Rosebutt, The Candid Board, The Fappening e mais 2.
O que é uma "quebra de aposentadoria"?
Após um incidente de segurança que resulta na divulgação de dados da conta, a violação pode ser carregada no HIBP, onde envia notificações para os assinantes afetados e torna-se pesquisável. Em circunstâncias muito raras, essa violação pode ser removida permanentemente do HIBP, onde é classificada como "violação aposentada".
Uma violação retirada geralmente é aquela em que os dados não aparecem em outros locais na Web, ou seja, não estão sendo negociados ou redistribuídos. A exclusão do HIBP fornece aos afetados a garantia de que seus dados não podem mais ser encontrados em nenhum local restante. Para mais informações, leia Eu tenho sido pego, optando por sair, VTech e coisas de privacidade em geral.
Atualmente há 1 violação aposentada no sistema que é VTech.
O que é uma violação "não verificada"?
Algumas violações podem ser marcadas como "não verificadas". Nesses casos, embora existam dados legítimos dentro da suposta violação, pode não ter sido possível estabelecer legitimidade além de qualquer dúvida razoável. As violações não verificadas ainda são incluídas no sistema porque, independentemente de sua legitimidade, elas ainda contêm informações pessoais sobre indivíduos que desejam entender sua exposição na Web. Informações adicionais sobre violações não verificadas podem ser encontradas na postagem do blog intitulada Introduzindo violações não confirmadas em "Eu fui incentivado".
O que é uma violação "fabricada"?
Algumas violações podem ser marcadas como "fabricadas". Nesses casos, é altamente improvável que a violação contenha dados legítimos provenientes do site alegado, mas que ainda possam ser vendidos ou negociados sob os auspícios de legitimidade. Geralmente, esses incidentes são compostos de dados agregados de outros locais (ou podem ser totalmente fabricados), mas ainda contêm endereços de e-mail reais, desconhecidos do proprietário da conta. As violações fabricadas ainda são incluídas no sistema porque, independentemente de sua legitimidade, elas ainda contêm informações pessoais sobre pessoas que desejam entender sua exposição na Web. Informações adicionais sobre violações não verificadas podem ser encontradas na postagem do blog intitulada Introduzindo violações "fabricadas" no Have I Been Pwned.
O que é uma "lista de spam"?
Ocasionalmente, grandes volumes de dados pessoais são encontrados sendo utilizados para fins de envio de spam direcionado. Isso geralmente inclui muitos dos mesmos atributos freqüentemente encontrados em violações de dados, como nomes, endereços, números de telefones e datas de nascimento. As listas costumam ser agregadas a partir de várias fontes, freqüentemente ao extrair informações pessoais de pessoas com a promessa de uma recompensa monetária. Embora os dados possam não ter sido originados de um sistema violado, a natureza pessoal da informação e o fato de que ela é redistribuída dessa maneira sem o conhecimento dos proprietários garante a inclusão aqui. Leia mais sobre listas de spam no HIBP.
O que significa se minha senha estiver em senhas registradas?
Se uma senha for encontrada no serviço Pwned Passwords, isso significa que ela apareceu anteriormente em uma violação de dados. O HIBP não armazena nenhuma informação sobre quem a senha pertencia, apenas que ela foi previamente exposta publicamente e quantas vezes ela foi vista. Uma Senha Pwned não deve mais ser usada, pois sua exposição aumenta o risco de ser usada para acessar contas usando o segredo agora exposto.
É um pouco leve em detalhes aqui, onde posso obter mais informações?
O design e a criação deste projeto foram extensivamente documentados no troyhunt.com sob a tag Have I Been Pwned. Esses posts explicam muito do raciocínio por trás dos vários recursos e como eles foram implementados na plataforma de nuvem Windows Azure da Microsoft.
