Cek Email dan Password Bocor di Have I Been Pwned

Buka haveibeenpwned.com, ketik alamat emailmu, dan dalam beberapa detik kamu tahu apakah alamat itu pernah muncul di kebocoran data yang tercatat.

Hasil itu berguna karena kebocoran di satu layanan jarang berhenti di layanan itu. Penyerang mengambil pasangan email dan password dari kebocoran lama, lalu mencobanya otomatis di email kantor, toko online, dan panel admin. Teknik ini disebut credential stuffing, dan ia berhasil karena banyak orang memakai password yang sama di beberapa tempat. Mengetahui email mana yang pernah bocor membantumu menentukan akun mana yang harus diamankan duluan.

Apa itu Have I Been Pwned?

Have I Been Pwned (HIBP) adalah layanan yang mengumpulkan data dari kebocoran yang diketahui publik, lalu memungkinkan siapa pun mengecek apakah email mereka termuat di dalamnya. Menurut halaman FAQ-nya, pencarian publik hanya menampilkan hasil untuk satu alamat email atau nama pengguna yang dimasukkan. Daftar banyak alamat sekaligus hanya bisa dilihat lewat fitur pencarian domain, setelah pemohon membuktikan ia berwenang atas domain itu.

Fitur yang relevan untuk bisnis kecil, per 4 November 2026:

• Pencarian email di halaman depan, gratis.
• Notify Me, notifikasi gratis bila emailmu muncul di kebocoran baru. Pendaftarannya memerlukan klik tautan verifikasi yang dikirim ke email itu, jadi kamu hanya bisa memantau alamat yang kamu kuasai.
• Pwned Passwords, pengecekan apakah sebuah password pernah muncul di kebocoran. Gratis dan open source.
• Pencarian domain, untuk melihat semua alamat di domain kantormu yang pernah bocor, setelah domain diverifikasi.
• Dashboard, tempat melihat hasil yang lebih sensitif untuk emailmu sendiri, termasuk kebocoran yang ditandai sensitif dan entri stealer log, setelah login dengan tautan verifikasi atau passkey.

Cara mengecek email dan password

Untuk email pribadi, cukup ketik alamatnya di kolom pencarian halaman depan. Bila hasilnya "pwned", HIBP menampilkan daftar kebocoran yang memuat alamat itu beserta jenis data yang ikut bocor, misalnya email, password, nama, nomor telepon, atau alamat IP.

Untuk password, buka halaman Pwned Passwords. Halaman resminya menjelaskan bahwa layanan ini memakai model k-anonymity: password di-hash di perangkatmu, dan hanya 5 karakter pertama hash SHA-1 yang dikirim ke server. Server mengembalikan daftar akhiran hash yang cocok, dan perbandingan akhir terjadi di perangkatmu. Jadi password utuhnya tidak dikirim.

Meski begitu, sebaiknya jangan mengetik password aktif yang sangat penting di situs mana pun. Banyak password manager sudah punya fitur pengecekan password bocor, sehingga kamu bisa memeriksa semua password sekaligus tanpa mengetiknya satu per satu.

Bagaimana membaca hasilnya?

Hasil "pwned" tidak selalu berarti akunmu sudah dibobol. Artinya, alamat itu ada di kumpulan data yang bocor. Tingkat urgensinya tergantung isi kebocoran.

Perhatikan juga tanggal kebocoran. Kalau password di layanan itu sudah kamu ganti sesudahnya, risikonya lebih kecil, kecuali password lama itu masih kamu pakai di tempat lain.

Hasil "no pwnage found" juga bukan jaminan aman. Itu hanya berarti alamat tersebut belum ada di data yang dimuat HIBP.

Memantau domain kantor

Pencarian domain cocok untuk pemilik usaha atau admin IT yang ingin tahu alamat mana di @namakantor.com yang pernah bocor, tanpa mengecek satu per satu.

Menurut dokumentasi API HIBP, domain harus ditambahkan ke dashboard dan diverifikasi dulu. Lewat browser, verifikasi bisa dilakukan dengan menambah record DNS, mengirim email ke salah satu alamat yang sudah ditentukan, mengunggah file ke website, atau menambah meta tag di halaman depan. Dokumentasinya juga menyebut record DNS boleh dihapus setelah verifikasi selesai.

Soal biaya, halaman langganan HIBP per 4 November 2026 menyebut paket gratis mencakup pemantauan domain dengan maksimal 10 alamat bocor. Domain yang lebih besar memerlukan langganan berbayar, dengan paket Core mulai US$4,39 per bulan (dibayar tahunan). Batas dan harga paket bisa berubah, jadi cek halaman langganannya sebelum membeli.

Apa yang harus diganti setelah ketemu?

Urutan berikut membantu kamu fokus pada risiko terbesar dulu.

1. Ganti password di layanan yang bocor, lalu di semua layanan lain yang memakai password sama atau mirip. Ini langkah paling penting.
2. Aktifkan autentikasi dua faktor, terutama di email, karena email adalah kunci untuk mereset password akun lain.
3. Cek aktivitas login di email dan akun penting. Keluarkan sesi yang tidak dikenal.
4. Waspadai phishing yang tertarget. Data seperti nama dan nomor telepon dari kebocoran sering dipakai untuk pesan penipuan yang terlihat meyakinkan. Ciri-cirinya ada di cara mengenali phishing.
5. Untuk akun kantor, minta setiap staf yang terdampak mengganti password, dan catat tindakannya.

Masalah password yang dipakai ulang hampir selalu selesai dengan password manager: satu password unik dan acak untuk setiap layanan. Pilihan untuk tim dibahas di password manager untuk tim dengan Vaultwarden.

Kalau yang bocor justru data pelanggan dari sistemmu sendiri, situasinya berbeda. Ada kewajiban pemberitahuan yang dibahas di kewajiban lapor kebocoran data 3x24 jam.