Have I Been Pwned?

2017年8月、ハントは一括ダウンロードが可能なパスワードのデータ3億600万件を公開し、そのデータベース内をウェブ上で検索可能なサービス"Pwned Passwords"をHIBPに追加した[9]。

2018年2月、イギリスのコンピュータ科学者Junade Aliにより、パスワード文字列で生成したハッシュ値の一部だけを送信するだけで照合可能な、k-匿名性と暗号学的ハッシュ関数を用いた通信プロトコルが作成された。ハントはこのプロトコルを取り入れたPwned Passwordsの新たなバージョンを公開した[10][11]。2021年5月28日には検索対象のデータにFBIが捜査の過程で入手した流出パスワードデータを追加したことが発表された[12][13]。

トロイ・ハント

情報漏洩における傾向とパターンの分析を行っていた、ウェブセキュリティの専門家トロイ・ハントは、漏洩が発生した時に、自らの情報が漏洩したことに気づいていない人にも大きな影響が及ぶ可能性があることに気づき、HIBPの開発に着手した。ハントは、2013年の10月に発生した1億5,300万件のアカウントに影響したアドビシステムズのセキュリティ侵害を引き合いに出し「おそらく、最も触発されたのはアドビだった」と語っている[14]。

ハントは、2013年12月4日にHIBPを公開し、自らのブログでアナウンスした。公開当初にHIBPのデータベースにインデックスされていたのは、アドビ、ストラトフォー、ゴーカー、Yahoo! Voices、ソニー・ピクチャーズのわずか5件の漏洩事例によるデータのみであった[15]。ハントは当時、HIBPについて以下のように語っていた。

土台となるプラットフォームを作ったからには、将来の漏洩を素早く統合し、影響を受けた可能性のある人が直ぐに検索できるようにします。情報漏洩を悪意を持って利用する攻撃者などは、非常に迅速にそのデータを入手し分析できますが、一般消費者がTorrentからギガバイト単位のgzip圧縮データを落として、自らが危険にさらされているかどうかを調べることは非現実的であり、今はちょっと不公平なゲームです。

—Troy Hunt、troyhunt.com[16]

サイト公開以降、HIBPの開発の主眼は、新たな情報漏洩が一般に公表された後、可能な限り迅速にデータを更新することである。

2015年7月、オンラインで既婚者向けの出会い系サービスを展開するアシュレイ・マディソンで情報漏洩が発生し、3,000万人以上の利用者の身元が一般に流出した。この情報漏洩は、おそらくは、規模の大きさや、不倫という恥ずかしい情報であったことが影響し、メディアで大きく報道され、その注目度により、HIBPのトラフィックは570倍に増大した[17]。この事態を受けHIBPは「センシティブ」な情報が含まれる場合には、通常の検索は行えず、メール通知システムの登録者にのみ開示されるように改修が行われた。この機能はアシュレイ・マディソンだけではなく、Adult FriendFinderのようにスキャンダルとなる情報が含まれる可能性のあるサイトからの情報でも利用された[5]。

2015年10月、ハントは匿名の情報源から、無料のホスティングサービスを運営する000webhostより漏洩したとされる1,350万件のメールアドレスと平文パスワードのダンプの提供を受けた。フォーブスのトーマス・ブリュースターと共同で、そのダンプ内のメールアドレスの試験を行い、複数の000webhost利用者に機密情報を確認するなどの調査を進め、000webhostから漏洩したダンプである可能性が最も高いことを検証した。ハントとブリュースターは、漏洩の真偽を確かめるため、何度も000webhostにコンタクトを試みたものの、回答は得られなかった。2015年10月29日、全てのパスワードのリセットが行われ、ブリュースターによる漏洩に関する記事が公開された後、000webhostはフェイスブックを通じて、情報漏洩について公表した[18][19]。

2015年11月初頭、ギャンブルの決済ブロバイダであるNetellerとSkrillによる情報漏洩について、親会社であるPaysafeグループが事実であることを認めた。Joomla!の脆弱性が悪用されNetellerから漏洩した360万件、2010年当時、MoneybookersであったSkrillがVirtual Private Networkの侵害により漏洩した420万件、合計780万件のレコードがHIBPのデータベースに登録された[20]。

2015年11月下旬、電子知育玩具で知られるVTechがハッキングされ、HIBPへ匿名の情報源から約500万人の保護者の記録を含むデータが提供された。ハントは、この事例は消費者の個人情報漏洩としては、これまでで4番目に当たる規模であると述べている[21]。

2016年5月には、数年前に発生していた大規模な情報漏洩が次々と発覚。2009年頃のMyspaceの3億6000万件、2012年のLinkedInの1億6,400万件、2013年上旬のTumblrの6,500万件、出会い系サイトFling.comの4,000万件と、漏洩したそれぞれのアカウント情報が"peace_of_mind"という名前のハッカーによりダークウェブ上で販売されていた。これらの情報はハントへ提供され、速やかにHIBPへ登録された[22]。さらに翌6月にはロシアのソーシャルネットワークサービス、フコンタクテの1億7,100万件の漏洩したアカウント情報がHIBPに追加された[23]。

2017年8月、スパムボットが収集していたメールアドレスのリストの発見に関し、同種の事例としては最大規模の7億1,100万件がリストアップされていたことをBBCニュースが報じ、HIBPに言及した[24]。

2019年6月中旬、ハントはブログで、売却先はまだ決まっていないものの、HIBPの売却計画を進行していることを発表。ハントが1人で運営していることがHIBPの成長のボトルネックとなっており、KPMGと協力して適任な企業を探していると述べた[1]。

2020年3月、売却計画は白紙となり、引き続き独立したウェブサイトとして運営されることが発表された[25]。

2020年8月7日、ハントはブログでHIBPのコードベースをオープンソース化する意向を表明し[26]、2021年5月28日に一部のコードの公開を開始したことを発表した [27]。