Sebastian Juul
Gratis sajten haveibeenpwned.com visar på en halv minut om din e-post redan cirkulerar bland hackare.
Att skriva in sin e-postadress på haveibeenpwned.com tar runt 30 sekunder. Resultatet är rakt på: antingen finns adressen i en eller flera av de dataintrång tjänsten har indexerat, eller så gör den inte det. Just nu rör det sig om 17,8 miljarder konton i databasen, fördelade på 1 046 kartlagda intrång, allt från Adobe-läckan, som gav själva tjänsten dess existensberättigande, till de senaste årens stora samlingar av credential stuffing-listor.
Att siffran är så astronomisk har en konkret förklaring. När säkerhetsföretaget Synthient i november 2025 överlämnade sin samlade bevakningsdata till Have I Been Pwned innehöll den 1 957 476 021 unika e-postadresser och 1,3 miljarder unika lösenord, hopsamlade från Telegram-kanaler, Tor-marknader och forum där credential stuffing-listor byter händer. Enbart 625 miljoner av lösenorden hade tjänsten aldrig sett förut, och den stora merparten av e-postadresserna fanns redan i det befintliga indexet, ett konkret kvitto på hur stor del av internets användare som redan ligger exponerade. Grundaren Troy Hunt skriver att hans jobb var att ”lägga till dem vi inte redan hade sett i det befintliga 15-miljarders-materialet”.
Så fungerar kontrollen i praktiken
Du skriver in e-postadressen i sökrutan på startsidan. Tjänsten jämför den mot sitt index och svarar antingen med en grön ”Good news, no pwnage found” eller en röd varning med en lista på vilka intrång adressen förekommer i, och vilka datatyper som läckte: lösenord, telefonnummer, användarnamn, adresser.
Have I Been Pwned har drivits sedan 2013 av säkerhetsforskaren Troy Hunt. Tjänsten är helt gratis, lagrar inte sökningar och kräver ingen inloggning för en vanlig uppslagning. Vill du dessutom få besked när din adress dyker upp i framtida intrång kan du prenumerera på kostnadsfria aviseringar.
Google har stängt sitt eget alternativ
För dem som använde Googles så kallade dark web-rapport i mobilen eller på google.com finns det verktyget inte längre. Google slutade hämta nya resultat den 15 januari 2026, och från den 16 februari 2026 går det inte att öppna rapporten. Bolaget motiverade nedläggningen med att tjänsten ”inte gav tillräckligt tydliga nästa steg” för användarna.
Googles inbyggda lösenordskontroll i Chrome och Android lever vidare, men ger ingen överblick över vilka intrång din adress figurerar i. För den som vill ha den sammanställningen är Have I Been Pwned i praktiken enda breda gratis-alternativet som fortfarande drivs.
Vad du gör om adressen är med
Står adressen med i listan är poängen inte att få panik, utan att agera på de konton där lösenordet kan vara samma som i intrånget. Integritetsskyddsmyndigheten rekommenderar att varje tjänst har sitt eget lösenord, och att det är minst tolv tecken långt, gärna en lätt-ihågkommen fras med inslag av siffror snarare än kryptiska tecken.
För e-postkontot är insatsen särskilt hög, eftersom det är ingången till lösenordsåterställning på alla andra tjänster. ”Därför är det extra viktigt att göra det så svårt som möjligt för någon annan att logga in i det”, skriver myndigheten och pekar på tvåstegsverifiering som grundskyddet. En authenticator-app eller en säkerhetsnyckel räcker för att en läckt lösenordskombination inte ska göra någon skada i sig själv.
Pwned Passwords-funktionen på samma sajt låter dig dessutom testa ett specifikt lösenord, det jämförs lokalt mot 1,3 miljarder kända lösenord utan att själva lösenordet skickas till servern. Dyker det upp där ska det bytas överallt där du använder det, oavsett om kontot ännu är intrånget eller inte.
