Have I Been Pwned: veilig controleren of je gegevens gelekt zijn

Have I Been Pwned is een gratis en betrouwbare website waarop je controleert of je e-mailadres in een bekend datalek zit. Je vult op haveibeenpwned.com alleen je e-mailadres in, nooit een wachtwoord, en ziet direct bij welke diensten je gegevens zijn uitgelekt en welke gegevens dat waren. Zoeken op telefoonnummer kan op de website niet meer, maar bij elk lek zie je wel of je telefoonnummer erin zat.

In dit artikel lees je hoe de controle werkt, waarom de site veilig is, wat de Engelse termen betekenen en wat je doet als je e-mailadres erin staat. Heb je je mail of website bij LJPc hosting, dan lees je ook hoe je je mailbox en klantenportaal direct beter beveiligt.

Wat is Have I Been Pwned en wat betekent pwned?

Have I Been Pwned, vaak afgekort tot HIBP, is in 2013 opgezet door de Australische beveiligingsonderzoeker Troy Hunt. Hij verzamelt gegevens uit datalekken die op straat zijn komen te liggen en maakt doorzoekbaar of jouw e-mailadres daarin voorkomt. In november 2026 staan er ruim 1.000 datalekken in, met samen meer dan 17,8 miljard gelekte accounts.

Het woord pwned komt uit de gamewereld. Het is een verbastering van "owned", omdat de p op het toetsenbord naast de o ligt. Wie pwned is, is overgenomen of gehackt. Bij Have I Been Pwned betekent het dat je gegevens in minstens één datalek zitten. Dat zegt niet dat iemand al in je account is geweest, wel dat je gegevens bij anderen terecht kunnen zijn gekomen.

Is Have I Been Pwned veilig en betrouwbaar?

Ja. Have I Been Pwned is een van de bekendste diensten voor het opzoeken van datalekken en draait al sinds 2013. Ook overheden gebruiken het: het Nationaal Cyber Security Centrum (NCSC) bewaakt er sinds juli 2021 overheidsdomeinen mee. Deze punten maken de site veilig in gebruik:

• Je vult alleen je e-mailadres in. De zoekfunctie vraagt nooit om een wachtwoord. Volgens de site worden zoekopdrachten niet bewaard en gaat alles over een versleutelde verbinding.
• Er staan geen wachtwoorden bij e-mailadressen. HIBP laadt uit een datalek wel de e-mailadressen, maar nooit de wachtwoorden die erbij horen. Je kunt daar dus ook nooit een oud wachtwoord van jezelf terugvinden.
• Gevoelige lekken zijn afgeschermd. Lekken waarbij alleen al je aanwezigheid schade kan doen, zoals van datingsites, ziet alleen de eigenaar van het adres, na een bevestiging per mail.
• Mail van HIBP komt alleen van noreply@haveibeenpwned.com. HIBP stuurt je nooit je gelekte wachtwoord toe. Krijg je een mail die dat belooft, of die je vraagt een bijlage te openen, dan is het phishing.

Controleer wel of je echt op de officiële site zit: in de adresbalk hoort haveibeenpwned.com te staan. Typ het adres zelf in en klik niet op links naar een "pwned-check" in mails of advertenties. Hoe je zulke nepberichten herkent, lees je in e-mailbeveiliging tegen phishing, spam en misbruik.

Houd er rekening mee dat HIBP alleen lekken kent die bij de site bekend zijn. Vind je niets, dan is dat goed nieuws, maar geen garantie dat je gegevens nooit ergens zijn uitgelekt. Een uniek wachtwoord per dienst blijft daarom de beste bescherming.

Zo controleer je of je e-mailadres in een datalek zit

1. Ga naar https://haveibeenpwned.com.
2. Typ je e-mailadres in het veld Email address en klik op Check.
3. Zie je Good news, dan staat je adres in geen enkel bekend datalek.
4. Zie je Oh no, dan krijg je een tijdlijn met de lekken waarin je adres voorkomt, de nieuwste bovenaan.
5. Open een lek voor de details. Onder Compromised Data staat welke gegevens zijn uitgelekt, zoals e-mailadressen, wachtwoorden, telefoonnummers of adressen. Onder Recommended Actions geeft HIBP advies voor dat lek.
6. Herhaal de controle voor elk adres dat je gebruikt of gebruikte: je zakelijke adres, je privéadres en oude adressen die je nog ergens als inlog hebt staan.

Onder de lekken staan soms ook Paste Records. Dat zijn plekken waar je adres openlijk in een tekstbestand of lijst is gedeeld, bijvoorbeeld op een plaksite.

Have I Been Pwned en je telefoonnummer

Op Have I Been Pwned zoek je sinds de vernieuwing van mei 2025 niet meer op telefoonnummer. De zoekfunctie voor telefoonnummers was er alleen voor het grote Facebook-lek dat in 2021 werd toegevoegd en is bij die vernieuwing van de website gehaald. Je zoekt nu altijd op e-mailadres.

Wil je weten of je telefoonnummer is gelekt, controleer dan je e-mailadres en kijk bij elk gevonden lek onder Compromised Data. Staat daar Phone numbers, dan zat je telefoonnummer in dat lek. Een voorbeeld is het lek bij Odido van februari 2026: daarin zaten ruim 6 miljoen e-mailadressen, samen met telefoonnummers, adressen, rekeningnummers en nummers van identiteitsbewijzen. Wie in dat lek zit, vindt het via zijn of haar e-mailadres terug.

Is je telefoonnummer gelekt, verwacht dan vaker sms'jes, WhatsApp-berichten en telefoontjes van oplichters die zich voordoen als een bekend bedrijf of als iemand die je kent. Geef nooit een code door die je per sms krijgt en maak geen geld over na zo'n bericht zonder eerst via een bekend nummer na te bellen.

Have I Been Pwned in het Nederlands

De website is alleen in het Engels beschikbaar. Bezoek je de site vanuit Nederland, dan toont HIBP op de pagina van een lek onder Advies voor Nederlanders wel een link naar veiliginternetten.nl. Met deze vertaling lees je de rest:

Liever een Nederlandse controle? De politie heeft Check je hack. Daar controleer je je e-mailadres tegen gegevens die de politie bij onderzoeken in beslag heeft genomen; in maart 2026 kwamen daar de e-mailadressen uit het Odido-lek bij. Je krijgt alleen een mail van de politie als je adres erin staat, dus kijk ook in je map met spam.

Je e-mailadres staat in een datalek: wat nu?

Een vermelding betekent dat je gegevens bij anderen terecht kunnen zijn gekomen. Met deze stappen beperk je de gevolgen en houd je je accounts in eigen hand:

1. Kijk welke gegevens zijn uitgelekt. Dat bepaalt wat je moet doen (zie de tabel hieronder).
2. Wijzig een gelekt wachtwoord. Doe dat bij de dienst van het lek en overal waar je hetzelfde of een bijna gelijk wachtwoord gebruikt. Aanvallers proberen gelekte combinaties van e-mailadres en wachtwoord automatisch uit op andere sites.
3. Gebruik voortaan een uniek wachtwoord per dienst. Een wachtwoordmanager maakt en onthoudt sterke wachtwoorden voor je.
4. Zet tweestapsverificatie aan waar een dienst dat aanbiedt. Wat dat is en hoe het werkt, lees je in tweefactorauthenticatie (2FA) instellen.
5. Wees extra alert op phishing. Criminelen gebruiken gelekte gegevens om hun berichten geloofwaardig te maken, bijvoorbeeld met je naam of je klantnummer erin.
6. Vraag een seintje bij nieuwe lekken aan met Notify Me (zie hieronder).

Stealer logs: als je apparaat besmet is geweest

Sommige gegevens in HIBP komen niet uit een lek bij een bedrijf, maar uit stealer logs. Dat zijn verzamelingen van kwaadaardige software op besmette computers die inloggegevens meeneemt terwijl je ze intypt. Of je adres daarin staat, zie je na het inloggen op het dashboard van HIBP. Staat het erin, scan dan je apparaten met een actuele virusscanner en wijzig je wachtwoorden vanaf een apparaat waarvan je zeker weet dat het schoon is.

Automatisch bericht bij een nieuw datalek

Je hoeft niet elke maand zelf te zoeken. Met Notify Me krijg je gratis een mail zodra je adres in een nieuw lek opduikt:

1. Ga naar haveibeenpwned.com/NotifyMe.
2. Vul je e-mailadres in en klik op Notify Me.
3. Open de mail van noreply@haveibeenpwned.com en klik op de link om je aanmelding te bevestigen.

Je kunt alleen een adres aanmelden waarop je zelf mail ontvangt, want de bevestiging en de meldingen gaan naar dat adres. Via Dashboard log je bij HIBP in met een link per mail of een passkey. Daar zie je ook de afgeschermde gevoelige lekken en de stealer logs met jouw adres. Wil je liever helemaal niet in de openbare zoekresultaten staan, dan kun je je adres via Opt Out laten afschermen.

Je wachtwoord controleren met Pwned Passwords

Op haveibeenpwned.com/Passwords controleer je of een wachtwoord ooit in een datalek is opgedoken. Je wachtwoord verlaat je apparaat daarbij niet: je browser maakt er een SHA-1-hash van en stuurt alleen de eerste vijf tekens daarvan naar HIBP. De site stuurt een lijst met mogelijke overeenkomsten terug en je browser vergelijkt die zelf. Deze methode heet k-anonimiteit.

Zegt de site Oh no, gebruik dat wachtwoord dan nergens meer, ook niet in een aangepaste vorm. Veel wachtwoordmanagers en browsers controleren je opgeslagen wachtwoorden ook op lekken en waarschuwen je zelf als er een tussen zit.

Je mailbox en klantenportaal bij LJPc hosting beveiligen

Staat je zakelijke e-mailadres bij LJPc hosting in een lek, of gebruikte je het wachtwoord van je mailbox ook ergens anders? Dan regel je het meteen zelf in het klantenportaal:

• Nieuw wachtwoord voor je mailbox. Ga naar Diensten, Sites, kies je site en klik in het blok E-mailadressen bij je adres op het sleuteltje (Wachtwoord wijzigen). Vul daarna het nieuwe wachtwoord in op al je apparaten. De stappen staan in e-mail instellen op je telefoon, tablet en computer.
• Nieuw wachtwoord voor het klantenportaal. Klik rechtsboven op je naam, kies Mijn account en open het tabblad Beveiliging. Lees meer in inloggen op het klantenportaal.
• Een tweede stap die altijd aanstaat. Inloggen op het klantenportaal lukt nooit met alleen een wachtwoord: daarna volgt altijd een code per mail of uit je authenticator-app, of je logt in met een passkey. Stel een authenticator-app of passkey in, dan komt ook iemand die in je mailbox kan niet in je portaal. Hoe dat gaat, lees je in tweefactorauthenticatie (2FA) instellen. Krijg je een inlogcode terwijl je zelf niet aan het inloggen bent, wijzig dan direct je wachtwoord en laat het ons weten.
• Controle in de webmail. Log in op LJPc webmail en kijk in de map Verzonden of daar berichten staan die je niet zelf hebt verstuurd.

Twijfel je of iemand anders in je mailbox is geweest, of wil je dat we met je meekijken? Bel 085 130 6429, mail naar support@ljpc.nl of maak een supportticket aan. We zoeken het samen met je uit.