Have I been pwned?

El propio perfil de Pwned_robot describe su función directamente: "Bot de Telegram que te permite comprobar si tu cuenta o contraseña se ha visto comprometida en una filtración de datos." En la práctica eso significa una sola cosa: envías una dirección de email — la tuya — y el bot la compara con conjuntos de datos de filtraciones ya conocidos y publicados, indicándote si ha aparecido en alguno.

Esta es la forma correcta y segura de un "verificador de filtraciones": toma un identificador que ya controlas (una dirección de email) y te da un dato de sí/no sobre registros públicos de filtraciones, la misma categoría de servicio que el conocido sitio haveibeenpwned.com. No es una herramienta para buscar información personal de otra persona, y nunca debería pedirte que escribas una contraseña real como "verificación" — si algún bot de esta categoría llega a hacer eso, detente y trátalo como una señal de alerta, sin importar lo que diga estar comprobando.

Como con cualquier bot de terceros no oficial en el ámbito de la seguridad, no hay forma de auditar de manera independiente qué ocurre con la dirección de email después de enviarla, así que trata el resultado como informativo y no como definitivo, y es mejor cambiar una contraseña de forma proactiva que confiar por completo en un resultado de "no encontrado". Si se confirma una filtración, cambia esa contraseña de inmediato y activa la autenticación en dos pasos donde la cuenta afectada lo permita.