Насколько я помню, у HIBP в API k-anonymity только для паролей, не для логинов. Наверное, потому, что кажется непоследовательным, с одной стороны, доверять сервису в части правдивости информации об утечках, а, с другой стороны, не доверять ему знать имя почтового ящика.