En resumen: Un data breach es una filtración de datos personales —contraseñas, correos electrónicos, números de teléfono— causada por el hackeo o fallo de seguridad de una empresa. La herramienta Have I Been Pwned, creada por el investigador de seguridad Troy Hunt, permite verificar en segundos si tu email aparece en alguna de las más de 14.000 millones de cuentas comprometidas que tiene indexadas en su base de datos.
Millones de contraseñas filtradas cada año y la mayoría no lo sabe. Aquí cómo verificarlo en minutos y qué hacer si tus datos están expuestos.
Qué es un data breach y para qué sirve saberlo
Un data breach es el acceso no autorizado a información personal almacenada por una empresa —contraseñas, emails, datos bancarios o documentos de identidad— ya sea por hackeo externo o error interno. No hace falta que te hayan hackeado a ti directamente: basta con que una plataforma donde tengas cuenta haya sufrido una brecha.
El problema real es el efecto en cadena. Si usas la misma contraseña en varios servicios —algo muy común— y esa contraseña aparece filtrada, cualquier persona con acceso a la base de datos puede entrar en tus otras cuentas. Este ataque se llama credential stuffing y está detrás de la mayoría de accesos no autorizados que no parecen «hackeos» evidentes.
Entender qué es un data breach no es un ejercicio académico: es el primer paso para saber si tus cuentas están en riesgo ahora mismo.
Cómo saber si tus datos fueron filtrados, paso a paso
El método más fiable y gratuito para comprobarlo es Have I Been Pwned, la herramienta creada por el investigador australiano Troy Hunt en 2013. El proceso tarda menos de un minuto.
- Abre haveibeenpwned.com desde cualquier navegador, en móvil o escritorio.
- Escribe tu dirección de correo electrónico en el campo principal y pulsa «pwned?».
- Lee el resultado. Si aparece en verde, no hay registros de tu email en filtraciones conocidas. Si aparece en rojo, verás una lista de las brechas donde figura tu cuenta, con fecha y tipo de datos expuestos.
- Revisa cada brecha individualmente. El sitio detalla si se filtraron contraseñas, teléfonos, datos de pago u otra información. No todas las filtraciones son igual de graves.
- Comprueba también tus contraseñas en la sección «Passwords» del mismo sitio. Puedes introducir una contraseña y saber si está en alguna base de datos conocida de credenciales filtradas, sin que el sistema la almacene.
- Repite el proceso con todos los emails que uses, incluidos los de trabajo. Muchas personas tienen cuentas antiguas que ya no controlan pero que siguen siendo vectores de ataque.
Have I Been Pwned no guarda ni registra las búsquedas que realizas. El sitio usa un método técnico llamado k-anonymity para verificar contraseñas sin enviar la clave completa al servidor. Según la propia plataforma, tiene indexadas más de 14.000 millones de cuentas comprometidas de cientos de filtraciones documentadas.
Errores frecuentes al gestionar una filtración de datos
El error más común es no hacer nada porque «solo» se filtró el email. Un email filtrado, aunque parezca poca cosa, permite a los atacantes lanzar campañas de phishing muy personalizadas: saben qué servicios usas y pueden imitar sus comunicaciones con precisión.
- Cambiar solo la contraseña de la cuenta afectada. Si esa contraseña la usabas en otros servicios, hay que cambiarla en todos. Sin excepción.
- Ignorar filtraciones antiguas. Una brecha de 2019 sigue siendo peligrosa si no cambiaste la contraseña desde entonces. La fecha no la neutraliza.
- No activar la verificación en dos pasos (2FA). Aunque alguien tenga tu contraseña, el segundo factor bloquea el acceso. INCIBE, el Instituto Nacional de Ciberseguridad de España, lo considera la medida de protección más eficaz después de una filtración.
- Reutilizar contraseñas «mejoradas» con variaciones mínimas (ejemplo: pasar de «casa123» a «Casa123!»). Los algoritmos de ataque prueban variaciones automáticamente.
Lo que necesitas saber antes de actuar
Si tus datos aparecen en una filtración, las primeras acciones importan más que la velocidad. Actuar deprisa pero mal puede crear nuevos problemas: por ejemplo, cambiar contraseñas desde una red WiFi pública o sin cerrar sesión en dispositivos ajenos.
Prioriza así: primero el email principal —es la llave maestra de casi todo el resto—, luego banca online, luego redes sociales. Usa un gestor de contraseñas como Bitwarden o 1Password para generar y guardar contraseñas únicas por cuenta.
Sobre tus derechos: el RGPD (Reglamento General de Protección de Datos) obliga a las empresas que operan en la Unión Europea a notificar una brecha de seguridad a la autoridad competente en un plazo máximo de 72 horas desde que la detectan. Si la empresa no te informó y tenías datos registrados en ella, puedes reclamar. En España, el organismo competente es la Agencia Española de Protección de Datos (AEPD), y el proceso de reclamación es gratuito y se hace íntegramente online. El RGPD también reconoce el derecho a solicitar indemnización si la empresa incumplió sus obligaciones de seguridad.
Para el resto de países hispanohablantes fuera de la UE, los marcos legales varían, pero organizaciones como la National Cybersecurity Alliance ofrecen guías adaptadas a distintas jurisdicciones.
- Activa alertas en Have I Been Pwned: el sitio permite suscribirte con tu email y te avisa si aparece en futuras filtraciones.
- Revisa los accesos recientes a tus cuentas principales. Gmail, Outlook y la mayoría de redes sociales muestran el historial de sesiones activas.
- Congela preventivamente tus informes de crédito si se filtraron datos bancarios o documentos de identidad. En España puedes hacerlo contactando con las agencias de crédito como Equifax o Experian.
La ciberseguridad perfecta no existe, pero la diferencia entre quien toma estas medidas y quien no las toma es enorme. Un data breach no es el fin del mundo si actúas antes de que alguien lo aproveche.
Preguntas frecuentes sobre data breach
¿Cómo sé si mis datos han sido filtrados?
Entra en haveibeenpwned.com, escribe tu email y el sistema te dirá en qué filtraciones apareces, con fecha y tipo de datos expuestos. Es gratuito, no guarda tu búsqueda y tiene indexadas más de 14.000 millones de cuentas comprometidas.
¿Qué es un data breach exactamente?
Un data breach es el acceso no autorizado a información personal almacenada por una empresa —contraseñas, emails, datos bancarios o documentos de identidad—, ya sea por hackeo externo o error interno. No necesitas haber sido atacado directamente para estar afectado.
¿Es peligroso que mi email esté en Have I Been Pwned?
Sí puede serlo: si la contraseña filtrada la sigues usando en otros servicios, cualquier persona con esa base de datos puede acceder a tus cuentas. Cambia la contraseña afectada de inmediato y activa la verificación en dos pasos en todos los servicios que lo permitan.
¿Puedo reclamar si mis datos fueron filtrados por culpa de una empresa?
En España y toda la UE, el RGPD te da derecho a reclamar ante la Agencia Española de Protección de Datos (AEPD) e incluso pedir indemnización si la empresa incumplió sus obligaciones de seguridad. El proceso es gratuito y se realiza completamente online. El RGPD exige a las empresas notificar la brecha en un máximo de 72 horas desde que la detectan.
Sigue leyendo
