En resumen: Si tu correo aparece en una filtración de datos, debes cambiar la contraseña afectada de inmediato, activar la autenticación en dos pasos (2FA) y revisar todas las cuentas que usen esa misma clave. Solo en 2024 se filtraron más de 1.500 millones de credenciales en brechas documentadas públicamente. Actuar en las primeras horas marca la diferencia entre un susto y un robo de identidad real.
Millones de datos filtrados cada mes. Si tu email aparece expuesto, tienes una ventana muy corta para actuar y evitar que te roben cuentas o identidad.
Qué es una filtración de datos y por qué tu correo vale dinero
Una filtración de datos es la exposición no autorizada de información personal —emails, contraseñas, teléfonos— almacenada por una empresa que fue hackeada o configuró mal sus sistemas. Tu correo electrónico no es solo una dirección: es la llave maestra de casi todas tus cuentas online.
Cuando una plataforma sufre una brecha, los atacantes no siempre actúan de inmediato. A veces los datos se venden en foros privados durante semanas antes de usarse. Eso significa que tu ventana para reaccionar existe, pero no es infinita.
El sitio Have I Been Pwned, creado por el investigador de seguridad Troy Hunt, indexa brechas conocidas y permite comprobar si tu email aparece en alguna. A fecha de consulta, la base de datos supera los 12.000 millones de registros comprometidos, según los propios datos del servicio. Es gratuito y tarda segundos.
Cómo actuar si tu correo está filtrado: paso a paso
El primer paso —siempre— es confirmar qué cuentas están afectadas antes de tocar nada más. Actuar sin información es tan peligroso como no actuar.
- Comprueba tu exposición en Have I Been Pwned. Ve a haveibeenpwned.com, escribe tu email y revisa qué servicios específicos aparecen comprometidos. El resultado te dice la fecha de la brecha y qué tipo de datos quedaron expuestos.
- Cambia la contraseña del servicio afectado de inmediato. Entra directamente desde la URL oficial del servicio —nunca desde un enlace en un email— y actualiza la clave. Usa una contraseña nueva, larga y única: mínimo 14 caracteres con combinación de letras, números y símbolos.
- Identifica todos los sitios donde usas esa misma contraseña. Este es el paso que más gente salta y el que más daño causa. Si reutilizas claves, un atacante que tenga una tiene todas. Google Password Manager tiene una función de diagnóstico que detecta contraseñas repetidas en tu cuenta de Google de forma automática.
- Activa el 2FA en la cuenta afectada y en las cuentas críticas. Ve a los ajustes de seguridad de cada servicio y busca «autenticación en dos pasos» o «verificación en dos pasos». Apps como Google Authenticator o Authy generan un código temporal cada 30 segundos en tu móvil. Con 2FA activo, una contraseña filtrada sola no basta para entrar.
- Revisa la actividad reciente de tu cuenta. La mayoría de servicios —Gmail, Outlook, Instagram, Apple ID— muestran desde qué dispositivos y lugares se ha accedido. Si ves un acceso que no reconoces, cierra todas las sesiones activas desde los ajustes de seguridad.
- Activa alertas de brecha en Have I Been Pwned. El servicio permite suscribir tu email para recibir una notificación automática si aparece en futuras filtraciones. Es el sistema de alerta temprana más usado a nivel global para usuarios individuales.
Errores frecuentes cuando te avisan de una filtración
El error más común es pensar que si la filtración ocurrió hace meses, ya no hay riesgo. Los datos robados se venden y revenden. Una brecha de 2023 puede usarse por primera vez en 2026.
- Hacer clic en emails de «aviso de seguridad». Los atacantes envían correos falsos simulando ser el servicio afectado justo cuando hay noticias de una brecha. Nunca entres a cambiar tu contraseña desde un enlace de email; escribe la URL directamente en el navegador.
- Cambiar solo la contraseña del servicio filtrado. Si usas la misma clave en tres sitios, tienes que cambiarla en los tres. Cambiarla solo en uno deja las otras puertas abiertas.
- Elegir el SMS como método 2FA. El SMS es mejor que nada, pero puede ser interceptado mediante ataques de SIM swapping. Si tienes opción, usa una app autenticadora en lugar del SMS.
- Ignorar cuentas «viejas». Esa cuenta de un foro de videojuegos que creaste en 2015 puede tener la misma contraseña que tu banco. Los atacantes lo saben y lo explotan.
Lo que necesitas saber antes de empezar
No necesitas ser experto en tecnología para protegerte; necesitas actuar antes de que lo hagan ellos. La mayoría de robos de cuentas no son ataques sofisticados: son consecuencia directa de contraseñas reutilizadas y 2FA desactivado.
El ataque más usado tras una filtración se llama credential stuffing: sistemas automatizados prueban el usuario y contraseña filtrados en cientos de servicios en minutos. Según datos del sector publicados por empresas de ciberseguridad como Cloudflare, este tipo de ataque representa una parte significativa del tráfico malicioso global en plataformas de acceso.
Un gestor de contraseñas resuelve el 80% del problema estructural. Herramientas como Bitwarden —de código abierto y gratuito— o 1Password generan y guardan contraseñas únicas por cada servicio. No tienes que memorizarlas: solo necesitas recordar una contraseña maestra robusta.
Nuestra postura es clara: la reutilización de contraseñas es la vulnerabilidad más evitable y más ignorada de la seguridad digital cotidiana. Las empresas tienen parte de responsabilidad cuando son hackeadas, pero la consecuencia de ese hackeo depende casi siempre de lo que tú hagas —o no hayas hecho— antes.
- Usa un gestor de contraseñas: Bitwarden (gratuito), 1Password o el integrado en tu sistema operativo.
- Activa 2FA con app autenticadora, no con SMS, en: correo, banco, redes sociales y cualquier servicio con tus datos de pago.
- Revisa tus emails en Have I Been Pwned al menos cada seis meses.
- Si tienes emails viejos o alias que ya no usas, compruébalos también: pueden tener cuentas activas que no recuerdas.
Preguntas frecuentes sobre qué hacer si tu correo aparece en una filtración de datos
¿Cómo saber si mi correo está en una filtración de datos?
Entra a haveibeenpwned.com, escribe tu email y el sitio te muestra al instante si aparece en alguna brecha conocida. Es gratuito, no requiere registro y cubre más de 12.000 millones de cuentas comprometidas registradas, según los propios datos del servicio creado por Troy Hunt.
¿Qué pasa si mi contraseña está filtrada pero no la cambio?
Los ciberdelincuentes usan ataques de credential stuffing: prueban tu usuario y contraseña filtrados en decenas de servicios de forma automática. Si reutilizas contraseñas, pueden entrar a tu banco, correo o redes en minutos, sin que recibas ningún aviso previo.
¿Qué es el 2FA y cómo se activa?
El 2FA (autenticación en dos pasos) es una capa extra de seguridad que exige un código temporal además de tu contraseña. Se activa en los ajustes de seguridad de cada cuenta; apps como Google Authenticator o Authy generan ese código directamente en tu móvil, sin depender de una conexión a internet.
¿Qué hago si ya me robaron la cuenta después de una filtración?
Usa la opción de recuperación oficial del servicio —email alternativo o número de teléfono— de inmediato y avisa a tus contactos para que ignoren mensajes sospechosos enviados desde tu cuenta. Si hay datos bancarios comprometidos, llama a tu banco ese mismo día: la mayoría tienen líneas de atención para fraude disponibles las 24 horas.
Sigue leyendo
