Contraseña o email filtrados: cómo saberlo y qué hacer ya

Si te ha llegado un correo raro, una notificación de "inicio de sesión desde nuevo dispositivo" que no reconoces o simplemente quieres comprobarlo antes de que pase algo, hay una forma rápida de saberlo: consultar tu email en un servicio de verificación de filtraciones y revisar si tu contraseña aparece en bases de datos robadas. Se hace en cinco minutos y no cuesta nada.

Qué significa que tu email o contraseña estén "filtrados"

Una filtración de datos (data breach) ocurre cuando una empresa, tienda online o plataforma sufre un ataque y los ciberdelincuentes se llevan su base de usuarios: emails, contraseñas (a veces cifradas, a veces en texto plano), teléfonos, direcciones o datos de tarjeta. Esa información acaba circulando en foros de la dark web o se vende en paquetes llamados "combolists".

No significa que alguien te haya atacado a ti en concreto. Significa que tus datos estaban en un servicio que sufrió una brecha de seguridad, y ahora forman parte de un archivo que cualquiera puede intentar usar contra ti. Empresas como LinkedIn, Adobe, Dropbox, Canva, Twitter/X o incluso operadoras españolas han sufrido filtraciones masivas en los últimos años, y buena parte de esos datos sigue circulando.

El riesgo real no es que "sepan tu email", sino que reutilicen esa contraseña filtrada en otros servicios donde la tengas repetida. Es lo que se llama credential stuffing: prueban automáticamente el mismo par email-contraseña en Amazon, tu banco, tu correo o Bizum, esperando que hayas reciclado la clave.

A quién afecta esto

A prácticamente cualquiera que lleve más de cinco años usando internet. Si te has registrado en foros, tiendas, apps de citas, servicios de streaming o webs de descuentos, es muy probable que tu email aparezca en al menos una filtración. Esto afecta especialmente a:

• Personas que reutilizan la misma contraseña en varias cuentas (banco, correo, redes sociales).
• Usuarios que llevan el mismo email desde hace años sin revisarlo nunca.
• Familiares mayores que no saben distinguir un aviso legítimo de un intento de phishing que se aprovecha del miedo a estar "hackeado".
• Autónomos y pequeños negocios que usan el correo personal también para facturación y banca online.

Cómo comprobar si tu email está filtrado, paso a paso

1. Entra en Have I Been Pwned (haveibeenpwned.com). Es el servicio de referencia mundial, gratuito, gestionado por un investigador de seguridad independiente y usado también por cuerpos policiales. Escribe tu email y pulsa "pwned?". Te dirá en qué filtraciones concretas apareces y de qué año son.

2. Revisa el gestor de contraseñas de tu navegador o móvil. Google Password Manager, Apple Keychain y gestores como Bitwarden o 1Password tienen una función de "comprobación de seguridad" que avisa si alguna contraseña guardada coincide con una filtrada. Suele estar en Ajustes > Contraseñas > Comprobación de seguridad.

3. Consulta el apartado de seguridad de INCIBE. La Oficina de Seguridad del Internauta (osi.es), dependiente de INCIBE, publica avisos sobre filtraciones que afectan a España y ofrece un teléfono gratuito, el 017, para consultas personalizadas.

4. Si usas Gmail, revisa el Chequeo de Seguridad de Google (myaccount.google.com), que incluye un apartado específico de "contraseñas comprometidas".

5. Comprueba también el dominio de tu empresa si tienes autónomos o negocio propio, porque HIBP permite verificar dominios completos, no solo direcciones sueltas.

Ninguno de estos pasos requiere introducir tu contraseña actual en ningún sitio que no sea el propio servicio (banco, correo, etc.). Si una web te pide "verifica tu contraseña aquí para comprobar si está filtrada", es phishing: bórrala.

Tabla comparativa: dónde comprobar una filtración

Qué hacer si descubres que estás filtrado

Marta, autónoma en Valencia, factura 2.300 € al mes y usa el mismo email para su banco, su gestoría online y su cuenta de Instagram de trabajo. Al comprobarlo en Have I Been Pwned descubre que su email aparece en tres filtraciones: una de 2019 (una web de cupones que cerró), otra de 2021 (una plataforma de streaming) y una de 2023 con contraseña incluida en texto claro. Reconoce esa contraseña: es la que sigue usando en su correo principal.

Esto es lo que debería hacer, en orden:

1. Cambiar de inmediato la contraseña filtrada en todos los sitios donde la use, empezando por correo electrónico y banca online, no por la web donde ocurrió la filtración original.
2. Activar verificación en dos pasos (2FA) en correo, banco, Bizum y redes sociales. Aunque roben la contraseña, sin el segundo factor no pueden entrar.
3. Usar contraseñas distintas y largas por servicio, con ayuda de un gestor de contraseñas, en vez de intentar recordarlas todas.
4. Revisar movimientos bancarios de los últimos 90 días por si ya ha habido cargos no autorizados que no había detectado.
5. Comprobar si su email se usa para "recuperar contraseña" en otras cuentas, porque si el atacante controla el correo, puede resetear el resto de servicios.
6. No hacer clic en ningún correo que diga "hemos detectado que tu cuenta está en peligro, verifica aquí" salvo que lo haya comprobado ella misma en el servicio oficial.

Cuánto cuesta protegerte

La comprobación en sí es gratuita en todos los casos anteriores. El coste real está en las herramientas de protección continua:

• Gestor de contraseñas de pago: entre 1 y 3 €/mes por usuario (Bitwarden, 1Password, Dashlane).
• Monitorización continua de identidad (algunos bancos y aseguradoras la ofrecen incluida): variable, desde gratis con ciertas tarjetas hasta 5-10 €/mes en paquetes premium.
• Antivirus con protección de identidad: entre 30 y 60 €/año según proveedor.

No hace falta pagar nada para hacer lo esencial: comprobar el email, cambiar contraseñas y activar 2FA es gratis siempre.

Qué pasa si no haces nada

Si tu email y contraseña llevan tiempo filtrados y sigues usando la misma clave en varios sitios, el riesgo no es hipotético: los bots de credential stuffing prueban millones de combinaciones al día contra bancos, Amazon, Bizum y correos. Si consiguen entrar en tu correo, pueden:

• Solicitar restablecimiento de contraseña en tu banco, Bizum o Netflix, porque controlan el email de recuperación.
• Acceder a facturas, contratos o datos fiscales guardados en tu bandeja de entrada, útiles para suplantar tu identidad.
• Usar tu cuenta de correo para lanzar phishing a tus contactos, haciéndose pasar por ti.

Si ya te han vaciado la cuenta o ves cargos no autorizados, el plazo para reclamar al banco es limitado: según el marco de servicios de pago aplicable en España, dispones de un margen de hasta 13 meses desde el cargo para reclamar, pero cuanto antes lo hagas, más fácil es que el banco lo revierta y menos margen de maniobra tiene quien haya accedido a tu cuenta.

Errores habituales

• Pensar que "no tengo nada que robar" y no comprobarlo nunca. El objetivo no es tu dinero directamente, es usar tu identidad o tu email para atacar a otros.
• Cambiar la contraseña filtrada pero dejarla igual en el resto de cuentas. Si la reutilizabas, sigue expuesta en todas partes.
• Usar contraseñas "parecidas" en vez de distintas (Contraseña2024, Contraseña2025...). Los sistemas de credential stuffing prueban variaciones automáticamente.
• Responder a correos que avisan de una filtración pidiendo que "verifiques tu cuenta" con un enlace. Es la estafa más habitual que se monta encima de este miedo: nunca hagas clic, entra directamente escribiendo tú la web oficial.
• No activar 2FA porque "da pereza". Es la medida individual más eficaz contra el uso de credenciales filtradas.

Cuándo conviene ayuda profesional o de un organismo

Si detectas que ya ha habido acceso real a tu cuenta (movimientos que no reconoces, sesiones abiertas en dispositivos desconocidos, contactos que reciben mensajes tuyos que no enviaste), no basta con cambiar la contraseña. En ese punto:

• Llama al 017 de INCIBE, gratuito y confidencial, para que te guíen paso a paso.
• Si hay cargos bancarios no autorizados, reclama por escrito a tu banco y guarda el justificante de la reclamación.
• Si sospechas suplantación de identidad (préstamos o cuentas abiertas a tu nombre), pon denuncia en Policía Nacional o Guardia Civil.
• Para negocios y autónomos con varios empleados o dominios corporativos, puede compensar contratar una auditoría de seguridad básica, sobre todo si se maneja información de clientes.

Nuestra recomendación

Dedica diez minutos hoy mismo a comprobar tu email en Have I Been Pwned y a activar la verificación en dos pasos en tu correo y tu banco, aunque no veas nada raro. La mayoría de la gente solo reacciona cuando ya ha pasado algo, y para entonces el margen de maniobra es mucho más estrecho. Es la medida de ciberseguridad con mejor relación entre esfuerzo y protección que existe ahora mismo, y no depende de que "te vuelvan a atacar": depende de que dejes de darles la llave repetida a la puerta de todas tus cuentas.