Imagina que una tarde entre semana te llega un mensaje de una web de entradas que usaste por última vez hace tres años. El asunto dice «Importante: tus datos pueden haber quedado expuestos». Apenas recuerdas esa cuenta, no sabes qué contraseña le diste, y el mensaje trae un botón enorme que dice «Proteger mi cuenta». La próxima hora importa más que el resto de la semana, y lo primero que debes hacer en ella es no tocar ese botón.
En resumen: confirma el aviso entrando tú mismo en la web de la empresa, averigua qué tipos de datos se llevaron, protege tu buzón principal antes que nada, cambia después la contraseña filtrada en todos los sitios donde la usaste y activa la autenticación en dos pasos o una clave de acceso (passkey). Una filtración de datos de correo significa que una empresa que tenía tu dirección perdió el control de ella, normalmente junto con otros datos. No puedes deshacer la filtración. Lo que sí puedes es conseguir que se quede en una molestia y no acabe en una cuenta robada.
La primera hora, por orden
El orden de abajo parte de una idea: tu buzón puede restablecer casi todas las demás contraseñas que tienes, así que se protege antes que la cuenta que realmente sufrió la filtración. Los tiempos son aproximados. Si las contraseñas no formaban parte de la filtración, puedes saltarte los pasos 4 y 5 y terminar en un cuarto de hora.
- No uses nada del mensaje (primeros 2 minutos). Ni enlaces, ni archivos adjuntos, ni números de teléfono del aviso. Los avisos de filtración falsos son un seguimiento habitual de las filtraciones reales, y uno auténtico no pierde nada porque ignores su botón.
- Confírmalo por tu cuenta (los 5 minutos siguientes). Escribe la dirección de la empresa en el navegador o usa un marcador antiguo, y busca un aviso de seguridad o un banner. Busca el nombre de la empresa junto a la palabra «filtración» y comprueba si algún medio fiable o la propia empresa lo cuenta.
- Lee qué se llevaron (los 5 minutos siguientes). El aviso, el comunicado de la empresa o un servicio de consulta te indicarán los tipos de datos. Las contraseñas, los datos de tarjeta y los documentos de identidad llevan cada uno a trabajos distintos, y la tabla más abajo los resume.
- Protege tu buzón principal (los 15 minutos siguientes). Ponle una contraseña larga que no uses en ningún otro sitio, cierra las demás sesiones, activa la autenticación en dos pasos o una clave de acceso, y revisa las reglas de reenvío y los datos de recuperación. Los pasos para Gmail, Outlook e iCloud aparecen en la sección sobre el buzón.
- Ocúpate de la contraseña filtrada (los 20 minutos siguientes). Cámbiala en el sitio afectado, a través de su propia página de inicio de sesión. Después piensa en qué otros sitios usaste esa contraseña o una parecida, y cámbiala también, empezando por el banco, tu operador móvil, el almacenamiento en la nube y cualquier tienda que guarde una tarjeta.
- Apunta lo que hiciste (últimos 5 minutos). Anota la empresa, la fecha, los datos implicados y las contraseñas que cambiaste. Si dentro de tres meses pasa algo raro, esa nota te dirá si hay relación.
Si te quedas sin tiempo o sin energía, para después del paso 4. Un buzón protegido te deja abiertas la mayoría de las opciones, porque a un atacante que no puede leer tu correo le cuesta mucho más restablecer cualquier otra cosa.
¿Es real el aviso?
Las empresas sí envían estos mensajes y, en muchos lugares, están obligadas a hacerlo. Según el artículo 34 del GDPR de la UE, una organización debe avisar a las personas afectadas sin dilación indebida cuando es probable que la filtración suponga un alto riesgo para ellas, y cada estado de EE. UU. tiene su propia ley de notificación de filtraciones con sus propios supuestos. Las normas varían, por eso puede que una empresa te escriba a los pocos días, otra meses después y otra nunca. Nuestro resumen sobre las leyes de privacidad del correo trata el aspecto legal con más detalle.
Los delincuentes saben que la gente espera estos mensajes. Este es un ejemplo inventado del tipo de aviso falso que debes vigilar:
Ejemplo de aviso falso (inventado, solo para ilustrar):
Asunto: URGENTE incidente de seguridad en tu cuenta
Estimado cliente, tu contraseña quedó expuesta en un incidente reciente. Tu cuenta se cerrará en 12 horas a menos que confirmes tu contraseña actual y el número de tu tarjeta con el botón seguro de abajo.
Tres cosas delatan este mensaje. Fija un plazo medido en horas, pide tu contraseña actual y exige un número de tarjeta, algo que ningún proceso legítimo de restablecimiento necesita. Un aviso real explica lo que ocurrió y te dice que cambies la contraseña en la web. Nuestra guía para detectar correos de phishing repasa muchas más señales, pero estas comparaciones cubren las propias de las filtraciones.
| Qué mirar | Un aviso genuino suele | Un aviso falso suele |
|---|---|---|
| Instrucciones | Sugerir que cambies la contraseña en la web, o decir que se ha forzado un restablecimiento | Empujarte con un botón a una página de inicio de sesión |
| Detalles | Nombrar el incidente, las fechas aproximadas y los tipos de datos | Ser vago sobre lo ocurrido |
| Peticiones | No pedir nada delicado por correo | Pedir una contraseña, un número de tarjeta o un código enviado a tu teléfono |
| Archivos adjuntos | Rara vez incluir alguno | Incluir un «informe» en ZIP, un documento con macros o un archivo como report.pdf.exe |
| Rastro público | Coincidir con un comunicado en la web de la empresa | No tener ningún rastro público |
| Ofertas | Ofrecer quizá un servicio de vigilancia de identidad con un proveedor concreto, con un código para usar en la web de ese proveedor | Exigir una tarifa o pedir datos bancarios para pagarte una indemnización |
Un mensaje también puede pasar todos los controles técnicos y seguir siendo indeseado. En Gmail, el menú de tres puntos tiene Mostrar original, que muestra los resultados de SPF, DKIM y DMARC. Un dmarc=fail en un mensaje que dice venir de una gran empresa es una advertencia seria. Un resultado correcto solo indica que el correo procede del dominio que aparece, y ese dominio podría ser uno parecido registrado la semana pasada.
A veces los avisos llegan de un nombre que no reconoces, porque el incidente ocurrió en un proveedor: un servicio de atención al cliente, una plataforma de marketing o un procesador de pagos que trabaja para una empresa que sí conoces. En ese caso, busca la confirmación en la empresa que conoces. Si no encuentras nada, puedes escribir a su equipo de soporte desde su propia página de contacto y preguntar.
Lee la lista de datos: ella marca tu carga de trabajo
La dirección de correo casi nunca va sola. Que esto te lleve diez minutos o una tarde entera depende de lo que había junto a ella en la tabla robada. Supón que la web de entradas de nuestro ejemplo informa de «nombres, direcciones de correo y contraseñas con hash». Eso te sitúa en la tercera fila de abajo, con parte del trabajo de la segunda.
| Filtrado junto con tu dirección | Qué puede hacer alguien con ello | Qué hacer |
|---|---|---|
| Nada más | Enviar spam y phishing dirigido, relacionar tus datos entre filtraciones, probar si repites contraseñas en otros sitios | Desconfiar de los mensajes que mencionen ese servicio; plantearte pasar la cuenta a otra dirección |
| Contraseña en texto plano | Entrar enseguida en ese sitio y probar la misma pareja en otros | Cambiarla hoy en todos los sitios donde se usó |
| Contraseña con hash | Intentar descifrarla sin conexión; las débiles y comunes caen primero | Tratarla como si fuera texto plano |
| Nombre, número de teléfono, domicilio | Redactar mensajes convincentes, hacer llamadas fraudulentas, intentar un SIM swap | Añadir un PIN o bloqueo de portabilidad con tu operador; tener cuidado con llamadas y mensajes inesperados |
| Fecha de nacimiento, respuestas de seguridad | Abusar de la recuperación de cuentas, superar controles de identidad débiles | Sustituir las respuestas de seguridad por otras aleatorias guardadas en un gestor de contraseñas |
| Datos parciales de tarjeta | Dar credibilidad a las estafas («vemos tu tarjeta terminada en 1234») | Vigilar los extractos; quien llama y conoce esos dígitos no ha demostrado nada |
| Número completo de tarjeta | Intentar compras fraudulentas | Llamar a tu emisor al número que figura en la tarjeta y pedir una sustitución |
| Números de documentos oficiales | Intentar un fraude de identidad | Seguir las indicaciones de la autoridad de tu país; consulta la sección sobre datos de identidad más abajo |
| Dirección IP, datos del dispositivo | Estimar tu ubicación aproximada, adaptar una estafa | Poco que hacer directamente |
| Mensajes o archivos privados | Extorsionar o avergonzar, exponer datos de otras personas | Averiguar qué contenían y a quién más afecta; denunciar la extorsión a la policía |
Una palabra sobre «hash», porque las empresas lo usan para tranquilizar. Un hash es una mezcla irreversible de tu contraseña, y la protección que ofrece depende del método. Los algoritmos lentos y con sal, como bcrypt o Argon2, encarecen mucho las pruebas, de modo que una contraseña larga y aleatoria guardada así puede que nunca se recupere. Los hashes rápidos, como MD5 o SHA-1 sin sal, se pueden atacar a una velocidad enorme, y las contraseñas cortas o comunes caen rápido con cualquier método. Un aviso rara vez dice lo suficiente para juzgarlo, así que cambia la contraseña de todos modos.
Lo que puede hacer una dirección filtrada por sí sola
«Solo se vio afectada tu dirección de correo» suena a buena noticia y, comparado con una filtración de contraseñas, lo es. Una dirección no es un secreto, y nadie entra en tu cuenta solo con ella. Aun así, cambia tu situación de varias maneras que conviene entender.
Una dirección de un servicio real se sabe que pertenece a alguien que se registra en cosas, lo que la hace valer más para los spammers que una adivinada. Las listas se fusionan y se revenden, así que un aumento del spam puede empezar meses después del incidente y no tener una conexión evidente con él.
La filtración también dice a los delincuentes dónde tienes una cuenta. Un mensaje genérico de «problema con tu pedido» es fácil de descartar. Uno que nombra la tienda que de verdad usas, te saluda con el nombre de la misma filtración y llega mientras la tienda sale en las noticias es mucho más difícil de detectar. Esta es la principal razón práctica para mantenerte alerta durante varias semanas después de un aviso.
Tu dirección también funciona como clave de unión. Supón que una filtración la vincula a un nombre de usuario de videojuegos, otra a un número de teléfono y una tercera a una ciudad de residencia. Quien tenga las tres puede alinearlas por la dirección compartida y construir un perfil que nadie entregó nunca de una sola vez. Usar la misma dirección en todas partes es lo que lo hace posible, y también es lo que puedes cambiar.
Y una dirección es la mitad de la mayoría de los inicios de sesión, lo que nos lleva al ataque que encarece las filtraciones.
Cómo una filtración se convierte en muchas
La empresa afectada a menudo no es donde ocurre el daño. El credential stuffing es la prueba automatizada de parejas de correo y contraseña filtradas en otros servicios. Las parejas de muchas filtraciones se recopilan en grandes «combo lists», y las herramientas las prueban contra proveedores de correo, tiendas, servicios de streaming, plataformas de juegos y almacenamiento en la nube. La mayoría de los intentos fallan. Los suficientes funcionan para que compense, porque un acierto sirve para comprar con una tarjeta guardada, vaciar puntos de fidelidad, enviar spam desde una cuenta de confianza o iniciar restablecimientos de contraseña en servicios vinculados.
Todo esto depende de la reutilización. Por ejemplo, piensa en alguien que usó Harbour2019! en la web de entradas, en una tienda y en su correo. La filtración de las entradas expone una contraseña y tres cuentas. Si cada sitio hubiera tenido su propia contraseña aleatoria, la misma filtración habría expuesto una cuenta que la persona apenas usa. Los cambios pequeños no ayudan mucho, porque las herramientas de los atacantes prueban las variaciones obvias: cambiar el año, añadir un dígito, cambiar el signo de exclamación.
El password spraying es la imagen especular. En lugar de probar una contraseña conocida por persona, el atacante prueba unas pocas contraseñas muy comunes contra una larga lista de direcciones válidas. No hacía falta que tu contraseña se filtrara para que funcione. Solo hacía falta que fuera común, y la filtración puso la dirección.
Hay otra fuente de contraseñas robadas que merece mención porque cambia el consejo. Un malware conocido como infostealer copia las contraseñas guardadas y las cookies de sesión directamente de un dispositivo infectado, y esos registros robados circulan igual que los datos de filtraciones. Si una contraseña que nunca repetiste aparece como expuesta, o te toman una cuenta pese a tener una contraseña fuerte y sin filtración conocida, la fuente puede ser tu dispositivo. Analízalo con un software de seguridad de confianza y haz los cambios de contraseña desde un dispositivo limpio, porque cambiar una contraseña en un ordenador infectado puede entregar también la nueva.
Cómo comprobar tu propia exposición
Un aviso te habla de una sola empresa. Para ver el panorama completo, usa más de una fuente, ya que ninguna base de datos cubre todos los incidentes.
Have I Been Pwned (haveibeenpwned.com), creado por el investigador de seguridad Troy Hunt, es la consulta más conocida. Introduces una dirección y te lista las filtraciones conocidas que la contienen, con fechas y tipos de datos. Su función de notificaciones te envía un correo cuando tu dirección aparece en una filtración recién cargada, algo que merece la pena configurar una vez y olvidarse. Algunas filtraciones consideradas delicadas se ocultan de la búsqueda pública y solo se muestran después de demostrar que la dirección es tuya. Mozilla Monitor ofrece una consulta y alertas similares con los datos de Have I Been Pwned, y necesita una cuenta de Mozilla para las alertas continuas.
Un resultado vacío no significa que estés a salvo. Muchas filtraciones nunca se descubren o nunca llegan a estos servicios. Una lista larga tampoco significa que tengas problemas, ya que las entradas antiguas suelen implicar contraseñas que cambiaste hace tiempo. Mira las fechas y los tipos de datos, y actúa sobre todo lo que aún pueda estar en uso.
Las consultas de correo solo necesitan tu dirección. Las contraseñas requieren más cuidado. Google Password Manager tiene la Comprobación de contraseñas, la app Contraseñas de los dispositivos Apple tiene una sección de Seguridad que señala las contraseñas comprometidas y repetidas, y los gestores de terceros tienen informes parecidos, como Watchtower en 1Password y el informe de contraseñas expuestas en Bitwarden. Estos se ejecutan contra tu lista guardada, que además es la forma más rápida de encontrar dónde se repitió una contraseña.
La función Pwned Passwords muestra cómo una comprobación puede evitar revelar la contraseña. Tu dispositivo calcula un hash SHA-1 de la contraseña y envía solo los cinco primeros caracteres. El servicio devuelve todos los hashes filtrados que empiezan por esos caracteres, y tu dispositivo compara el resto localmente. El servicio nunca recibe la contraseña ni siquiera su hash completo, un método llamado k-anonimato.
Nunca escribas una contraseña en una web cualquiera que se ofrezca a decirte si ha sido hackeada. Las herramientas integradas en tu gestor de contraseñas o en tu navegador están bien. Una página de comprobación a la que llegaste desde un correo o un anuncio podría estar simplemente recogiendo contraseñas.
También puedes aprender mucho de tu propio correo. Busca en tu buzón «bienvenido», «verifica tu correo», «confirma tu cuenta» y «tu contraseña ha sido cambiada». Lo que aparezca es una lista aproximada de los servicios que tienen tu dirección, algunos de los cuales habrás olvidado. Esa lista será útil en la sección de limpieza de más abajo.
Una auditoría completa del buzón
Cambiar la contraseña no basta si alguien ya ha estado dentro. Quien entra en un buzón suele dejar preparado algo que sobrevive al cambio de contraseña, así que busca estas cuatro cosas: sesiones abiertas, reenvíos, filtros y datos de recuperación. Los nombres de los menús cambian con el tiempo, pero las rutas siguientes deberían acercarte.
Gmail y las cuentas de Google
En Gmail en la web, ve al icono del engranaje y luego a Ver todos los ajustes. En Reenvío y correo POP/IMAP comprueba si hay alguna dirección de reenvío que no añadiste, y en Filtros y direcciones bloqueadas busca reglas que eliminen o reenvíen correo. En la parte inferior derecha de la bandeja de entrada, el enlace Detalles bajo la última actividad de la cuenta muestra los accesos recientes. En tu cuenta de Google, la página de Seguridad lista tus dispositivos, la actividad de seguridad reciente, el teléfono y el correo de recuperación y las conexiones de terceros. Cierra la sesión en cualquier dispositivo y quita cualquier app que no reconozcas.
Outlook.com y las cuentas de Microsoft
En Outlook en la web, abre Configuración y luego Correo. Revisa Reenvío y Reglas. En tu cuenta de Microsoft, ve a Seguridad para revisar la actividad de inicio de sesión y comprueba qué métodos de verificación y apps están conectados.
Apple y iCloud Mail
En un iPhone, abre Ajustes, toca tu nombre y luego Inicio de sesión y seguridad para revisar tus números de teléfono de confianza y las opciones de recuperación. La lista de dispositivos más abajo muestra todo lo que ha iniciado sesión en tu cuenta de Apple. Las reglas y el reenvío de iCloud Mail se pueden revisar desde los ajustes de Mail en iCloud.com.
Qué aspecto tiene un buzón manipulado
Una dirección de reenvío que no añadiste es la señal más clara, ya que envía en silencio copias de tu correo, incluidos los restablecimientos de contraseña, a otra persona. Justo detrás va un filtro que manda a la papelera o al archivo los mensajes con palabras como «seguridad», «contraseña» o el nombre de tu banco. Mensajes enviados que no reconoces, un teléfono de recuperación desconocido o una app conectada que nunca aprobaste apuntan en la misma dirección.
Si encuentras alguna de estas cosas, trata el buzón como comprometido. Elimina el elemento, cambia de nuevo la contraseña desde un dispositivo de confianza, cierra todas las sesiones y luego revisa el propio correo. Busca mensajes de restablecimiento de contraseña que no solicitaste, porque muestran qué otras cuentas fueron objetivo. El proceso de recuperación de cuenta de tu proveedor es el camino correcto si te han dejado fuera, y debes llegar a él a través de las páginas de ayuda del propio proveedor. Los resultados de búsqueda de «número de soporte de correo» son un terreno conocido de caza para los estafadores.
Elegir un segundo factor
La autenticación en dos pasos detiene la mayor parte del credential stuffing, porque la contraseña filtrada por sí sola ya no deja entrar a nadie. Sin embargo, los métodos difieren mucho, y después de una filtración tiene sentido subir tus cuentas importantes en esta tabla donde puedas.
| Método | Cómo resiste | Dónde falla |
|---|---|---|
| Códigos por SMS | Mucho mejor que una contraseña sola | SIM swaps; los códigos se pueden escribir en un sitio falso y reenviarse |
| Códigos enviados por correo | Débil en tus cuentas más importantes | Inútil si el propio buzón está comprometido, y sin sentido en el inicio de sesión del propio buzón |
| App de autenticación (TOTP) | Buena, y no depende de tu número de teléfono | Los códigos aún pueden sufrir phishing en una página de inicio de sesión falsa convincente; guarda copias de seguridad para cuando cambies de teléfono |
| Aprobación por notificación push | Buena cuando te pide que hagas coincidir un número | Sin coincidencia de número, los avisos repetidos pueden cansar a una persona hasta que pulsa Aprobar |
| Clave de acceso (passkey) o llave de seguridad física | La opción más fuerte para la mayoría de la gente | Requiere algo de configuración y una segunda llave o un dispositivo sincronizado como respaldo; no se ofrece en todas partes |
Las claves de acceso merecen más atención en este contexto. Una clave de acceso es una credencial basada en criptografía de clave pública y ligada al dominio de un único sitio web. El sitio guarda solo la mitad pública, así que una tabla de usuarios robada no contiene nada con lo que iniciar sesión como tú. Un sitio de phishing parecido tampoco obtiene nada, porque tu dispositivo no ofrecerá la credencial a un dominio equivocado. Si tu proveedor de correo y tu banco admiten claves de acceso, un aviso de filtración es un buen momento para configurar una. Uses el método que uses, guarda los códigos de recuperación cuando se ofrezcan, en tu gestor de contraseñas o en papel en un lugar seguro de casa.
Cuando hay datos de pago o de identidad
Una filtración simple de correo y contraseña no exige nada de esto. Si la lista incluye números completos de tarjeta, datos bancarios o números de documentos oficiales, los siguientes pasos dependen de dónde vivas y de lo que ofrezca la empresa.
Para las tarjetas, llama al emisor al número impreso en la tarjeta y pregunta si debe sustituirse. Revisa los extractos recientes en busca de pequeños cargos de prueba, que a menudo van antes de otros mayores. Si la empresa ofrece vigilancia de identidad gratuita, puedes acceder a ella desde la web oficial de la empresa, y debes saber que esa vigilancia solo avisa de los problemas cuando ya han empezado.
En Estados Unidos, el congelamiento de crédito es la herramienta gratuita más fuerte. La ley federal hace gratuito congelar y descongelar tu expediente en cada una de las tres agencias nacionales (Equifax, Experian y TransUnion), y un congelamiento generalmente impide que se abra crédito nuevo a tu nombre hasta que lo levantes. Debes contactar con cada agencia por separado. Una alerta de fraude es una opción más ligera que pide a los prestamistas verificar tu identidad, dura un año, y colocarla en una sola agencia la transmite a las demás. Si se ha hecho mal uso de tu identidad, el sitio IdentityTheft.gov de la FTC genera un plan de recuperación y un informe que puedes usar con bancos y agencias.
En otros lugares, las opciones son distintas. En el Reino Unido puedes consultar tu expediente en las agencias de referencia crediticia y preguntar a tu banco qué recomienda, y el servicio de prevención del fraude Cifas ofrece un registro de protección de pago. En la UE y en muchos otros países, contacta con tu banco y consulta la orientación de tu autoridad nacional de consumo o de protección de datos. Si se llevaron el escaneo de un pasaporte o de un documento nacional de identidad, la autoridad que lo emitió puede decirte si conviene sustituirlo.
Un número de teléfono filtrado tiene su propia solución. Pide a tu operador móvil un PIN de cuenta, un PIN de portabilidad o un bloqueo de número, según como lo llame. Estos dificultan el fraude por SIM swap, en el que un atacante convence a un operador de pasar tu número a su SIM y así recibe tus códigos por SMS. Los operadores varían en lo que ofrecen, así que pregunta directamente.
Situaciones incómodas
Una filtración en un sitio que nunca usaste
Caben varias explicaciones. Alguien pudo escribir mal tu dirección o usarla a propósito, los datos pudieron venir de un proveedor que trabaja para la empresa nombrada, la filtración puede ser una lista extraída o combinada, o puede que simplemente hayas olvidado una cuenta de hace años. Para averiguarlo, usa la función «olvidé mi contraseña» en la web oficial. Si llega un restablecimiento, existe una cuenta y puedes protegerla o cerrarla. Si no la creaste tú, contacta con la empresa, porque pueden estar asociados a tu dirección datos de otra persona.
Una contraseña antigua que ya no usas
Eso es una buena noticia, siempre que «ya no la uso» sea cierto en todas partes. Las cuentas olvidadas suelen conservar contraseñas antiguas, y cualquier contraseña nueva construida con el mismo patrón también merece un cambio. Búscala en tu gestor de contraseñas, si tienes uno.
Un correo de extorsión que cita tu contraseña
Esta estafa es común y asusta la primera vez. El remitente cita una contraseña antigua tuya real como prueba, afirma haberte grabado con tu webcam y exige criptomonedas. En el caso típico, la contraseña salió de una lista de filtraciones y no existe ninguna grabación. No pagues y no respondas. Cambia esa contraseña en todos los sitios donde aún la uses, denuncia el mensaje y bloquea al remitente. Si el mensaje contiene material privado real o una amenaza que te tomas en serio, guarda una copia y contacta con la policía.
Tu dirección de trabajo estaba en la filtración
Díselo a tu equipo de informática o de seguridad, aunque parezca menor. Quizá quieran comprobar si hay reutilización en los sistemas de la empresa, restablecer credenciales o vigilar el phishing dirigido. Consulta la política de tu empleador antes de registrarte en servicios de vigilancia con una dirección de trabajo, y en adelante mantén las cuentas personales en una dirección personal.
Un padre o un familiar recibió el aviso
Repasa con él el mismo orden, centrándote en su buzón principal y en las contraseñas repetidas. Los familiares mayores son objetivos frecuentes de llamadas posteriores que mencionan la filtración, así que una regla útil que acordar es que ninguna empresa real les pedirá que lean en voz alta un código. Si quien llama dice otra cosa, pueden colgar y devolver la llamada a un número que figure en una tarjeta bancaria o en un extracto.
Un mensaje sobre un acuerdo o una indemnización
Tras grandes filtraciones, puedes recibir mensajes sobre demandas colectivas o planes de indemnización. Algunos son genuinos y otros son imitaciones creadas para recoger datos bancarios. Comprueba el acuerdo en una página oficial de un tribunal, un regulador o la empresa antes de rellenar nada. No pagues una tarifa para recibir una indemnización.
Durante las semanas siguientes
Cuando pasa la parte urgente, una filtración es una buena excusa para arreglar lo que la hizo peligrosa. Nada de esto tiene que hacerse de una sentada.
Empieza con un gestor de contraseñas, si no usas uno. Genera una contraseña aleatoria para cada sitio y se negará a rellenar en un dominio parecido, lo que te da también algo de protección contra el phishing. Elige un producto conocido, protégelo con una frase de contraseña larga y un segundo factor, y traslada primero tus cuentas más importantes. El resto puede seguir a medida que entres en ellas. Las guías de identidad digital del NIST desaconsejan forzar cambios rutinarios de contraseña porque sí y recomiendan comprobar las contraseñas contra filtraciones conocidas, así que no necesitas rotarlo todo según un calendario. Cambia lo que esté expuesto, sea débil o esté repetido.
Después repasa esa lista de cuentas olvidadas de tu búsqueda en el buzón. Cada cuenta inactiva son datos almacenados esperando al próximo incidente. Entra, borra del perfil lo que puedas, elimina cualquier tarjeta guardada y cierra la cuenta. Donde no exista un botón de eliminar, escribe al contacto de privacidad que figura en la política de privacidad del sitio. Según el GDPR y algunas otras leyes, incluida la de California, muchas personas tienen derecho a pedir la eliminación, aunque la empresa puede conservar los registros que está obligada a mantener, y estos derechos dependen de dónde vivas.
Las preguntas de seguridad vienen a continuación. «Apellido de soltera de tu madre» y «primer colegio» a menudo se pueden averiguar a partir de datos de filtraciones o de las redes sociales. Cuando un sitio te obligue a usarlas, da una respuesta aleatoria y guárdala en tu gestor de contraseñas como si fuera una contraseña.
Por último, sigue prestando atención durante un tiempo. Los datos filtrados siguen circulando durante años, y el phishing dirigido suele llegar mucho después de que los titulares se apaguen. Deja activadas las alertas de filtraciones, revisa el informe de tu gestor de contraseñas cada pocos meses y tarda en fiarte de cualquier mensaje que mencione el servicio afectado.
Cómo hacer más pequeña la próxima filtración
No controlas la seguridad de una empresa. Sí controlas cuánto guarda de ti y hasta dónde puede propagarse una filtración desde ese único registro. El objetivo es que cada aviso futuro signifique una comprobación rápida de la contraseña y nada más.
Divide tus direcciones según la confianza
El cambio más útil es dejar de dar una sola dirección a todo el mundo. Un esquema sencillo de tres niveles sirve a la mayoría de la gente, y nuestro artículo sobre cómo construir una estrategia de correo personal lo explica paso a paso.
| Nivel | Úsalo para | Tipo de dirección | Lo que cuesta una filtración |
|---|---|---|---|
| Principal | Banco, administración, salud, trabajo, gestor de contraseñas, redes sociales principales | Una dirección a largo plazo con una fuerte protección de inicio de sesión, que se comparte poco | Grave, pero este nivel rara vez debería filtrarse, porque pocas empresas lo tienen |
| Diario | Tiendas, suscripciones, servicios que conservas durante años | Un segundo buzón, o alias que reenvían a tu buzón | Contenido; puedes desactivar un solo alias o filtrarlo |
| Puntual | Una sola descarga, un formulario que no volverás a usar, probar tu propia página de registro | Una bandeja temporal, si los términos del sitio lo permiten | Pequeño; la dirección no está ligada a tu nombre y la bandeja ya no existe |
Las direcciones con signo más (plus addressing), como name+shop@example.com, quedan en un punto intermedio. Funcionan en Gmail y Outlook.com y pueden mostrarte quién filtró o vendió tu dirección. No ocultan nada, porque cualquiera puede borrar la etiqueta y ver la dirección base, y las herramientas de los atacantes hacen exactamente eso. Los alias de reenvío, como los de iCloud+, Proton o Firefox Relay, sí ocultan bien la dirección real, ya que nada en el alias apunta a ella. Las compras merecen aquí una reflexión especial, porque las bases de datos de las tiendas guardan juntos direcciones de correo, teléfonos y domicilios. Nuestra guía sobre la privacidad del correo al comprar trata ese caso, incluido cómo conservar tus recibos.
Dónde ayuda una bandeja temporal
Una bandeja temporal sirve para una única acción en un sitio con el que no tienes una relación duradera, por privacidad, y donde los términos del sitio lo permitan. VookMail es uno de esos servicios: hay una dirección lista al cargar la página, sin registro ni contraseña. Puedes pulsar Nuevo para escribir un nombre de usuario y elegir uno de más de 30 dominios, o pulsar el botón amarillo «Aleatorio» para obtener una dirección aleatoria. Los mensajes, los archivos adjuntos y las direcciones se eliminan después de aproximadamente un día.
Esa vida corta es lo que limita una filtración futura. Si un sitio que visitaste una vez filtra más tarde su tabla de usuarios, la dirección de esa tabla lleva a una bandeja que ya no guarda nada y no tiene ningún vínculo con tu nombre, tu teléfono ni tu buzón principal. Cualquier contraseña que crearas allí sigue importando, así que haz que sea única. Los datos que escribiste en el perfil también quedan expuestos, una buena razón para rellenar solo lo que el formulario exige.
Los límites son igual de claros. Cualquiera que conozca o adivine una dirección temporal puede abrir esa bandeja, por lo que una dirección aleatoria es la elección más segura y nada privado debe ir ahí. No puedes recibir de forma fiable un restablecimiento de contraseña semanas después, así que es la herramienta equivocada para cualquier cuenta que puedas necesitar otra vez, y nunca debe usarse para banca, trámites con la administración, salud, trabajo ni tus redes sociales principales. Algunos sitios rechazan los dominios desechables. Esa decisión es suya, y la respuesta correcta es respetarla y darles una dirección permanente o un alias. Nuestros términos y condiciones también prohíben usar el servicio para fraude, abuso o para eludir un bloqueo.
Entrega menos desde el principio
El daño depende de lo que se guardó. Deja vacíos los campos opcionales. No guardes una tarjeta en un sitio que usas poco. Ten cuidado con los botones «Iniciar sesión con» en servicios en los que no confías del todo, y mira el acceso al perfil que solicitan. Rechaza dar un número de teléfono salvo que el sitio lo necesite de verdad por seguridad. Una fecha de nacimiento que un sitio solo quiere para un cupón de cumpleaños es un dato que puedes guardarte sin más, donde el formulario lo permita.
Dos lugares distintos guardan tus datos
Ayuda separar dos tipos de incidente que a menudo se mezclan. Cuando un servicio sufre una filtración, el atacante obtiene lo que ese servicio guardaba: tu dirección, tu perfil y lo que más hubiera en su base de datos. Cuando se compromete tu buzón, el atacante obtiene otra cosa, a saber, todos los mensajes que has conservado, incluidos recibos antiguos, enlaces de restablecimiento de contraseña, documentos escaneados y conversaciones privadas.
Lo segundo suele ser peor, y por eso esta guía te devuelve una y otra vez al buzón. También sugiere un hábito modesto: no necesitas diez años de correo de poco valor en tu cuenta principal. Borrar notificaciones de envío antiguas y boletines reduce lo que puede revelar el compromiso de un buzón, y guardar los documentos importantes en un lugar seguro, con su propia protección, cuesta poco.
Las bandejas temporales están en el extremo de esa idea. En VookMail, los registros MX de cada dominio apuntan a un proveedor de entrega de correo, que recibe el mensaje por SMTP y lo reenvía al servicio por HTTPS. Como los mensajes y los archivos adjuntos se eliminan después de aproximadamente un día, no se acumula un archivo largo. Cómo trata el servicio los datos se explica en la política de privacidad y en la página de metodología.
Cómo ocurrió la filtración y por qué te importa
Las empresas no siempre explican la causa con detalle, pero cuando lo hacen, puede decirte qué esperar.
- Un compromiso de base de datos, mediante un fallo como la inyección SQL o un servidor sin parchear, suele significar que la tabla de usuarios se copió en bloque. Espera direcciones y hashes de contraseñas, y da por hecho que los datos se comerciarán.
- Un almacenamiento mal configurado significa que una base de datos o un bucket en la nube se dejó abierto a internet. Puede que nadie haya «hackeado» nada, y la empresa quizá no sepa quién lo descargó, de modo que la respuesta honesta a «¿se llevaron mis datos?» puede ser «no lo podemos saber».
- Un incidente en un proveedor significa que se comprometió una plataforma de marketing, un servicio de atención al cliente o una herramienta de analítica. Esto explica los avisos de nombres que no reconoces, y normalmente expone datos de contacto y tickets de soporte más que contraseñas. Puede incluirse cualquier cosa que escribieras en un ticket de soporte, así que recuerda qué les enviaste.
- El scraping recoge a gran escala datos de perfil públicos o semipúblicos a través de un sitio o una API. A veces las empresas sostienen que no es una filtración, pero tu dirección acaba igualmente en un conjunto de datos que se comercia.
- El uso indebido interno significa que un empleado o contratista exportó datos que no debía. A menudo es dirigido, por lo que los mensajes de seguimiento inusuales y personales merecen más sospecha.
Errores fáciles de cometer bajo presión
El más común es cambiar solo la contraseña del sitio afectado y dejar la misma en tu correo y en tus cuentas de tiendas. Muy cerca va una pequeña variación de la contraseña antigua. Pasar de Summer2024! a Summer2025! a una herramienta de descifrado casi no le cuesta más esfuerzo.
La gente también tiende a quedarse en un único cambio. Se saltan las reglas de reenvío, que es como alguien que estuvo dentro antes del cambio de contraseña sigue recibiendo correo después. Confiar en los códigos por SMS cuando hay disponible una app de autenticación o una clave de acceso deja un hueco en cuentas críticas, aunque los SMS siguen siendo mejores que nada donde son la única opción.
Luego está el error contrario: tratar cada aviso como una emergencia. Si solo se filtró tu dirección de una cuenta que puedes cerrar sin más, no necesitas cambiar tu dirección de correo, y no necesitas pagar por un producto de vigilancia porque haya aparecido un anuncio alarmante. Guarda tu esfuerzo para los casos en que intervino una contraseña, una tarjeta o un número de identidad.
Preguntas que surgen tras un aviso
¿Debo eliminar mi cuenta de correo?
Normalmente no. Tu dirección principal está ligada a años de restablecimientos de contraseña y contactos, y abandonarla crea sus propios riesgos, ya que una cuenta olvidada puede ser difícil de recuperar. Protégela en su lugar y deja de dársela a sitios de poca confianza. Una dirección nueva solo tiene sentido si la antigua está irremediablemente expuesta, y entonces debes trasladar tus cuentas poco a poco y mantener abierta la antigua durante un tiempo.
La empresa dice que las contraseñas estaban cifradas. ¿Debo cambiar la mía de todos modos?
Sí. Sin saber el método y si las claves también se llevaron, no puedes juzgar la protección, y cambiar una contraseña lleva menos tiempo que averiguarlo. Cámbiala también en cualquier otro sitio donde la hayas usado.
¿Puede una dirección temporal evitar una filtración?
Ninguna herramienta impide que una empresa sufra una filtración. Una dirección temporal cambia lo que la filtración revela sobre ti. Si un foro al que te uniste así filtra su tabla de usuarios, la dirección filtrada no tiene conexión con tu identidad, siempre que no introdujeras nada más que te identifique.
¿Con qué frecuencia debo comprobarlo?
Activa las alertas para que la comprobación se haga sin ti. Basta con mirar el informe de tu gestor de contraseñas cada pocos meses, más una revisión extra cuando un servicio que usas salga en las noticias.
¿Sirve de algo pagar por vigilancia de la dark web?
Depende de lo que compres. Estos productos informan sobre todo de que tus datos han aparecido en algún sitio, algo que en buena parte puedes saber gratis con los servicios de consulta de arriba. Un seguro de identidad o una ayuda de recuperación pueden servir de algo si se expusieron los datos de tu documento oficial, así que lee qué cubre realmente el plan antes de pagar.
¿A quién debo denunciarlo?
Normalmente no necesitas denunciar la filtración de una empresa, porque la empresa tiene sus propias obligaciones con los reguladores. Denuncia si has perdido dinero o te están extorsionando: primero a tu banco, luego a la policía o al servicio nacional de denuncia de fraudes. En la UE y el Reino Unido, puedes reclamar ante tu autoridad de protección de datos si una empresa gestiona mal el incidente o ignora tus peticiones.
Para saber más sobre cómo funcionan las bandejas temporales y cuánto tiempo se conservan los mensajes, consulta las preguntas frecuentes de VookMail.