Tu correo apareció en una filtración: qué hacer y en qué orden

Actualizado el 23 de septiembre de 2026

Casi todo el mundo ha visto ya su dirección en una filtración de datos. No es una catástrofe si reaccionas en el orden correcto: estos son los pasos.

Qué significa una filtración

Una filtración de datos ocurre cuando la base de datos de un sitio es pirateada o está mal protegida. Lo que se filtra depende del sitio:

Dato expuesto	Riesgo principal
Solo la dirección de correo	Spam y phishing dirigido
Dirección más nombre, teléfono, dirección postal	Estafas creíbles que citan tus datos reales
Dirección y contraseña	Acceso a tus cuentas, sobre todo si repites la contraseña
Datos bancarios	Pagos fraudulentos

La dirección de correo por sí sola no es un secreto: circula de todos modos. El verdadero peligro está en la contraseña y en las estafas que vienen después.

Paso 1: comprobar qué se filtró

El servicio Have I Been Pwned (haveibeenpwned.com), mantenido por un investigador de seguridad, recopila las filtraciones públicas: introduce tu dirección para ver en qué bases aparece y qué datos incluían. Desconfía, en cambio, de los correos que te «avisan» de una filtración y te piden hacer clic: es un escenario clásico de phishing.

Paso 2: cambiar las contraseñas, en el orden correcto

Primero el correo: quien controla tu bandeja puede restablecer todas tus demás cuentas.
La cuenta del sitio filtrado.
Todas las cuentas que usaban la misma contraseña: ahí se produce la mayoría de los accesos indebidos, con robots que prueban las parejas dirección-contraseña en todas partes.
Banco, tiendas con tarjeta guardada, redes sociales.

Una contraseña distinta para cada sitio, generada y recordada por un gestor de contraseñas, hace que la próxima filtración casi no tenga consecuencias.

Paso 3: activar la verificación en dos pasos

En el correo y en las cuentas importantes, activa la verificación en dos pasos: aplicación de autenticación, llave de seguridad o llave de acceso (passkey). Aunque tenga tu contraseña, un atacante no podrá entrar. El SMS protege menos, pero es mucho mejor que nada.

Paso 4: esperar phishing dirigido

Tras una filtración, los estafadores envían mensajes que mencionan el sitio pirateado, tu nombre y a veces un pedido real. Durante varios meses:

no hagas clic en ningún enlace recibido sobre la filtración; entra directamente en el sitio;
ningún servicio serio te pide la contraseña o un código por correo, SMS o teléfono;
comprueba el remitente y el destino real de los enlaces, como explicamos en nuestra guía sobre el phishing.

Paso 5: vigilar y reducir la exposición futura

Revisa tus movimientos bancarios si se filtraron datos de pago, y bloquea la tarjeta ante la menor duda.
Comprueba las reglas de reenvío de tu correo: a veces un atacante crea una para recibir copia de tus mensajes.
Reduce tu exposición: usa una dirección temporal para los registros puntuales y un alias por sitio para las cuentas duraderas. Cuando haya una filtración, solo se verá afectada esa dirección.

Obtener una dirección desechable

Preguntas frecuentes

¿Debo cambiar de dirección de correo tras una filtración?

Pocas veces. Cambiar las contraseñas y activar la verificación en dos pasos suele bastar. Si luego la dirección recibe muchísimo spam, los filtros o un alias para las cuentas nuevas lo resuelven sin mudarlo todo.

¿Puede un atacante usar mi dirección para enviar correos?

Puede falsificar el remitente de un mensaje sin acceder a tu bandeja, pero las protecciones SPF, DKIM y DMARC de los proveedores bloquean buena parte de esas falsificaciones. Si tiene tu contraseña, en cambio, puede escribir de verdad desde tu cuenta: cámbiala sin esperar.

¿Cómo sé si otra persona ha usado mi cuenta?

La mayoría de los servicios de correo muestran el historial de inicios de sesión y dispositivos. Cierra todas las sesiones que no reconozcas y cambia la contraseña.