Cómo comprobar si tu contraseña se ha filtrado y qué hacer si aparece en una brecha de datos

Cada cierto tiempo sale la noticia de una brecha de datos en una empresa conocida, y la pregunta es siempre: ¿estaban mis datos entre los filtrados? La respuesta se puede comprobar en pocos minutos, sin instalar nada raro y sin pagar. Esta guía explica cómo hacerlo de forma segura y qué pasos seguir si tu correo o tu contraseña aparecen en una filtración.

Un matiz importante antes de empezar: comprobar si tus datos se han filtrado no es lo mismo que entregarlos a otra empresa. Hay herramientas serias y gratuitas para esto, pero también hay páginas falsas que imitan a las legítimas para robar justo lo que dices comprobar. Por eso, aquí solo usaremos servicios conocidos.

Paso 1: Comprueba tu correo en un servicio de filtraciones conocido

El servicio más conocido es Have I Been Pwned, una web creada por el investigador Troy Hunt que recoge filtraciones públicas y verificadas. Entra en haveibeenpwned.com, escribe tu correo en el buscador principal y pulsa buscar. No hace falta crear una cuenta para una comprobación puntual.

Si el resultado es verde, es una buena noticia, aunque no es una garantía absoluta: significa que ese correo no aparece en las filtraciones que ese servicio conoce hasta la fecha. Si el resultado es rojo, la página te mostrará en cuántas brechas aparece tu correo y en cuáles, con el servicio afectado y la fecha aproximada.

Repite la comprobación con cada correo que uses de forma habitual, sobre todo con el que usas para recuperar otras cuentas. Mucha gente tiene un correo antiguo que ya no revisa pero que sigue siendo la llave de recuperación de su banco o sus redes sociales. Ese es el que más conviene revisar.

Paso 2: Revisa qué datos se filtraron en cada brecha

No todas las filtraciones son iguales. En algunas solo se filtró el correo, en otras también el nombre, el teléfono o la contraseña cifrada, y en las peores, la contraseña en texto legible o datos de pago. Have I Been Pwned muestra qué datos se vieron comprometidos en cada brecha. Lee esa lista antes de decidir qué hacer.

Si solo se filtró tu correo, el riesgo principal es recibir más spam o intentos de fraude dirigidos, porque los atacantes ya saben que esa dirección existe y en qué servicio la usabas. Si se filtró también una contraseña, el riesgo es mucho mayor, sobre todo si la usas en otros sitios. Y si se filtraron el teléfono o la dirección, conviene estar más alerta ante llamadas que intenten hacerse pasar por tu banco.

Google y Apple también ofrecen comprobaciones integradas. El Gestor de contraseñas de Google avisa si alguna contraseña guardada aparece en una filtración conocida, y en iPhone, las recomendaciones de seguridad dentro de Contraseñas hacen una comprobación parecida.

Paso 3: Cambia la contraseña afectada y no la reutilices en ningún sitio

Si tu contraseña aparece en una filtración, cámbiala cuanto antes en el servicio afectado. Entra en la web o la aplicación oficial, nunca desde un enlace que te llegue por correo, y crea una contraseña nueva, larga y única. No sirve cambiar la vieja por una parecida, como añadir un número al final, porque esas variaciones son fáciles de adivinar.

El paso que de verdad protege es no reutilizar contraseñas. Si la contraseña filtrada la usabas también en tu correo, en tu banco o en una red social, cámbiala también en todos esos sitios, aunque no aparezcan en la lista de brechas. Los atacantes prueban de forma automática las contraseñas filtradas en muchos servicios distintos.

Para no memorizar decenas de contraseñas distintas, usa un gestor de contraseñas. Google y Apple incluyen uno integrado en el teléfono. El gestor genera contraseñas largas y distintas para cada servicio y las recuerda por ti, así que solo tienes que recordar una contraseña maestra fuerte.

Paso 4: Activa la verificación en dos pasos en tus cuentas importantes

Después de cambiar las contraseñas, activa la verificación en dos pasos en las cuentas más importantes: el correo principal, el banco, las redes sociales y cualquier servicio donde guardes fotos o datos de pago. Con esta protección, aunque alguien consiga tu contraseña, necesitará además un segundo factor, normalmente un código de una aplicación de autenticación, para entrar.

En la mayoría de los servicios, la opción está en Ajustes, dentro de Seguridad o de Cuenta. Elige la aplicación de autenticación antes que el código por SMS cuando tengas la opción, porque el SMS es más fácil de interceptar. Guarda los códigos de recuperación en un lugar seguro, fuera del teléfono, por si pierdes el acceso a la aplicación.

Si el servicio te ofrece cerrar todas las sesiones activas, hazlo después de cambiar la contraseña. Así expulsas a cualquier dispositivo que pudiera estar usando la sesión antigua, y luego revisa la lista de dispositivos conectados.

Paso 5: Vigila el fraude en las semanas siguientes

Una filtración no se olvida al cambiar la contraseña. Durante las semanas siguientes, presta más atención a los correos, mensajes y llamadas que recibas. Desconfía de mensajes urgentes que pidan verificar tu cuenta o confirmar un pago, sobre todo si llegan con un enlace. Los atacantes usan los datos filtrados para que el engaño parezca personal.

Si recibes un correo sospechoso que dice ser de tu banco, no pulses el enlace. Abre la aplicación oficial o escribe la dirección web a mano y comprueba desde allí si hay algún aviso real. Si detectas un acceso extraño o un cargo que no reconoces, contacta con el servicio desde sus canales oficiales y, si hay dinero implicado, con tu banco.

Frequently Asked Questions

¿Es seguro escribir mi correo en Have I Been Pwned?

Sí, es un servicio conocido y usado por profesionales de seguridad desde hace años, y solo pide el correo para buscarlo en su base de datos. Nunca escribas tu contraseña completa en una web de comprobación: los servicios serios no la necesitan.

¿Qué hago si mi contraseña aparece filtrada pero ya no uso ese servicio?

Cámbiala igualmente si la reutilizabas en otro sitio, y cierra o elimina la cuenta antigua si ya no la necesitas. Una contraseña vieja en uso en otro servicio es justo la puerta que buscan los atacantes.

¿Basta con cambiar la contraseña o necesito algo más?

Cambiar la contraseña es el primer paso, pero no el único. Activa la verificación en dos pasos, cierra las sesiones activas, revisa los dispositivos conectados y vigila el fraude en las semanas siguientes. La contraseña única más el segundo factor es lo que complica el acceso a un atacante.