Tus datos están en una filtración: cómo comprobarlo y qué hacer en la primera hora
Un aviso de una empresa, una alerta del móvil o una noticia de un ciberataque bastan para que surja la duda: ¿me afecta? La respuesta se puede comprobar con herramientas gratuitas y, a partir de ahí, conviene actuar con un orden claro. La regla de fondo es sencilla: la contraseña filtrada se arregla en minutos; el DNI y el IBAN filtrados piden vigilancia durante meses. Cuando los datos aparecen en una filtración, la urgencia no es la misma para todos los elementos expuestos, y distinguirlos evita tanto la parálisis como la reacción precipitada.
Cómo saber si el correo está en una filtración
La forma más rápida es escribir la dirección en Have I Been Pwned, un buscador gratuito de filtraciones que INCIBE recomienda. Indica en qué brechas conocidas aparece ese correo.
Lo creó el investigador de seguridad Troy Hunt, que lo mantiene desde 2013. Nació tras la filtración de Adobe, entonces la mayor brecha de cuentas de clientes conocida, porque Hunt encontraba las mismas cuentas expuestas una y otra vez, a menudo con la misma contraseña. A 17 de octubre de 2026, su contador suma 1.045 webs filtradas y más de 17.800 millones de direcciones de correo.
Tres detalles de su página de preguntas frecuentes conviene conocerlos. No guarda contraseñas junto a los correos: su servicio Pwned Passwords comprueba contraseñas por separado, cifradas con SHA-1 y anonimizadas antes de enviarse. Que no se aparezca en el buscador no significa estar a salvo, porque la base contiene una pequeña parte de todo lo filtrado y muchas brechas nunca se publican ni se detectan. Y se pueden pedir avisos: con Notify Me llega un correo cuando la dirección aparezca en una brecha nueva.
Qué aportan Google y Apple que Have I Been Pwned no puede
Have I Been Pwned dice dónde está el correo; los gestores de contraseñas de Google y Apple indican qué contraseñas concretas circulan por internet.
En Google, la función se llama Revisión de contraseñas. Se abre en Chrome desde Más > Contraseñas y Autocompletar > Gestor de contraseñas de Google > Revisión, o desde cualquier navegador en passwords.google.com. Separa tres problemas: contraseñas expuestas, débiles y reutilizadas. Las alertas automáticas se activan en los ajustes del gestor con la opción «Alertas de protección de contraseña». Un consejo de la propia Google: si llega un aviso, conviene entrar directamente en Revisión de contraseñas para comprobar que es auténtico, en lugar de tocar el enlace.
En Apple, la app Contraseñas del Mac muestra en el apartado Seguridad las claves poco seguras o filtradas. En iPhone con iOS 17 o anterior, la ruta es Ajustes > Contraseñas > Recomendaciones de seguridad, donde se activa «Detectar contraseñas comprometidas»; desde iOS 18 las contraseñas viven en la app Contraseñas. Apple explica que la comprobación comparte con sus servidores, como mucho, un prefijo de 15 bits del hash de cada contraseña.
La primera hora: el orden en que conviene actuar
Primero la contraseña afectada y todas las que se le parezcan; después, el correo; por último, el banco si hubo datos de pago. Ese orden sintetiza las recomendaciones de INCIBE, que pide considerar comprometido cualquier dato compartido con la empresa afectada.
-
Cambiar la contraseña del servicio filtrado y la de cualquier otro sitio donde se usara la misma o una parecida. Conviene optar por claves con letras, números y símbolos, y no repetirlas entre servicios. Un gestor de contraseñas genera y guarda claves únicas.
-
Proteger el correo, porque desde él se restablece todo lo demás. Si se detectan accesos raros, conviene revisar si la cuenta ha sido comprometida.
-
Avisar al banco si se filtraron datos bancarios. INCIBE recomienda anular la tarjeta y revisar posibles actividades sospechosas.
-
Activar la sospecha por defecto. Tras una brecha llegan correos, SMS y llamadas que usan datos reales para parecer legítimos. No conviene interactuar con mensajes no solicitados y, ante cualquier duda, la línea 017 de INCIBE es gratuita.
Qué dato es más peligroso: contraseña, DNI o IBAN
La contraseña es la más urgente, pero el DNI y el IBAN son los más duraderos: una clave se cambia hoy, el número de documento acompaña toda la vida. Por eso el plan para cada uno es distinto.
| Dato filtrado | Riesgo principal | Actuación |
|---|---|---|
| Contraseña | Acceso a la cuenta y a otras donde se reutilice | Cambio inmediato y claves únicas por servicio |
| Correo | Restablecimiento de otras cuentas | Revisar accesos, cambiar clave y activar verificación en dos pasos |
| Tarjeta o datos de pago | Cargos no autorizados | Avisar al banco y anular la tarjeta |
| DNI, nombre y dirección | Suplantación de identidad | Egosurfing, derecho al olvido y denuncia si hay fraude |
| IBAN | Recibos domiciliados no autorizados | Revisar movimientos con frecuencia |
Con el DNI, el nombre y la dirección, el riesgo es la suplantación de identidad. INCIBE recomienda hacer egosurfing para detectar si los datos aparecen publicados, ejercer el derecho al olvido ante la AEPD si es el caso y denunciar ante la Policía o la Guardia Civil cualquier intento de fraude.
Con el IBAN, el escenario que más preocupa es un recibo domiciliado que no se ha autorizado. El Banco de España recuerda que, si no se dio autorización, el plazo para devolver un recibo es de 13 meses. Tras una filtración con IBAN, revisar los movimientos cada semana durante un tiempo no es paranoia, sino mantenimiento.
Si la empresa nunca avisó: cuándo y cómo reclamar
El artículo 34 del RGPD obliga a la empresa a comunicar la brecha sin dilación indebida cuando suponga probablemente un alto riesgo para los derechos de los afectados. Si no lo hizo y se cree que debía, se puede reclamar ante la AEPD.
El Reglamento fija dos obligaciones distintas. El artículo 33 manda notificar a la autoridad de control sin dilación indebida y, si es posible, en un máximo de 72 horas desde que la empresa tiene constancia, salvo que sea improbable que haya riesgo. El artículo 34 exige avisar a los afectados en lenguaje claro y sencillo, con un punto de contacto y las medidas tomadas. Hay excepciones, como que los datos estuvieran cifrados, y la AEPD puede exigir el aviso si la empresa no lo ha dado.
La reclamación se presenta en la sede electrónica de la AEPD, con pruebas o indicios. La Agencia tiene hasta tres meses para decidir si la admite, y la indemnización por daños se reclama a la empresa, no a la AEPD. No es un trámite simbólico: en 2025, los procedimientos sancionadores o de apercibimiento por brechas pasaron de 30 a 77, y las multas por este motivo sumaron 19.836.603 euros, el 40 % de todas las sanciones del año.
Preguntas frecuentes sobre filtraciones de datos
¿Cómo compruebo si mi correo está en una filtración?
Escribiendo la dirección en Have I Been Pwned, un buscador gratuito que INCIBE recomienda. Indica en qué brechas conocidas aparece el correo y permite activar avisos para futuras filtraciones.
¿Que no aparezca en Have I Been Pwned significa que estoy a salvo?
No. La base contiene solo una parte de todo lo filtrado, y muchas brechas nunca se publican ni se detectan. La ausencia de resultados reduce la preocupación, pero no la elimina.
¿Qué contraseña debo cambiar primero tras una filtración?
La del servicio afectado y todas las que se le parezcan o se reutilicen en otros sitios. Después conviene proteger el correo, porque desde él se restablecen las demás cuentas.
¿Qué hago si se filtró mi IBAN?
Revisar los movimientos con frecuencia para detectar recibos domiciliados no autorizados. El Banco de España recuerda que, si no se dio autorización, el plazo para devolver un recibo es de 13 meses.
¿Puedo reclamar si la empresa no me avisó de la filtración?
Sí. El artículo 34 del RGPD obliga a comunicar la brecha cuando suponga un alto riesgo para los afectados. La reclamación se presenta en la sede electrónica de la AEPD con pruebas o indicios.
¿La AEPD indemniza por los daños de una filtración?
No. La AEPD tramita la reclamación y puede sancionar, pero la indemnización por daños se reclama a la empresa que sufrió la brecha.
Recuerde que…
La carga de reaccionar ante una filtración recae en quien la sufre, no en quien la provocó. Por eso conviene distinguir lo urgente de lo importante: una contraseña se cambia en minutos, mientras que un DNI expuesto exige vigilancia durante meses. Y si solo se va a hacer una cosa hoy, que sea activar las alertas de Have I Been Pwned y las del gestor de contraseñas. La próxima filtración no se va a evitar, pero al menos no se conocerá la última. Reclamar cuando el aviso no llega es también una forma de presión para que las empresas se tomen en serio sus obligaciones. Pueden leer más contenido en https://fernandojuca.com así como videotutoriales y podcast en https://youtube.com/fernandojucamaldonado.
