Cómo saber si tu correo ha sido comprometido (y qué hacer)

Las filtraciones son más comunes de lo que crees

Cada año se filtran cientos de millones de credenciales. LinkedIn en 2012 (117 millones de cuentas), Adobe en 2013 (153 millones), Dropbox en 2016 (68 millones), Twitch en 2021. Estas son solo las filtraciones que se hicieron públicas — hay muchas otras que nunca salen a la luz o que tardan años en aparecer en bases de datos accesibles.

Lo más probable es que tu dirección de email aparezca en al menos una de ellas. No porque hayas hecho algo mal, sino porque algún servicio que usaste no protegió sus datos correctamente.

Por qué el email es la clave de tu identidad digital

Tu dirección de email no es solo una forma de contacto. Es el identificador principal de la mayoría de tus cuentas online y, lo más importante, es la puerta de recuperación de contraseñas de casi todo: tu banco, tu tienda online, tu gestor de contraseñas, tus redes sociales.

Si alguien tiene acceso a tu email — o incluso solo a tu dirección y contraseña de otro servicio que reutilizas — puede encadenar accesos a múltiples cuentas. Este ataque se llama credential stuffing: los atacantes toman listas de credenciales filtradas y las prueban automáticamente en miles de servicios diferentes. Es barato, masivo y muy efectivo precisamente porque la gente reutiliza contraseñas.

Qué datos se exponen en una filtración

No todas las filtraciones son iguales. Dependiendo del servicio comprometido, los datos expuestos pueden incluir:

• Solo el email — el caso más leve. Aumenta el riesgo de phishing dirigido.
• Email + contraseña en texto plano — el peor escenario. Acceso directo a todas las cuentas donde uses esa contraseña.
• Email + hash de contraseña — requiere que el atacante rompa el hash, lo cual es fácil si la contraseña es débil o si el hash está mal implementado (MD5, SHA1 sin salt).
• Email + datos personales (nombre, teléfono, dirección, fecha de nacimiento) — permite ataques de ingeniería social muy convincentes.
• Email + datos de pago — el escenario más dañino económicamente.

Cuando SecuryBlack detecta tu email en una filtración, te indica exactamente qué tipo de datos quedaron expuestos para que puedas priorizar tu respuesta.

Cómo funciona el escáner

SecuryBlack comprueba tu dirección de email contra bases de datos de filtraciones conocidas usando k-anonimato: tu email nunca se transmite en claro. En su lugar, enviamos solo una fracción del hash de tu dirección, lo que permite comprobar si aparece en la base de datos sin que nuestros servidores lleguen a conocer tu email completo.

El proceso es:

1. Introduces tu email en el escáner
2. Lo verificamos contra nuestra base de datos actualizada con las filtraciones más recientes
3. Si aparece, te mostramos en qué filtración, en qué fecha y qué datos quedaron expuestos
4. Si no aparece, perfecto — pero con una cuenta gratuita podemos seguir monitorizando de forma continua

La diferencia entre una comprobación puntual y la monitorización continua es importante: las bases de datos de filtraciones se actualizan constantemente. Un email que hoy no aparece puede aparecer la semana que viene cuando se publique una nueva brecha.

Qué hacer si tu correo fue comprometido

La respuesta depende del tipo de datos expuestos, pero hay un protocolo base que funciona en todos los casos:

1. Cambia la contraseña del servicio afectado inmediatamente. No mañana, ahora. Si ya no usas ese servicio, considera eliminar la cuenta.
2. Comprueba si reutilizabas esa contraseña en otros sitios. Si es así, cámbiala en todos. Esta es la parte más tediosa pero la más importante.
3. Activa 2FA en las cuentas críticas si no lo tienes ya. Email, banco, tienda online, gestor de contraseñas. El segundo factor hace que una contraseña filtrada sea mucho menos útil para un atacante.
4. Considera usar un gestor de contraseñas para generar contraseñas únicas por servicio. Bitwarden (código abierto, gratuito), 1Password y KeePassXC son opciones sólidas.
5. Monitoriza tu email de forma continua con SecuryBlack para recibir alertas automáticas cuando tu dirección aparezca en futuras filtraciones.

Si los datos expuestos incluyen información personal como dirección o teléfono, presta especial atención a correos de phishing en los próximos meses: los atacantes usan esos datos para construir mensajes convincentes que parecen legítimos.