¿Se filtraron mis datos? Cómo comprobarlo y qué hacer después de una filtración

¿Se filtraron mis datos? ¿Cómo puedo comprobarlo?

Una filtración de datos es, en palabras de Have I Been Pwned (HIBP), un incidente en el que los datos quedan expuestos por error en un sistema vulnerable, normalmente por controles de acceso insuficientes o debilidades de seguridad en el software ^[2]. HIBP agrupa las filtraciones para que las personas puedan ver dónde se han expuesto sus datos personales ^[2]. La forma más rápida de saber si sus datos se filtraron es buscar allí su dirección de correo electrónico.

A 3 de noviembre de 2026, la página de inicio de HIBP enumera 1,048 sitios web afectados y 17,846,896,404 direcciones comprometidas ^[1]. La búsqueda pública devuelve resultados para una sola dirección de correo o nombre de usuario a la vez ^[2]. Buscar un dominio completo es una función aparte que exige verificar que usted está autorizado para acceder a ese dominio ^[2].

¿Por qué puede faltar una filtración en mis resultados?

HIBP considera «sensibles» algunas filtraciones. Solo el propietario verificado de una dirección de correo puede verlas, iniciando sesión en el panel y confirmando que puede recibir correo en esa dirección ^[2]. HIBP enumera 90 filtraciones sensibles, entre ellas Ashley Madison y Adult FriendFinder (2015 y 2016) ^[2]. Por tanto, una búsqueda simple no muestra todo lo que pueda afectar a su dirección.

¿Un resultado limpio significa que mis datos están a salvo?

No. HIBP indica que su búsqueda cubre la mayoría de las filtraciones, mientras que las sensibles requieren iniciar sesión ^[2]. Por inferencia de esta guía, una filtración que no se haya cargado en el servicio no puede aparecer. En cuanto a las contraseñas, HIBP señala que un resultado «no pwnage found» no significa necesariamente que sea una buena contraseña, solo que no está indexada en el sitio ^[4]. Considere un resultado limpio como un dato más y mantenga igualmente las protecciones básicas: contraseñas únicas y autenticación multifactor.

¿Es seguro y fiable Have I Been Pwned?

El diseño de HIBP limita lo que almacena. Cuando se cargan las direcciones de correo de una filtración, no se cargan contraseñas con ellas; el servicio independiente Pwned Passwords comprueba una sola contraseña frente a filtraciones conocidas ^[2]. HIBP afirma que ninguna contraseña se almacena junto a datos de identificación personal y que todas se cifran con SHA-1 ^[2]. La búsqueda pública se limita a una dirección cada vez ^[2].

¿De qué advierte el propio HIBP?

HIBP reconoce que los usuarios no pueden tener la certeza de que no recopile las direcciones de correo que se buscan, afirma que no lo hace y recomienda no usarlo a quien dude de su intención o su seguridad ^[2]. Conviene sopesar esa advertencia franca frente al propósito declarado del servicio como servicio gratuito de evaluación de riesgos ^[2].

¿Qué no cubre esta guía?

Esta guía no describe quién financia u opera HIBP ni si ha sido auditado de forma independiente. Lea la página «About» del propio sitio y decida si se siente cómodo. Si no es así, las protecciones de las secciones siguientes funcionan sin ningún verificador: contraseñas únicas, autenticación multifactor y, para los residentes en EE. UU., una congelación de crédito.

¿Qué significa «pwned» y qué significan mis resultados?

«Pwned» nació en la cultura de los videojuegos como una variante en leetspeak de «owned» e implica que alguien ha sido controlado o comprometido ^[2]. En HIBP, sin embargo, una entrada significa que sus datos se expusieron en algún lugar. Según la lectura de esta guía, no es prueba de que alguien haya iniciado sesión en sus cuentas.

¿Qué significan las etiquetas de las filtraciones?

• Sensible: oculta de la búsqueda pública y visible solo para el propietario verificado de la dirección ^[2].
• No verificada: los datos son legítimos, pero su origen no está demostrado más allá de toda duda razonable ^[2].
• Fabricada: es poco probable que proceda del sitio indicado, pero contiene direcciones de correo reales ^[2].
• Retirada: eliminada de forma permanente. HIBP enumera 2 filtraciones retiradas, Ticketek y VTech, y una filtración suele retirarse cuando los datos no se comercian ni se redistribuyen en otros lugares ^[2].

HIBP sigue incluyendo las filtraciones no verificadas y las fabricadas porque contienen información personal real ^[2]. Una entrada, por tanto, no prueba que una empresa concreta fuera hackeada. HIBP señala que incluso los datos fabricados pueden venderse o intercambiarse ^[2].

¿Cómo compruebo si mi contraseña se ha filtrado?

Pwned Passwords es el servicio independiente de HIBP que comprueba una sola contraseña frente a filtraciones conocidas ^[2]. Utiliza k-anonimato: la contraseña se procesa con hash en su dispositivo, solo los primeros 5 caracteres del hash SHA-1 se envían a la API y la comparación con los sufijos devueltos se realiza en su lado ^[4]. HIBP afirma que el servicio gestiona más de 18 mil millones de solicitudes al mes ^[4].

¿Por qué importa una contraseña filtrada si la cuenta es distinta?

Los atacantes usan pares de correo y contraseña expuestos para intentar acceder a otras cuentas de las víctimas, una técnica llamada credential stuffing ^[4]. Por eso, cuando una filtración afecta a su contraseña, la FTC aconseja cambiarla en todas las cuentas que usen una similar ^[3]. HIBP señala además que las directrices del NIST recomiendan comprobar las contraseñas frente a conjuntos de datos filtrados previamente ^[4].

¿Cómo uso el resultado?

1. Compruebe en la página de Pwned Passwords una contraseña que use o haya usado.
2. Si aparece, deje de usarla en todas partes y sustitúyala por una contraseña única para cada cuenta. La FTC sugiere considerar un gestor de contraseñas ^[3].
3. Si no aparece, no lo interprete como una aprobación: «no pwnage found» no significa necesariamente que sea una buena contraseña, solo que no está indexada en el sitio ^[4].

¿Qué debo hacer primero después de una filtración de datos?

Los pasos adecuados dependen de lo que se haya expuesto. Aplique los puntos que correspondan a su situación.

1. Cambie la contraseña. Si la filtración afectó a su contraseña, cámbiela de inmediato en la empresa afectada y en cualquier cuenta que use una similar. Considere un gestor de contraseñas y active la autenticación multifactor (MFA), que puede proteger una cuenta aunque la contraseña se haya expuesto ^[3].
2. Si se expuso una cuenta en línea. Inicie sesión y cambie la contraseña y, si puede, el nombre de usuario. Si no puede iniciar sesión, póngase en contacto con la empresa para recuperar o cerrar la cuenta. Cambie la contraseña en cualquier otro sitio donde la haya reutilizado ^[7].
3. Si se expuso un número de la Seguridad Social (EE. UU.). Acepte la supervisión de crédito gratuita si la empresa la ofrece, obtenga informes de crédito gratuitos y busque cuentas que no reconozca, y considere una congelación de crédito o una alerta de fraude ^[8]. La guía de la FTC sobre filtraciones remite a annualcreditreport.com para los informes gratuitos, indica que, si decide no congelar el crédito, al menos considere una alerta de fraude, y aconseja presentar cuanto antes la declaración de impuestos ^[7].
4. Use la herramienta oficial. IdentityTheft.gov/databreach, de la FTC, ofrece pasos según el tipo de información expuesta ^[7].
5. Si sus datos se han utilizado indebidamente. Denúncielo en IdentityTheft.gov ^[8], que ofrece un plan de recuperación personalizado ^[5].

Acceda a estos servicios escribiendo usted mismo la dirección, en lugar de seguir enlaces de un mensaje inesperado sobre una filtración.

¿Debo congelar mi crédito o poner una alerta de fraude tras una filtración?

Esta sección describe normas de EE. UU. Desde el 21 de septiembre de 2018, una ley federal de EE. UU. permite a los consumidores aplicar congelaciones de crédito de forma gratuita, eliminando las tarifas en los estados que antes las cobraban ^[5]; la FTC indica que aplicar y levantar una congelación es gratuito ^[9]. Los lectores de otros países deben consultar las normas de crédito y protección de la identidad de su propio país, que esta guía no cubre.

¿Qué es una congelación de crédito?

Una congelación de crédito dura hasta que usted la levanta y no afecta a su puntuación de crédito ^[9]. Mientras está activa, nadie, ni siquiera usted, puede abrir crédito nuevo; puede levantarla temporalmente para solicitar crédito, un empleo, un alquiler o un seguro ^[9]. La FTC señala que una congelación no afectará a su capacidad para solicitar un empleo, alquilar o contratar un seguro ^[10], y la califica como la mejor manera de protegerse frente a la apertura de cuentas nuevas a su nombre ^[10]. Debe solicitarla a las tres agencias nacionales (Equifax, Experian y TransUnion). Una agencia debe aplicar la congelación en un día hábil si usted lo pide en línea o por teléfono, y levantarla en una hora ^[5]. Los padres también pueden congelar gratuitamente el crédito de menores de 16 años ^[5].

¿Qué es una alerta de fraude?

Una alerta de fraude requiere la solicitud a una sola agencia, que avisa a las otras dos ^[5]. La ley de 2018 amplió la alerta de 90 días a un año ^[5]. Una alerta estándar dura un año y es renovable sin coste, y una alerta ampliada para víctimas de robo de identidad dura siete años ^[10][9]. No limita el acceso a su informe de crédito ^[10].

¿Cuál debo elegir?

La guía de la FTC sobre filtraciones indica que, si decide no congelar el crédito, al menos debería considerar una alerta de fraude ^[7]. El consejo apunta en una dirección: la congelación ofrece más protección y la alerta de fraude es la alternativa más ligera. Si su país no tiene un equivalente, los pasos sobre contraseñas y MFA siguen siendo aplicables.

¿Cómo sé si mi correo fue hackeado o solo filtrado?

Una filtración y una toma de control de una cuenta son hechos distintos. Una filtración significa que un tercero expuso datos en un sistema vulnerable ^[2]. Una toma de control significa que alguien inicia sesión haciéndose pasar por usted. Según la lectura de esta guía, un verificador de filtraciones responde a la primera pregunta, no a la segunda, porque una entrada muestra exposición y no un inicio de sesión de otra persona.

¿Cómo pasa una filtración a convertirse en una toma de control?

Sobre todo por la reutilización de contraseñas. Los atacantes usan pares de correo y contraseña expuestos para intentar acceder a otras cuentas de las víctimas ^[4]. Si reutilizó la contraseña, cámbiela en todos los sitios donde la usó ^[7]. La FTC indica que la MFA puede proteger una cuenta aunque la contraseña se haya expuesto ^[3].

¿Qué hago si ya no puedo iniciar sesión?

Póngase en contacto con la empresa para recuperar o cerrar la cuenta ^[7]. Las señales de una toma de control varían según el servicio, por lo que esta guía no las enumera; consulte las páginas de actividad de la cuenta y de seguridad del propio servicio. Si sus datos se han utilizado indebidamente, denúncielo en IdentityTheft.gov ^[8], que ofrece un plan de recuperación personalizado ^[5].

¿Quién paga cuando ocurre una filtración y qué significan las cifras de costes?

Los titulares sobre el coste de las filtraciones describen lo que los incidentes cuestan a las organizaciones, no lo que le cuestan a usted.

El informe Cost of a Data Breach 2026 de IBM sitúa el coste medio mundial de una filtración en 4.99 millones de dólares. Se basa en filtraciones de 602 organizaciones entre marzo de 2025 y febrero de 2026, en un estudio realizado por el Ponemon Institute y patrocinado y analizado por IBM ^[6]. El mismo comunicado indica que una de cada cuatro filtraciones maliciosas estuvo habilitada por IA ^[6].

La edición de 2025 halló que el coste medio mundial bajó un 9%, hasta 4.44 millones de dólares desde 4.88 millones ^[12], la primera caída en cinco años ^[11][12], mientras que el coste medio de una filtración en EE. UU. alcanzó un récord de 10.22 millones de dólares ^[11].

¿Cómo debo interpretar estas cifras?

Son estudios del Ponemon Institute sobre organizaciones, no sobre víctimas individuales ^[6]. Cada edición tiene su propia muestra, así que considere el paso de 4.44 millones a 4.99 millones de dólares como contexto y no como una tendencia precisa. Ninguna de las cifras es una pérdida que deba esperar personalmente. Para los particulares, la respuesta práctica son los pasos de las secciones anteriores.

¿Cuáles son las ventajas y los límites de los servicios de comprobación de filtraciones?

Ventajas

• Una respuesta gratuita y rápida sobre dónde se expuso su dirección, entre los 1,048 sitios web enumerados a 3 de noviembre de 2026 ^[1].
• Las contraseñas se mantienen separadas de las direcciones de correo: no se carga ninguna con ellas y ninguna se almacena junto a datos de identificación personal ^[2].
• Las filtraciones sensibles se muestran solo al propietario verificado de la dirección ^[2].
• Las comprobaciones de contraseñas envían solo los primeros 5 caracteres de un hash SHA-1 ^[4].

Inconvenientes

• HIBP indica que su búsqueda cubre la mayoría de las filtraciones y que las sensibles requieren verificación mediante inicio de sesión ^[2].
• Algunas entradas no están verificadas o son fabricadas, por lo que un resultado no prueba que una empresa concreta fuera hackeada ^[2].
• HIBP señala que no se puede tener la certeza de que no recopile las direcciones buscadas, aunque afirma que no lo hace ^[2].
• Un resultado de contraseña «no encontrada» no significa necesariamente que la contraseña sea buena ^[4].

Un verificador es útil para decidir qué contraseñas cambiar primero. A juicio de esta guía, no puede sustituir hábitos como las contraseñas únicas y la MFA; la FTC aconseja activar la MFA y sugiere considerar un gestor de contraseñas ^[3].

¿Qué ocurrirá a continuación y qué sigue siendo incierto?

Los contadores principales están en vivo: las 17,846,896,404 direcciones en 1,048 sitios web mostradas el 3 de noviembre de 2026 no coincidirán con lo que vea más adelante ^[1]. En cuanto a los costes, el promedio de IBM pasó de 4.88 millones de dólares ^[12] a 4.44 millones en su informe de 2025 ^[11][12] y después a 4.99 millones en 2026 ^[6]. Una de cada cuatro filtraciones maliciosas del estudio de 2026 estuvo habilitada por IA ^[6]. Estas cifras no resuelven si los ataques habilitados por IA seguirán elevando los costes.

Lo que esta guía no puede decirle

• Con qué frecuencia las credenciales filtradas conducen a la toma de control de una cuenta. Aquí no se ofrece ninguna cifra con fuente.
• Normas fuera de EE. UU. No se cubren los derechos de notificación de filtraciones ni las protecciones de crédito de otros países.
• Acceso desde Irán. No había ninguna fuente fiable sobre si se puede acceder a los verificadores de filtraciones, los gestores de contraseñas o las aplicaciones de MFA desde Irán, o pagarlos, por lo que no se afirma nada. Los lectores de allí pueden aplicar igualmente los pasos de contraseñas y MFA, mientras que los pasos con las agencias de crédito solo se aplican a historiales de crédito de EE. UU.

Como los totales de HIBP cambian, volver a buscar tras la noticia de una nueva filtración es un hábito barato.