Octubre mes de la Ciberseguridad - Día 13: Comprueba si tu correo fue filtrado (y qué hacer si aparece en una fuga)

[jorgesdb]

Comprobar si tu correo o tus credenciales han sido expuestos es una de las cosas más prácticas que puedes hacer hoy para reducir riesgos.

Hay servicios gratuitos y de pago que rastrean brechas públicas y el “lado oscuro” (dark web) y te avisan si encuentran tu email, número de teléfono, contraseña o datos personales.

Qué servicios puedes usar (y qué hacen)

• Have I Been Pwned (HIBP): la base más conocida para comprobar correos comprometidos en brechas públicas. También tiene “Pwned Passwords” y una API k-anonymity que permite comprobar contraseñas sin enviarlas en claro. Muy práctico para saber si una contraseña concret a fue filtrada.
• Mozilla / Firefox Monitor: servicio de monitorización que reutiliza datos de HIBP y te entrega informes claros (qué tipos de datos se filtraron y cuándo). Puedes registrarte para recibir alertas. Mozilla es una fundación con la privacidad de sus usuarios en mente.
• DeHashed (y similares): soluciones más agresivas / comerciales que buscan en bases de datos grandes (clear + dark web) correos, teléfonos, documentos y te notifican; útiles si quieres monitorización continua y búsquedas más profundas. Los hay gratuitos con funciones limitadas y versiones de pago para empresas y particulares avanzados.

Cómo comprobar sin empeorar la seguridad (principio k-anonymity)

• No pongas tus contraseñas en buscadores de brechas en texto claro. Usa servicios que emplean k-anonymity (mecanismo que permite comprobar si una contraseña aparece en una base de filtraciones sin enviar la contraseña completa al servicio). HIBP y varios navegadores / gestores usan esa técnica.

Qué hacer si tu correo o contraseña aparecen en una brecha

1. Cambia la contraseña afectada por una nueva, larga y única (no la reutilices).
2. Activa verificación en dos pasos (2FA) en esa cuenta y, si es posible, usa una app de autenticación o llave física en lugar de SMS.
3. Revisa otros servicios donde uses el mismo email/contraseña y cambia también esas credenciales (el riesgo principal es la reutilización de contraseñas).
4. Si la contraseña filtrada es vieja y ya no la usas, igual cambia las cuentas donde sí la reutilizaste: la posibilidad de credential stuffing sigue siendo real.
5. Habilita alertas y monitorización (por ejemplo HIBP “Notify” o Firefox Monitor) para recibir avisos futuros.

Acciones adicionales según datos filtrados

• Si se filtraron datos financieros (tarjetas, cuentas bancarias): contacta al banco, vigila movimientos y considera bloquear o emitir una nueva tarjeta.
• Si se filtró el teléfono: prevé riesgo de SIM swapping; contacta con tu operador y pide PIN de portabilidad o medidas antifraude.
• Si se filtró DNI, pasaporte u otros identificadores:
  • Solicita una alerta de fraude en los ficheros de solvencia (ASNEF, Experian, Equifax, etc.).
  • Los grandes ficheros de solvencia patrimonial (ASNEF-Equifax, Experian-BADEXCUG) permiten registrar una alerta de fraude o de identidad suplantada. Esto indica a las entidades financieras que deben verificar con especial atención cualquier solicitud de crédito, contrato o alta de servicio a tu nombre.
  • Cuando alguien intenta abrir una cuenta, solicitar un préstamo o financiación a tu nombre, la entidad verá esa alerta y normalmente contactará contigo para confirmar que realmente lo has solicitado. No bloquea el crédito como en EE.UU, pero disuade y retrasa la aprobación automática de operaciones sospechosas.
  • Revisa tu informe CIRBE del Banco de España.
  • Ante cualquier crédito desconocido, informa al banco y denuncia ante las FCSE.

Cómo priorizar cambios

• Empieza por correo principal y cualquier servicio de recuperación (banca, gestor de contraseñas, nube).
• Luego redes sociales, tiendas online y servicios con datos de pago.
• En paralelo, activa 2FA donde no lo tengas.

Medidas de prevención a medio/largo plazo

• Usa un gestor de contraseñas para tener contraseñas únicas y largas.
• Activa 2FA con app o llave de seguridad.
• No reutilices contraseñas entre servicios sensibles.
• Suscríbete a una o varias monitorizaciones (HIBP + Firefox Monitor cubren mucho).

Cómo distinguir avisos legítimos de phishing

• Las notificaciones de brechas reales normalmente no piden que “verifiques tu contraseña” mediante un enlace. Si recibes un correo que te pide clicar para “reconfirmar” algo, ve directamente al sitio oficial y cambia la contraseña desde allí. Los atacantes usan el gancho de “tu cuenta fue comprometida” para captar credenciales. (sospecha siempre de enlaces no solicitados).

Derechos y pasos legales (UE / España / GDPR)

• Si tus datos se han filtrado por culpa de una empresa que no protegió adecuadamente los datos, puedes ejercer derechos bajo GDPR: derecho de acceso, rectificación y supresión, y derecho a presentar reclamación ante la autoridad de protección de datos.