Encontrar tu dirección de correo en una filtración de datos no demuestra que tu cuenta haya sido hackeada. Para saber si tu correo electrónico se ha filtrado, introdúcelo en Have I Been Pwned: este servicio gratuito enumera las brechas conocidas que lo contienen. A 28 de octubre de 2026, su base de datos recoge 1.048 sitios comprometidos y más de 17 800 millones de direcciones.
¿Cómo comprobar si tu correo electrónico se ha filtrado?
Abre haveibeenpwned.com, escribe tu dirección en el campo de búsqueda y valida. El sitio responde con la lista de brechas en las que aparece o con un mensaje que indica que no se ha encontrado ninguna brecha. Las búsquedas no se registran, según las preguntas frecuentes de HIBP.
Prueba cada dirección que utilices
El resultado solo afecta a la dirección introducida. Prueba, por tanto, tu dirección principal, la profesional si la usaste para registros privados y los buzones antiguos (Gmail, Outlook, Yahoo) que aún conservas. CaptainVerify ofrece además una herramienta de prueba de direcciones de correo que permite comprobar si un correo ha sido comprometido en una filtración de datos.
Prueba tus contraseñas
El servicio «Pwned Passwords» de HIBP compara una contraseña con las ya expuestas en filtraciones. Las contraseñas se convierten en un hash SHA-1 y se anonimizan antes del envío. En este servicio no se almacena ninguna contraseña junto a datos personales, según HIBP.
¿Qué significa el resultado: han hackeado tu cuenta?
No necesariamente. Aparecer en una brecha indica que un servicio en el que dejaste esa dirección perdió datos. Tu buzón puede seguir intacto. A la inversa, un resultado vacío solo garantiza que ninguna brecha conocida por HIBP contiene la dirección. Todo depende de lo que se haya robado y de si reutilizas contraseñas.
HIBP clasifica las brechas por nivel de certeza. Una brecha «unverified» (no verificada) es una filtración cuya legitimidad no se pudo establecer sin duda razonable. Una «spam list» reúne datos usados para spam dirigido, sin que haya sido necesariamente hackeado un sistema. Una «sensitive breach» no aparece en la búsqueda pública: solo la ve el propietario verificado de la dirección, desde su panel.
¿Qué datos pueden haberse filtrado junto con tu dirección?
Depende del servicio afectado: a veces solo la dirección, a veces mucho más. La filtración del operador francés Free, ocurrida en octubre de 2024 y añadida a HIBP el 27 de mayo de 2025, muestra hasta dónde puede llegar. Según la ficha de HIBP, afectaba a 14 millones de direcciones únicas, es decir, 13,9 millones de cuentas en la vista previa de la ficha. Se asociaban a ellas datos de identidad (nombre, dirección postal, teléfono, sexo, fecha de nacimiento) y, en muchos casos, un IBAN.
Lee, pues, la lista de brechas con una pregunta: ¿qué información di a qué servicio? Una brecha en la que dejaste un IBAN exige una reacción más rápida que un foro en el que solo diste un apodo.
¿Una dirección de correo sola supone un riesgo?
Sí, un riesgo real. Una dirección expuesta alimenta el phishing dirigido y el credential stuffing, que prueba automáticamente en otros sitios pares de dirección y contraseña robados.
El estafador que sabe de qué servicio eres cliente (un operador como Free, un banco, una tienda) puede redactar un mensaje creíble, e incluso suplantar al remitente (consulta la suplantación de correo). Un falso enlace de seguimiento de paquete o de reembolso basta para obtener tus credenciales: es el principio del phishing. En cuanto al credential stuffing, solo funciona si la misma contraseña se usa en otro sitio. Con una contraseña única por servicio, una filtración queda limitada a ese servicio.
¿Qué hacer si tu dirección aparece en una filtración de datos?
Sigue el orden del folleto de tres páginas publicado el 1 de octubre de 2026 por la autoridad francesa de protección de datos, la CNIL, y por Cybermalveillance.gouv.fr, «Violation de données personnelles, que faire en 3 étapes clés ?» (qué hacer en 3 pasos clave ante una violación de datos personales): primero la primera semana, luego las semanas siguientes, por último el día a día.
La primera semana
Conserva la notificación del organismo afectado: te servirá de prueba. Cambia después la contraseña empezando por el correo, porque permite restablecer todas las demás cuentas. Elige una contraseña única que recuerde un gestor de contraseñas y activa la autenticación en dos pasos o una clave de acceso («passkey») cuando el servicio la ofrezca. Desconfía de los correos, SMS y llamadas que mencionen el servicio afectado.
Las semanas siguientes
Abre los ajustes de tu correo y revisa tres puntos: las sesiones activas, las direcciones de recuperación y las reglas de reenvío automático. Un atacante añade estas reglas para recibir copia de tus mensajes. Cambia también cualquier contraseña que hayas reutilizado en otro sitio. En Gmail, según Google, el reenvío se configura en Configuración > Ver todos los ajustes > «Reenvío y correo POP/IMAP». Los dispositivos conectados se controlan en la sección de seguridad de tu cuenta de Google. Cybermalveillance.gouv.fr, el servicio público francés de asistencia en ciberseguridad, detalla esta revisión para un buzón hackeado, con el cierre de sesiones y el restablecimiento de las contraseñas reutilizadas.
Si la filtración afectaba a datos bancarios, avisa a tu banco. Vigila después tus extractos y no firmes ningún mandato SEPA sospechoso.
En el día a día
Da a los servicios la menor información posible. Mantén separadas una dirección profesional y una personal. Elimina las cuentas que no uses: una base de datos que has abandonado ya no puede filtrar tu dirección.
¿Hay que cambiar de dirección de correo tras una filtración?
Pocas veces. Tu dirección ya figura en las bases que se filtraron y cambiar de buzón te obligaría a actualizar cada cuenta. Renovar la contraseña del correo y activar la autenticación en dos pasos protege más.
El cambio se justifica si el buzón se vuelve inutilizable por los mensajes fraudulentos. De cara al futuro, un alias de correo permite aislar los registros. Es una dirección de reenvío propia de cada servicio: si el alias de un sitio se filtra, lo eliminas sin tocar tu dirección principal.
¿A quién avisar y cómo denunciar una filtración?
Corresponde al organismo afectado informarte de una violación. La CNIL no puede decirte si formas parte de una. Si no has recibido ninguna notificación, escribe al servicio afectado para pedir detalles. La CNIL desaconseja además los sitios desconocidos que afirman tener los datos y decirte si estás afectado. Have I Been Pwned, gestionado por Troy Hunt desde 2013, se limita a indicar las brechas que ha indexado.
El RGPD (el reglamento europeo de 2016) te da derecho de supresión: puedes pedir a un servicio que elimine tu cuenta y los datos asociados. En caso de perjuicio probado, como un cargo fraudulento o una suplantación de identidad, la denuncia se presenta en Francia en línea en «THESEE». Cybermalveillance.gouv.fr cita este servicio del Ministerio del Interior francés.
Una dirección divulgada sigue divulgada: lo que se cambia es la cerradura que hay detrás. Vuelve a abrir la ficha de cada brecha que enumera Have I Been Pwned y ocúpate primero de las que afectan a tu correo o a tus datos bancarios.
