Tus datos ya están filtrados. Esto es lo que sí puedes hacer.
Comprueba tu correo en Have I Been Pwned. Y antes de cambiar ninguna contraseña, lee el apartado del orden: casi todo el mundo empieza cambiando la que menos importa.
Si llevas más de cinco años usando internet, tu correo está en alguna filtración. No es alarmismo: es aritmética. Y la pregunta útil no es si ha pasado, sino qué se filtró exactamente y qué de eso sigue sirviendo hoy para entrar en tus cuentas.
La parte incómoda, primero
Una filtración no se puede deshacer. Cuando los datos de una empresa acaban circulando, están copiados en decenas de sitios a la vez. No hay botón de borrar, no hay empresa a la que llamar para que los retire y no hay servicio de pago que los elimine, por mucho que se anuncie.
Eso suena a mala noticia y en parte lo es. Pero tiene una consecuencia práctica muy útil: deja de perder el tiempo intentando borrar lo filtrado y dedícalo a que no sirva para nada. Ese es todo el objetivo de esta guía.
Dónde comprobarlo
- Have I Been Pwned. La referencia. Metes tu correo y te dice en qué filtraciones aparece, de qué fecha y qué tipo de dato se expuso en cada una. Gratis y sin registro.
- El comprobador de contraseñas de tu navegador o gestor. Chrome, Firefox, Safari y los gestores de contraseñas avisan si una contraseña guardada aparece en una filtración conocida. Es lo más cómodo, porque te dice qué contraseña concreta, no solo que hubo un problema.
- La sección de seguridad de tu cuenta de Google o Apple. Ambas revisan las contraseñas guardadas y avisan de las comprometidas y de las repetidas.
Un aviso sobre las webs que piden más de la cuenta. Hay servicios que para «comprobar tus datos» te piden registrarte, dar el teléfono o pagar una suscripción de vigilancia. Antes de dar nada, pregúntate si no acabas de entregar datos nuevos a cambio de saber que los viejos se filtraron.
Qué significa salir en la lista, y qué no
Aquí se confunde mucha gente, y la confusión lleva a hacer lo que no toca.
- Significa que una empresa donde tenías cuenta perdió datos, y que los tuyos estaban dentro.
- No significa que te hayan entrado en esa cuenta, ni que alguien esté usándola ahora.
- No significa que tu ordenador o tu móvil tengan un virus. La filtración fue de ellos, no tuya.
- Sí significa que si esa contraseña la usabas en más sitios, esos otros sitios son el problema de verdad.
Fíjate en el tipo de dato que indica cada filtración, porque no todas pesan igual. Que se filtre tu correo y la fecha en que te registraste es molesto. Que se filtren contraseñas, respuestas de seguridad o tu número de teléfono es otra categoría.
El orden correcto, que casi nadie sigue
El instinto es entrar en la web filtrada y cambiar ahí la contraseña. Es el paso menos urgente de todos. Este es el orden que de verdad reduce el riesgo:
- 1. Tu correo principal, antes que nada. Es la cuenta que puede restablecer todas las demás. Si cae, da igual lo fuertes que sean el resto. Cómo asegurarlo está en alguien está en tu correo.
- 2. Todo sitio donde repitieras esa contraseña. Este es el paso que importa. Los atacantes cogen el par correo-contraseña de una filtración y lo prueban en cincuenta servicios más. Se llama relleno de credenciales y funciona precisamente porque la gente repite.
- 3. El banco y lo que tenga dinero dentro. Aunque no aparezcan en ninguna filtración, si compartían contraseña con algo que sí, ya no cuentan como seguros.
- 4. Activa el doble factor donde puedas, empezando por el correo. Vale más que cualquier contraseña larga: aunque tengan la tuya, sin el segundo paso no entran. Está explicado en autenticación multifactor.
- 5. Y por último, sí, la cuenta del sitio filtrado.
Por qué cambiar la contraseña casi nunca basta
Porque el problema no era esa contraseña: era que estaba en más sitios.
Si cambias la de la web filtrada y dejas la misma en el correo, la tienda y la red social, no has arreglado nada. Has cerrado la puerta por la que ya no iban a entrar y has dejado abiertas las demás.
La única forma realista de que esto no vuelva a pasar es que cada sitio tenga una contraseña distinta, y eso no se sostiene con memoria: se sostiene con un gestor. Cuál elegir está en la comparativa de gestores de contraseñas.
Los datos que no puedes cambiar
Y aquí está la parte que ninguna herramienta resuelve. Una contraseña se cambia en treinta segundos. Estos no:
- Tu número de teléfono. Cambiarlo es un incordio enorme, y encima es la llave de recuperación de media vida digital.
- Tu DNI, tu fecha de nacimiento, tu dirección. No se cambian, punto.
- Las respuestas de seguridad tipo «apellido de soltera de tu madre», que además son públicas para quien mire dos minutos.
Lo que sí puedes hacer con ellos es quitarles poder:
- Deja de usar el SMS como segundo factor donde haya alternativa, y usa una app de códigos. El motivo está en ataques de SIM swapping: con tu número filtrado, duplicar tu tarjeta es un camino conocido.
- Cambia las respuestas de seguridad por texto inventado. No tiene que ser verdad. «Apellido de tu madre» puede responderse con una palabra aleatoria guardada en el gestor.
- Asume que tu teléfono y tu nombre circulan, y trata cualquier llamada o SMS «de tu banco» que los use como lo que es: alguien que ha leído una lista.
Vigilar de aquí en adelante
- Suscríbete al aviso de Have I Been Pwned. Te escribe si tu correo aparece en una filtración nueva. Es gratis y es lo más rentable que puedes hacer en dos minutos.
- Haz caso al gestor cuando marque una contraseña repetida. Esa lista de avisos que todo el mundo ignora es exactamente el mapa de lo que se rompería en la próxima filtración.
- Revisa las sesiones activas de tu correo y de tus redes cada cierto tiempo. Un dispositivo que no reconoces es una señal mucho más fiable que cualquier corazonada.
Qué puedes exigir en España
Esto se sabe poco y conviene tenerlo claro: la empresa que perdió tus datos tiene obligaciones, no solo tú.
- Tiene que comunicártelo cuando la filtración suponga un riesgo alto para ti, y notificarlo a la autoridad de protección de datos.
- Puedes reclamar ante la AEPD, la Agencia Española de Protección de Datos, si crees que no lo hizo o que no protegía tus datos como debía.
- Puedes pedirle que borre tus datos si ya no eres cliente. No recupera lo filtrado, pero reduce lo que se filtrará la próxima vez.
- Y tienes el 017 de INCIBE, gratuito, si no sabes por dónde empezar.
Lo que hay que recordar
Que la pregunta «¿me han filtrado los datos?» tiene casi siempre la misma respuesta, y por eso es la pregunta equivocada. La buena es: ¿qué de lo filtrado sigue sirviendo para entrar en algún sitio mío?
Si la respuesta es «nada, porque cada cuenta tiene su contraseña y el correo lleva doble factor», entonces una filtración es una molestia. Si la respuesta es «la contraseña que uso en todo», entonces es un problema serio, y no lo arregla ninguna web de comprobación: lo arreglas tú en una tarde.