Qué hacer si tu dirección de correo electrónico aparece en una brecha de datos

Qué hacer si tu correo electrónico apareció en una brecha de datos

Que tu dirección de correo electrónico aparezca en una brecha de datos no significa, por sí solo, que alguien haya accedido a tu cuenta de correo. Primero, verifica la alerta a través de la web oficial de la empresa y averigua qué más se ha expuesto. Si se filtró una contraseña, cámbiala en todos los sitios donde la usaste y activa una protección de inicio de sesión más fuerte. Si se filtraron datos de tarjeta, banco o Seguridad Social, sigue los pasos correspondientes del banco, la agencia de crédito o IdentityTheft.gov.

• Solo dirección de correo electrónico: espera más spam y phishing dirigido a ti. No es prueba de que alguien accediera a tu buzón.
• Contraseña expuesta o marcada como comprometida: cámbiala en la cuenta afectada y en todas las demás cuentas donde usaste la misma contraseña.
• Señales de una toma de control (inicios de sesión desconocidos, datos de recuperación cambiados, reglas de reenvío que no creaste, mensajes que no enviaste): utiliza el proceso de recuperación de cuentas hackeadas de tu proveedor de correo.
• Datos de tarjeta, banco, Seguridad Social o identificación expuestos: sigue los pasos específicos para esos datos, no una lista genérica de correo electrónico.

Cómo saber si tu correo electrónico apareció en una brecha de datos

Confirma el aviso a través de la web o aplicación oficial de la empresa afectada y, después, consulta un buscador de brechas de confianza y tus alertas de contraseñas guardadas. Ningún buscador individual contiene todas las brechas, así que lee también el aviso de incidente de la empresa para saber qué datos se expusieron junto con tu dirección.

Verifica el aviso sin usar sus enlaces

Los avisos de brecha son un disfraz favorito para el phishing, así que no hagas clic en enlaces ni llames a números de teléfono del mensaje. El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido recomienda contactar con la organización a través de su página web oficial o su aplicación. Escribe tú mismo la dirección o abre la app que ya usas y, luego, busca la página de incidentes o el artículo de soporte de la empresa.

Busca la descripción del incidente por parte de la empresa y las categorías de datos que indica que se vieron afectadas, como direcciones de correo electrónico, contraseñas, números de teléfono o datos de pago. Si el aviso es vago, pregunta al equipo de soporte de la empresa a través de un canal oficial qué datos sobre ti estuvieron implicados.

Consulta Have I Been Pwned y tus alertas de contraseñas guardadas

Have I Been Pwned es un servicio gratuito de búsqueda de brechas gestionado por el investigador de seguridad Troy Hunt. Introduces una dirección de correo electrónico y lista las brechas conocidas de su conjunto de datos que incluyen esa dirección. En sus preguntas frecuentes dice que las búsquedas de correo electrónico no se registran y ofrece una alerta gratuita de "Notifícame" que solo se envía a la dirección monitorizada.

Un resultado limpio no demuestra que tu dirección nunca se haya filtrado. Have I Been Pwned solo puede informar de brechas que ha indexado, y algunos conjuntos de datos se gestionan de forma diferente o nunca se hacen públicos.

Tus herramientas de contraseñas guardadas también pueden marcar contraseñas expuestas. El Gestor de Contraseñas de Google tiene un Comprobador de Contraseñas que informa de las contraseñas guardadas como expuestas, reutilizadas o débiles. En iPhone, la sección Seguridad de la app Contraseñas identifica contraseñas débiles o comprometidas, incluidas las detectadas en filtraciones de datos conocidas. Algunos otros gestores de contraseñas ofrecen una monitorización similar. Google recomienda abrir el Comprobador de Contraseñas directamente para verificar una alerta en lugar de seguir un enlace de la notificación, lo cual es un buen hábito para cualquier advertencia de seguridad.

Lo que se filtró decide qué debes hacer

Ajusta tu respuesta a los datos que se expusieron. Una dirección de correo electrónico filtrada aumenta principalmente tu riesgo de phishing, una contraseña filtrada exige nuevas contraseñas, y los datos financieros o de la Seguridad Social filtrados exigen pasos con el banco y las agencias de crédito.

Un número de teléfono, una dirección o una fecha de nacimiento no significan que vaya a producirse un cambio de SIM. Sin embargo, esos datos facilitan la ingeniería social, y la Comisión Federal de Comercio (FTC) señala que establecer un PIN o una contraseña en tu cuenta móvil puede ayudar a bloquear cambios no autorizados.

Si la empresa dice que se expusieron hashes de contraseñas

Muchas empresas almacenan las contraseñas como hashes en lugar de texto legible. Si un aviso de brecha indica que se robaron hashes de contraseñas, sigue las instrucciones de restablecimiento de la empresa y reemplaza esa contraseña en cualquier lugar donde la hayas reutilizado. El hash puede reducir la posibilidad de recuperar una contraseña, pero la protección depende del método de hash, de su configuración y de lo fuerte que fuera tu contraseña. No des por hecho que una contraseña con hash sea legible de inmediato ni segura de forma permanente.

Si la alerta menciona un registro de stealer o malware

Algunas alertas de brechas provienen de "stealer logs", que son credenciales recopiladas por malware en un dispositivo infectado en lugar de copiadas de la base de datos de una empresa. Si una alerta lo indica específicamente, actualiza y analiza el dispositivo afectado con un software de seguridad de confianza y, después, cambia las contraseñas sensibles desde un dispositivo que sepas que está limpio. Una brecha empresarial ordinaria no significa, por sí sola, que tu teléfono u ordenador tenga malware.

Si se expuso o se reutilizó una contraseña

Actúa con rapidez cuando se expone una contraseña, porque alguien podría probar esa combinación de correo electrónico y contraseña en la cuenta afectada o en otros sitios. Cámbiala en la cuenta afectada y luego reemplázala en cualquier otro sitio donde aún la uses.

Cámbiala en la cuenta afectada

Inicia sesión escribiendo tú mismo la dirección del sitio, no a través de un enlace en un correo electrónico, y establece una nueva contraseña larga y única. IdentityTheft.gov también sugiere cambiar tu nombre de usuario si el sitio lo permite. Si no puedes iniciar sesión, contacta con la empresa y pregunta cómo recuperar o cerrar la cuenta.

Mientras tengas la sesión iniciada, comprueba si hay cambios que no hayas hecho, especialmente en sitios de compras o financieros. Revisa la dirección de envío, las tarjetas guardadas, las cuentas vinculadas y los pedidos o transacciones recientes.

Reemplázala en todos los sitios donde la reutilizaste

Cualquier otra cuenta que siga usando la contraseña filtrada está en riesgo, incluso si ese servicio no fue vulnerado. Cambia esas contraseñas a continuación, empezando por las cuentas que puedan dar acceso a otros servicios o exponer dinero o información sensible:

1. Tus cuentas de correo, ya que los enlaces de restablecimiento de contraseña de casi todo lo demás llegan allí
2. Cuentas bancarias, de pago e inversión
3. Sitios de compras que almacenan una tarjeta
4. Redes sociales, almacenamiento en la nube y cuentas de operadores telefónicos

Si tu contraseña principal no se ha reutilizado, no se ha marcado y no muestra actividad inusual, no es necesario que sea lo primero que cambies. Cámbiala cuando comparta contraseña con el sitio vulnerado o aparezca en una alerta de brecha propia.

Un gestor de contraseñas hace esto práctico al crear y almacenar una contraseña diferente para cada cuenta. Algunos gestores de contraseñas también pueden marcar contraseñas guardadas que se reutilizan o que se sabe que están expuestas. Un gestor de contraseñas no puede evitar que una empresa sea vulnerada, pero las contraseñas únicas impiden que una contraseña filtrada dé acceso a otras cuentas.

Cambia a una clave de acceso o añade una protección de inicio de sesión más fuerte

Cuando un sitio admite claves de acceso, considera usar una en lugar de una contraseña. De lo contrario, utiliza una contraseña única y activa la autenticación multifactor (MFA). Para las cuentas importantes, una aplicación de autenticación o una clave de seguridad es la opción más sólida. Los códigos por mensaje de texto siguen añadiendo protección, pero la FTC advierte que puede que no impidan un cambio de SIM.

Antes de eliminar un método antiguo de inicio de sesión, confirma que tu dirección de correo electrónico de recuperación, tu número de teléfono de recuperación, tus códigos de respaldo y tus dispositivos de confianza son tuyos y los controlas. No desactives la verificación por mensaje de texto hasta que otro método esté configurado y funcionando, o podrías quedarte sin acceso.

Si hay señales de que alguien accedió a tu cuenta de correo electrónico

Una brecha que involucre a otra empresa no significa necesariamente que alguien haya accedido a tu buzón. Los pasos siguientes solo se aplican si ves señales de que alguien se ha apoderado de tu cuenta de correo electrónico, como:

• No puedes iniciar sesión, o tu contraseña o nombre de usuario cambiaron sin que tú lo hicieras
• Alertas de inicio de sesión desde dispositivos o lugares que no reconozcas
• Direcciones de correo electrónico o números de teléfono de recuperación que no añadiste
• Mensajes enviados que no escribiste, o amigos que te avisan de correos extraños enviados desde tu cuenta

Recupera la cuenta a través de tu proveedor

Utiliza la página oficial de recuperación de cuentas de tu proveedor, a la que puedes acceder escribiendo su dirección o abriendo su aplicación. Cuando vuelvas a entrar, cambia la contraseña, cierra sesión en todas las demás sesiones y dispositivos, y activa la MFA si estaba desactivada. La FTC también sugiere actualizar tu software de seguridad y realizar un análisis.

Revisa los dispositivos, los datos de recuperación, las reglas de reenvío y las aplicaciones conectadas

Un intruso puede cambiar ajustes que le permitan conservar el acceso o enviarse copias de tus mensajes después de que restablezcas la contraseña. La guía de Google sobre cuentas comprometidas señala las comprobaciones que aparecen a continuación; utiliza los ajustes de seguridad y de correo equivalentes que ofrezca tu propio proveedor.

• Dispositivos y sesiones: revisa la actividad de seguridad reciente y elimina cualquier dispositivo que no reconozcas.
• Datos de recuperación: corrige cualquier dirección de correo electrónico, número de teléfono o nombre de cuenta de recuperación que no hayas configurado tú.
• Reenvío, filtros y delegados: elimina las reglas de reenvío, los filtros y los delegados de correo que no hayas creado. Revisa tus carpetas de enviados y de eliminados en busca de mensajes que otra persona haya enviado o leído.
• Aplicaciones conectadas: elimina las aplicaciones de terceros que tengan acceso a tu cuenta y que no reconozcas o que ya no uses.

Avisa a tus contactos si se enviaron mensajes

Si alguien envió correos desde tu cuenta, avisa a tus contactos para que no hagan clic en enlaces ni respondan a solicitudes de dinero que parezcan venir de ti.

Si se expusieron datos de tarjeta, banco o de la Seguridad Social

Los datos financieros y de identidad requieren medidas que una nueva contraseña no puede cubrir. Los pasos de esta sección siguen las directrices de IdentityTheft.gov de la FTC y son específicos de Estados Unidos. En otros países, recurre a las autoridades nacionales de ciberdelincuencia, protección de datos e informes de crédito de tu país, junto con tu banco.

Tarjeta de crédito o débito

Contacta con el emisor de tu tarjeta usando el número que aparece en el reverso de la tarjeta o en tu extracto, no un número de un mensaje sobre la brecha. Pide que cancelen la tarjeta y te den una nueva. Revisa las transacciones recientes, denuncia las que no reconozcas y actualiza los pagos automáticos con el nuevo número de tarjeta.

Cuenta bancaria o de inversión

Informa a tu banco o correduría de lo que ocurrió, usando datos de contacto que ya sabes que son reales. IdentityTheft.gov sugiere cerrar la cuenta y abrir una nueva, pero sigue las instrucciones específicas de tu entidad. Después, revisa las transacciones con regularidad y actualiza los pagos automáticos.

Número de la Seguridad Social

Un número de la Seguridad Social expuesto puede usarse para abrir crédito, presentar la declaración de la renta o conseguir un trabajo a tu nombre. Estos son los principales pasos de protección:

• Congela tu crédito con Equifax, Experian y TransUnion. Tienes que contactar con cada agencia por separado. El congelamiento es gratuito, dura hasta que lo levantes y no afecta a tu puntuación crediticia. Cualquiera puede solicitarlo en cualquier momento, pero es más importante cuando se filtran tu número de la Seguridad Social u otros datos de identidad. Bloquea la apertura de nuevas cuentas de crédito; no impide el uso indebido de tarjetas o cuentas existentes.
• Considera una alerta de fraude. Una alerta inicial es gratuita, dura un año y solo necesita una llamada: la agencia con la que contactes debe informar a las otras dos.
• Consulta tus informes de crédito en AnnualCreditReport.com, donde puedes ver gratis cada semana los informes de las tres agencias en línea.
• Acepta la monitorización de crédito gratuita si la empresa afectada por la brecha la ofrece. La monitorización te alerta sobre la actividad en tus informes, pero no bloquea el fraude como puede hacerlo un congelamiento.
• Obtén un PIN de Protección de Identidad del IRS. Ayuda a evitar que otra persona use tu número de la Seguridad Social para presentar una declaración de impuestos federal fraudulenta, y cada año se genera un nuevo IP PIN.
• Revisa tu historial laboral en una cuenta de mi Seguridad Social para comprobar si alguien usó tu número para un empleo.

Si encuentras cuentas, deudas o declaraciones de impuestos que no reconoces, repórtalas en IdentityTheft.gov. El sitio elabora un plan personal de recuperación basado en lo ocurrido.

La información de un menor

Si se expusieron el número de la Seguridad Social u otros datos de identidad de un menor, un padre, madre o tutor puede solicitar un congelamiento de crédito gratuito para el menor a cada agencia. Cada agencia tiene su propio proceso para menores, que difiere del de un adulto.

Permiso de conducir, pasaporte o información del seguro médico

Si se expuso información del permiso de conducir, contacta con la agencia de vehículos de motor de tu estado y pregunta si puede marcar el número o emitir un duplicado. Si solo se expuso tu número de pasaporte estadounidense, el Departamento de Estado ha dicho que no recomienda denunciar el pasaporte como perdido o robado; hazlo solo si el libro o la tarjeta física del pasaporte realmente se ha perdido o te lo han robado, porque la denuncia lo cancela. Si se expuso información de Medicare, Medicaid o de un seguro médico, contacta con el programa o la aseguradora a través de un número que sepas que es real y revisa tus reclamaciones y los resúmenes de Explicación de Beneficios en busca de atención que no recibiste. Si se hace un uso indebido de alguno de estos datos, repórtalo en IdentityTheft.gov.

Estate atento al phishing con temática de brechas

Los estafadores usan las brechas reales como cebo, y estos mensajes pueden llegar mucho después de que una brecha salga en las noticias. Los temas habituales incluyen una "actualización de seguridad" que te pide iniciar sesión, una oferta de compensación, un restablecimiento urgente de contraseña y una advertencia de que tus datos están a la venta en la dark web. El consejo de la FTC para este último caso se aplica a todos: no hagas clic en ningún enlace ni uses ningún número de teléfono del mensaje. Ve directamente al sitio web o a la app de la empresa.

Desconfía de los códigos de verificación o de los correos de restablecimiento de contraseña que no hayas solicitado. Pueden significar que alguien introdujo tu dirección en un formulario de inicio de sesión o de recuperación, pero no demuestran que esa persona conozca tu contraseña. No compartas el código ni apruebes la solicitud. Revisa la actividad de seguridad reciente de la cuenta y cambia la contraseña si se reutiliza, se marca como comprometida o va acompañada de señales de acceso no autorizado.

Reporta el phishing con el botón de reportar de tu app de correo electrónico para que sus filtros mejoren. En EE. UU., denuncia estafas y fraudes en ReportFraud.ftc.gov, y usa IdentityTheft.gov si alguien ha usado realmente tu información.

Si la cuenta pertenece a tu trabajo o a tu centro educativo

Si la dirección o la cuenta afectada la gestiona un empleador o un centro educativo, contacta con su equipo de TI o de seguridad a través de un canal aprobado y sigue sus instrucciones antes de cambiar ajustes gestionados por la organización. Comparte el aviso solo con el equipo autorizado o la dirección de reporte, no con un grupo amplio de compañeros de trabajo o de clase.

Reduce tu exposición antes de la próxima brecha

No puedes evitar que todas las empresas sufran brechas, pero sí puedes limitar cuánto revela una brecha y hasta dónde se propaga. Las contraseñas únicas guardadas en un gestor de contraseñas evitan que una filtración dé acceso a otras cuentas. Microsoft también sugiere mantener direcciones de correo separadas, como una para amigos y familiares y otra para cuentas en línea.

Para registros de bajo riesgo como boletines, cupones y descargas puntuales, una dirección separada mantiene tu bandeja de entrada principal fuera de una lista de clientes más. Un alias permanente conviene a las cuentas que quieres conservar, mientras que una dirección de correo temporal conviene a los registros puntuales; nuestra comparación de alias de correo temporal y correo electrónico explica las ventajas y desventajas.

El correo temporal no repara una brecha que ya ha ocurrido, y no está pensado para la banca, el trabajo, la atención sanitaria, la recuperación de cuentas ni ninguna cuenta que necesites conservar. Tmailor es solo de recepción, no acepta archivos adjuntos y elimina los mensajes unas 24 horas después de que lleguen. Algunos sitios también bloquean las direcciones desechables.

Esta guía explica qué hacer después de una brecha. Si quieres reducir tu exposición antes de la próxima, lee cómo el correo temporal limita lo que puede exponer una brecha de datos.