Cómo saber si tus datos se han filtrado y qué hacer con cada uno

Cuando una empresa sufre una filtración, el problema no es que tus datos “estén en Internet”, sino lo que alguien puede hacer con ellos. Una contraseña filtrada se arregla en cinco minutos; un DNI filtrado no se puede cambiar, pero sí vigilar. Para saber dónde estás, haz dos comprobaciones: busca tu correo en Have I Been Pwned y pasa la revisión de contraseñas de Google (o la de tu gestor de contraseñas). Después, actúa según el tipo de dato, porque no todos tienen el mismo riesgo ni se protegen igual.

Cómo te enteras de una filtración

Hay tres vías, y conviene no depender solo de una:

• El aviso de la propia empresa. Si la filtración supone un riesgo alto para ti, la empresa debe comunicártelo explicando qué ha pasado y qué medidas tomar. Suele detallar qué datos se han visto afectados.
• Los avisos de INCIBE, que publica cuando una empresa conocida comunica una filtración a sus clientes.
• Las comprobaciones que haces tú, con las herramientas que se explican a continuación.

Ojo: los delincuentes también aprovechan las filtraciones para enviar mensajes falsos del tipo “tu cuenta se ha visto afectada, verifica tus datos aquí”. No pulses sus enlaces; entra en la web o la app de la empresa escribiendo tú la dirección, como harías ante cualquier correo falso.

Paso 1: busca tu correo en Have I Been Pwned

Have I Been Pwned reúne filtraciones conocidas y te permite buscar una dirección de correo para ver en cuáles aparece. Está en inglés, pero es sencillo: escribes tu correo y te muestra cada filtración con el nombre del servicio, la fecha y qué tipo de datos se expusieron.

Para interpretar el resultado:

• No te enseña tu contraseña. El servicio no guarda las contraseñas junto a los correos ni las muestra.
• Algunas filtraciones solo las ve el dueño del correo. Las sensibles no aparecen en la búsqueda pública; tienes que verificar que la dirección es tuya.
• Puedes suscribirte a avisos para que te escriban si tu correo aparece en una filtración nueva.
• Busca por correo, no por teléfono ni por DNI. Que tu DNI no salga ahí no significa nada.

Prueba con todas tus direcciones, incluidas las antiguas, que pueden seguir vinculadas a cuentas olvidadas.

Paso 2: revisa tus contraseñas guardadas

Si guardas las contraseñas en Chrome o en tu cuenta de Google, la Revisión de contraseñas compara las que tienes guardadas con las publicadas en filtraciones. Según la ayuda de Google, puedes abrirla así:

• Desde Chrome en el ordenador: menú de los tres puntos > Contraseñas y Autocompletar > Gestor de contraseñas de Google > Revisión, en el panel izquierdo.
• Desde cualquier navegador: entra en passwords.google.com y elige Ir a Revisión de contraseñas > Comprobar contraseñas.

El resultado separa contraseñas expuestas en filtraciones, débiles y reutilizadas. Empieza por las expuestas que protegen dinero (banco, correo, tiendas con tarjeta guardada). Los menús de Google cambian a menudo; si no encuentras la opción, búscala en la ayuda de tu cuenta.

INCIBE recomienda usar un gestor de contraseñas porque puede avisarte cuando una cuenta se filtra. Tienes cómo empezar en contraseñas seguras y gestor de contraseñas.

Paso 3: qué riesgo tiene cada dato y qué hacer

INCIBE aconseja dar por comprometido cualquier dato que hubieras compartido con la empresa afectada, aunque el aviso no lo mencione. A partir de ahí, esto es lo que puede pasar con cada uno:

Dato filtrado	Qué pueden hacer con él	Qué haces tú
Contraseña	Entrar en esa cuenta y en cualquier otra donde uses la misma	Cambiarla en todas partes y activar la verificación en dos pasos
Correo electrónico	Enviarte correos de phishing más creíbles	Desconfiar de mensajes que mencionan la filtración
Teléfono	SMS y llamadas haciéndose pasar por tu banco	No dar claves ni códigos por teléfono, nunca
Nombre, dirección o DNI	Suplantarte para contratar servicios a tu nombre	Vigilar cartas, recibos y préstamos que no reconozcas
IBAN	Domiciliar recibos que no has autorizado	Revisar los recibos y devolver los que no reconozcas
Tarjeta	Compras en tiendas online	Llamar al banco para bloquearla y pedir una nueva

Contraseña

Es el caso más urgente y el más fácil de resolver. Cambia la contraseña en el servicio afectado y en cualquier otro donde usaras la misma o una parecida, porque los atacantes prueban las contraseñas filtradas en otros servicios. Si además activas la verificación en dos pasos, una contraseña filtrada por sí sola ya no basta para entrar.

Correo y teléfono

No permiten entrar en tus cuentas, pero sirven para engañarte. Como advierte INCIBE, quien sabe tu nombre, tu teléfono y qué empresas usas puede hacerse pasar por tu banco de forma muy convincente. La defensa es la de siempre: ninguna entidad legítima te pide contraseñas, códigos ni datos de tarjeta por SMS, llamada o enlace. Para registros puntuales, INCIBE sugiere usar un correo alternativo.

DNI, nombre y dirección

Estos datos no se pueden cambiar, y por eso se usan para suplantar tu identidad: dar de alta un suministro, un seguro o un alquiler a tu nombre. Según INCIBE, el riesgo aumenta si además se filtran imágenes del DNI o números de cuenta.

No hay una solución única, pero sí formas de vigilar:

• Revisa tu correo postal y tu correo electrónico en busca de bienvenidas, contratos o reclamaciones de deudas que no reconozcas. Si aparece algo, contacta con esa empresa por sus canales oficiales y denuncia la suplantación.
• Consulta la CIRBE del Banco de España. Es la Central de Información de Riesgos, donde los bancos declaran los préstamos y créditos de sus clientes. Cualquier persona puede pedir gratis el informe de lo que figura a su nombre en la sede electrónica del Banco de España. Ten en cuenta que refleja la información con cierto retraso, porque se basa en declaraciones mensuales, y que el informe resumido no incluye las operaciones de menos de 1.000 € con una entidad (el detallado, que solo puede pedir el titular, sí). Si ves un préstamo que no es tuyo, pide a la entidad que lo corrija y puedes reclamar ante el Banco de España.
• Busca tu nombre en Internet de vez en cuando para detectar perfiles falsos, como recomienda INCIBE.
• No envíes copia de tu DNI a nadie que no lo necesite de verdad.

IBAN

Con tu IBAN alguien puede hacerte un ingreso, pero no sacar dinero por transferencia. El riesgo real es que lo usen para domiciliar recibos que no has autorizado. Por eso conviene revisar los cargos de la cuenta, y si aparece uno que no reconoces, el Banco de España indica que tienes 13 meses para pedir su devolución cuando no diste autorización. Las alertas de gastos del banco te ayudan a verlos en el momento.

Tarjeta

Si la filtración incluye el número de tarjeta, llama a tu banco para que evalúe el riesgo: puede bloquearla y emitir una nueva. Mientras tanto, revisa los movimientos. Si ya ves compras que no has hecho, sigue los pasos de cargos desconocidos en la tarjeta.

Errores habituales

• Cambiar solo la contraseña del servicio filtrado y dejar la misma en el correo o el banco.
• Pulsar el enlace del correo que avisa de la filtración, que puede ser falso.
• Pensar que, si no ha pasado nada en una semana, ya no pasará. Los datos filtrados pueden usarse meses después. Lo prudente es mantener la vigilancia.
• Revisar solo el correo principal y olvidar las direcciones antiguas.

Tus derechos ante la empresa

Tienes derecho a pedir a la empresa la información que tiene sobre ti. Si crees que no protegió tus datos con la diligencia debida, INCIBE recuerda que puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD). Si la AEPD sanciona a la empresa y puedes demostrar que su mala praxis te causó un daño, cabe reclamar una indemnización por la vía civil. Para orientación gratuita y confidencial sobre qué hacer en tu caso concreto, puedes llamar al 017 de INCIBE.

Preguntas frecuentes

Mi correo aparece en varias filtraciones, ¿me han hackeado?

No necesariamente. Significa que una empresa donde tenías cuenta sufrió una filtración, no que alguien haya entrado en tu correo. Lo que tienes que hacer es cambiar las contraseñas de esos servicios y de cualquier otro donde las repitieras.

¿Es seguro escribir mi contraseña en una web para comprobar si está filtrada?

Ten cuidado con webs desconocidas que te piden escribir contraseñas. Las herramientas reconocidas, como la revisión de contraseñas de Google o la función Pwned Passwords de Have I Been Pwned, explican cómo tratan los datos; en el caso de Have I Been Pwned, la contraseña se anonimiza antes de enviarse. En general, es más cómodo dejar que lo compruebe tu gestor de contraseñas.

¿Me pueden sacar dinero solo con mi DNI y mi IBAN?

Con esos datos no pueden entrar en tu banca ni hacer transferencias desde tu cuenta, porque para eso hacen falta tus claves y la confirmación del banco. Sí pueden intentar domiciliar recibos o suplantarte ante otras empresas, por eso conviene revisar los cargos y la correspondencia.

¿Tengo que pedir un DNI nuevo si se ha filtrado?

Si solo se ha filtrado el número, cambiar el documento no cambia el número, así que la medida útil es la vigilancia. Si lo que has perdido o te han robado es el documento físico, el caso es distinto y debes denunciarlo.