Cómo comprobar si tu dirección de correo apareció en una filtración de datos

Qué significa realmente una filtración de datos para tu correo

Cuando una empresa sufre una filtración de datos, los atacantes rara vez se guardan lo robado para sí mismos. Las bases de datos con direcciones de correo, contraseñas, nombres, teléfonos y otros detalles de cuentas se copian, se comercian y acaban publicándose en lo que los investigadores de seguridad llaman volcados de filtraciones. Con el tiempo, los volcados individuales se fusionan en listas combinadas enormes — a menudo llamadas combolists — que circulan libremente por foros y sitios de intercambio de archivos. Tu dirección de correo no necesita pertenecer a una cuenta importante para acabar en una de ellas. Un foro en el que te registraste en 2013, una tienda online que usaste una vez o un servicio que ya no existe pueden ser el origen. La filtración ocurrió en sus servidores, pero la exposición es tuya.

El peligro práctico no suele ser la filtración original en sí, sino lo que viene después. Los atacantes toman esas listas y lanzan ataques de credential stuffing: prueban cada par filtrado de correo y contraseña contra cientos de otros servicios, apostando a que la gente reutiliza contraseñas. Si tu contraseña de un foro de mascotas filtrado es la misma que protege tu cuenta de correo principal, la filtración del foro acaba de convertirse en el secuestro de tu correo. Las direcciones filtradas también alimentan el phishing dirigido, porque un atacante que sabe qué servicios usas puede fabricar correos falsos mucho más convincentes. Por eso saber si tu dirección ha quedado expuesta — y dónde — es genuinamente útil, no simple curiosidad morbosa.

Cómo funcionan los servicios de comprobación de filtraciones

Los servicios de comprobación de filtraciones resuelven un problema de indexación bastante directo. Los investigadores obtienen copias de los volcados a medida que aparecen, verifican que los datos son auténticos y cargan las direcciones afectadas en una base de datos consultable. Cuando introduces tu dirección, el servicio te dice en qué filtraciones conocidas aparecía, cuándo ocurrió cada una y qué categorías de datos quedaron expuestas: contraseñas, teléfonos, direcciones postales, etcétera. El servicio más consolidado, Have I Been Pwned, ha catalogado miles de millones de cuentas filtradas en cientos de incidentes y lo usan tanto particulares como empresas que vigilan sus propios dominios.

Una objeción razonable es que escribir tu contraseña en una web para comprobar si se filtró suena a idea pésima — y escrita en la web equivocada, lo sería. La función de comprobación de contraseñas de Have I Been Pwned evita el problema con una técnica llamada k-anonimato. Tu navegador calcula el hash de la contraseña en local y solo envía al servidor los cinco primeros caracteres de ese hash. El servidor responde con todos los hashes filtrados que empiezan por esos cinco caracteres — normalmente varios cientos de candidatos — y tu navegador busca la coincidencia en local. El servicio nunca ve tu contraseña, ni siquiera una parte del hash suficiente para identificarla. El diseño completo fue documentado públicamente por el creador del servicio y desde entonces lo han adoptado gestores de contraseñas y navegadores para sus propias funciones de detección de filtraciones.

El modelo de k-anonimato detrás de Pwned Passwords lo explica en detalle Troy Hunt, responsable de Have I Been Pwned: Troy Hunt — Pwned Passwords y el modelo de k-anonimato ↗

Cómo comprobar tu dirección paso a paso

Empieza por Have I Been Pwned en haveibeenpwned.com. Introduce tu dirección de correo en el buscador y envíala. El resultado será o bien un vacío tranquilizador o bien una lista cronológica de filtraciones que incluían tu dirección, cada una con una breve descripción del incidente y las clases de datos expuestas. Lee esas clases de datos con atención: una filtración que solo expuso direcciones de correo es una molestia, mientras que una que expuso contraseñas o hashes de contraseñas exige actuar de inmediato. Repite la comprobación con todas las direcciones que uses activamente, incluidas las antiguas que todavía te reenvían correo, porque las cuentas registradas con ellas son igual de vulnerables.

Ya que estás allí, suscríbete a las notificaciones de filtraciones. Have I Been Pwned te permite registrar una dirección y te avisará por correo cuando aparezca en una filtración recién cargada, convirtiendo una comprobación manual que podrías olvidar en una alerta automática. El servicio de notificaciones verifica que controlas la dirección antes de activar las alertas, así que no puedes suscribirte a direcciones ajenas. Para la mayoría de los usuarios, este único paso captura casi todo el valor: las filtraciones se descubren continuamente, y la dirección que hoy está limpia puede aparecer en un volcado cargado el mes que viene.

Mozilla Monitor (antes Firefox Monitor) es una segunda opción sólida, construida sobre los mismos datos de filtraciones. Ofrece la misma búsqueda por dirección más una monitorización continua ligada a una cuenta gratuita de Mozilla, y presenta los resultados con una guía de resolución paso a paso para cada filtración. Usar ambos servicios no cuesta nada y lleva minutos. Si tienes un dominio propio, Have I Been Pwned ofrece además monitorización de dominio completo, que informa de todas las direcciones de tu dominio que aparecen en cualquier filtración — algo útil porque las direcciones fáciles de adivinar, como info@ o contact@, acumulan una exposición que nunca ves.

Puedes comprobar tu dirección y leer la explicación completa de cómo se tratan los datos de filtraciones en el FAQ oficial: Have I Been Pwned — preguntas frecuentes ↗

El servicio de monitorización gratuito de Mozilla ofrece alertas continuas y guías de resolución: Mozilla Monitor — monitorización gratuita de filtraciones de datos ↗

Qué hacer si tu dirección aparece en una filtración

Primero, cambia la contraseña del servicio filtrado — y, esto es crítico, la de cualquier otro servicio donde usaras la misma contraseña o una parecida. Los atacantes dan por hecho la reutilización, y variaciones como añadir un dígito o un signo de exclamación no vencen a los sistemas de adivinación automatizados. El orden importa: asegura primero tu cuenta de correo principal, porque es el mecanismo de recuperación de todo lo demás. Un atacante que controle tu bandeja puede restablecer a voluntad las contraseñas de la mayoría de tus otras cuentas.

Segundo, corta el problema de la reutilización de raíz generando una contraseña aleatoria única para cada cuenta, lo que en la práctica significa usar un gestor de contraseñas. Este único cambio convierte las filtraciones futuras de una emergencia en cascada en un incidente contenido: una contraseña filtrada abre exactamente una cuenta, y rotarla lleva un minuto. Donde los servicios ofrezcan passkeys, prefiérelas sin dudar. Una passkey es una credencial criptográfica ligada a tu dispositivo; no hay ningún secreto compartido guardado en la base de datos del servicio que pueda filtrarse, así que una filtración del servicio no puede exponer nada que un atacante pueda reutilizar contra tu cuenta. Activa la autenticación de dos factores en todo lo importante que todavía use contraseñas, idealmente con una app de autenticación en lugar de SMS.

Tercero, trata los datos expuestos con realismo. Una contraseña filtrada se puede rotar; una dirección de correo filtrada, no. Una vez que tu dirección circula, espera más spam y phishing más convincente de forma indefinida. Desconfía especialmente de los correos que mencionan el servicio filtrado, porque los atacantes usan las listas de filtraciones para enviar exactamente ese tipo de cebo dirigido. Si la filtración expuso datos de pago, vigila tus extractos y plantéate reemplazar la tarjeta. Si expuso datos de identidad, como un número de documento oficial, infórmate sobre los mecanismos de alerta de fraude o bloqueo de crédito disponibles en tu país.

Reducir la exposición futura con alias y direcciones desechables

Todo lo anterior es reactivo. La versión proactiva de la higiene ante filtraciones consiste en limitar cuántas bases de datos contienen tu dirección real, porque una dirección que nunca se recopiló nunca podrá filtrarse. Los alias de correo son la herramienta para los servicios con los que mantienes una relación continuada: un proveedor de alias da a cada servicio su propia dirección de reenvío, de modo que una filtración expone solo ese alias, que entonces puedes desactivar. La dirección comprometida muere; tu bandeja real queda intacta, y sabes exactamente quién la filtró.

Para interacciones puntuales — descargar un whitepaper, conseguir un código de descuento, probar un servicio al que no volverás — una dirección desechable encaja mejor. Una bandeja temporal de un servicio como PureTempMail existe durante minutos u horas, recibe el correo de verificación y después caduca junto con todos sus datos. Cuando ese servicio sufra la inevitable filtración años más tarde, el volcado contendrá una dirección que ya no existe y que nunca estuvo conectada contigo. Los datos que nunca entregaste son los únicos que tienen garantizado no aparecer jamás en un resultado de comprobación de filtraciones.

Qué no hacer

Nunca escribas una contraseña que uses de verdad en una web cualquiera de "comprobación de contraseñas". El diseño de k-anonimato descrito arriba es lo que hace segura la comprobación de Have I Been Pwned, y los gestores de contraseñas serios usan el mismo protocolo — pero un sitio aleatorio con un formulario que pide tu contraseña puede estar simplemente recolectándola. Si quieres comprobar contraseñas, hazlo directamente a través de Have I Been Pwned o mediante la función de detección de filtraciones integrada en tu gestor de contraseñas o navegador, donde la comprobación se hace contra datos con hash sin transmitir la contraseña en sí.

Sé igual de escéptico con los correos no solicitados que anuncian que has sido víctima de una filtración, sobre todo los que enlazan a una página de inicio de sesión o exigen un pago. Las notificaciones legítimas de filtraciones no piden tu contraseña, y las alertas de Have I Been Pwned nunca te piden iniciar sesión para ver los resultados. Una estafa relacionada afirma tener material comprometedor y cita una de tus contraseñas filtradas reales como prueba; la contraseña es real, pero procede de un volcado antiguo, no de un acceso a tus dispositivos. Por último, evita los productos de pago de "escaneo de la dark web" que reempaquetan los mismos datos públicos de filtraciones que estos servicios gratuitos ya te dan.

Una rutina realista

La exposición a filtraciones no es un suceso puntual que arreglar, sino una condición de fondo que gestionar. Una rutina sensata es corta: comprueba tus direcciones activas en Have I Been Pwned, suscríbete a las notificaciones allí o en Mozilla Monitor, pásate a contraseñas únicas con un gestor, adopta passkeys donde las ofrezcan y entrega tu dirección real solo a servicios que de verdad necesiten una vía duradera para contactarte. Los alias cubren el terreno intermedio de confianza segmentada, y las direcciones desechables cubren todo lo transitorio. Ninguno de estos pasos es difícil, y juntos convierten el próximo titular sobre una filtración de una emergencia personal en un no-evento.

Reducir cuántos servicios guardan tu dirección real es la mejor defensa a largo plazo. Cubrimos las técnicas prácticas en un artículo complementario: Cómo proteger tu dirección de correo del spam