Tu contraseña ha sido filtrada: qué hacer

Que una contraseña aparezca en una filtración no significa que te hayan hackeado. Significa que alguno de los servicios donde la usaste sufrió una brecha, y esa contraseña está ahora en las listas que manejan los atacantes. Es incómodo, pero se resuelve. Estos son los pasos, en el orden que importa.

Antes de nada: no cambies todo a la vez

El error típico es entrar en pánico y ponerse a cambiar contraseñas al azar. Hazlo por orden de riesgo, porque el tiempo cuenta y no todas las cuentas valen lo mismo.

Paso 1: protege tu correo principal

Tu cuenta de correo es la llave maestra de todo lo demás: con acceso a ella, cualquiera puede pedir el restablecimiento de contraseña del resto de tus servicios. Si la contraseña filtrada es la de tu correo, o una parecida, empieza por ahí y no por el sitio que sufrió la filtración.

1. Cambia la contraseña por una generada al azar.
2. Activa la verificación en dos pasos si no la tenías.
3. Revisa la lista de sesiones activas y cierra las que no reconozcas.
4. Comprueba que no haya reglas de reenvío automático creadas sin tu conocimiento: es una técnica habitual para mantener el acceso después de que cambies la contraseña.

Paso 2: el resto, por orden de daño

Después del correo, sigue este orden:

1. Banca y pagos (banco, PayPal, tiendas con tarjeta guardada).
2. Cuentas con datos personales (administración pública, sanidad, trabajo).
3. Redes sociales, que pueden usarse para suplantarte ante tus contactos.
4. El resto.

Paso 3: busca dónde más la reutilizaste

Esta es la parte que más se olvida y la más importante. Una contraseña filtrada solo es peligrosa donde siga funcionando. Los atacantes automatizan lo que se llama credential stuffing: prueban la combinación de correo y contraseña filtrada en cientos de servicios populares, a ver dónde entra.

Haz memoria y cámbiala en todos los sitios donde la usaras, aunque fuera hace años. Si no te acuerdas, revisa tu correo buscando mensajes de bienvenida o de registro: suelen revelar servicios olvidados.

Paso 4: revisa qué se movió

• Movimientos bancarios de las últimas semanas.
• Compras o suscripciones que no reconozcas.
• Mensajes enviados desde tus cuentas que no escribiste tú.
• Cambios en los datos de recuperación (teléfono o correo alternativo) de tus cuentas importantes.

Qué NO hacer

• No añadas un número al final. Si tu contraseña filtrada era Verano2024, pasar a Verano2025 no sirve de nada: las reglas de transformación son lo primero que prueban las herramientas de ataque.
• No uses la misma contraseña nueva en varios sitios. Estarías repitiendo exactamente el problema que te trajo aquí.
• No confíes en los correos que te avisan de la filtración. Los ataques de phishing aprovechan estas situaciones. Entra en cada servicio escribiendo la dirección tú mismo, nunca desde un enlace del correo.

Para que no vuelva a pasar

1. Una contraseña distinta por servicio. Es la única medida que convierte una filtración en un incidente aislado en lugar de en un efecto dominó.
2. Un gestor de contraseñas, porque nadie puede memorizar cincuenta contraseñas distintas. Si prefieres recordar alguna de memoria (la del propio gestor, por ejemplo), usa una frase de contraseña.
3. Verificación en dos pasos en todo lo que la ofrezca. Con ella activada, una contraseña filtrada ya no basta para entrar.

Comprueba tus contraseñas

Nuestro comprobador contrasta tu contraseña con miles de millones de credenciales filtradas. La comparación se hace mediante k-anonimato: solo salen de tu navegador los 5 primeros caracteres de su hash, nunca la contraseña.

Y si te preguntas cuánto aguantaría la nueva frente a un ataque, tenemos la tabla de tiempos de descifrado.