¿Me han robado la contraseña? Cómo comprobarlo y qué hacer en 15 minutos

Cada cierto tiempo una empresa anuncia que le han robado datos de clientes. Correos, contraseñas, teléfonos. Esos datos se venden y se publican en foros, y los delincuentes los prueban automáticamente en otras webs. Si usabas la misma contraseña en varios sitios, ahí está el problema. Ha pasado incluso con gigantes: en 2021 se publicaron gratis en un foro los datos de 533 millones de cuentas de Facebook.

La pregunta lógica es: ¿estoy yo en alguna de esas listas? Se puede saber en un par de minutos.

Paso 1: comprueba tu correo

La herramienta más conocida es Have I Been Pwned, creada por el investigador de seguridad Troy Hunt. Escribes tu correo y te dice en qué filtraciones públicas aparece. Es gratuita para consultas individuales.

Qué significa el resultado:

• «Good news — no pwnage found»: tu correo no aparece en las filtraciones que conoce. No es una garantía total, pero es buena señal.
• Aparece en una o varias filtraciones: verás el nombre de la web, la fecha y qué datos se filtraron (correo, contraseña, teléfono…). Lo importante es si incluye contraseñas.

Paso 2: comprueba una contraseña concreta

Puedes comprobarla aquí mismo. La contraseña no sale de tu ordenador: solo viajan los 5 primeros caracteres de su huella cifrada.

¿Tu contraseña ha aparecido en alguna filtración?

Tu contraseña no sale de tu ordenador. Se convierte en una huella (SHA-1) dentro de tu navegador y solo se envían sus 5 primeros caracteres a Pwned Passwords, que devuelve cientos de huellas parecidas. La comparación final se hace aquí mismo. Esta web no guarda nada.

Escribe una contraseña para comprobarla

Mostrar Comprobar

Datos: Pwned Passwords, de Have I Been Pwned. Si aparece, cámbiala ya: te explico cómo en ¿Me han robado la contraseña?

Paso 3: comprueba tus contraseñas guardadas

Si guardas las contraseñas en el móvil o en el navegador, ya tienes un revisor integrado:

• Android y Chrome: Gestor de contraseñas de Google → Revisión de contraseñas.
• iPhone y Mac: app Contraseñas → apartado de seguridad o recomendaciones.
• Firefox: Ajustes → Privacidad y seguridad → alertas de contraseñas filtradas.

Estas herramientas te avisan de tres cosas: contraseñas filtradas, contraseñas repetidas y contraseñas débiles. Las comprobaciones usan técnicas que no envían tu contraseña completa a ningún servidor.

Paso 4: qué hacer si apareces (15 minutos)

1. Cambia la contraseña de la web filtrada. Si ya no usas esa cuenta, bórrala.
2. Cambia la misma contraseña en cualquier otro sitio donde la usaras. Este es el paso que más gente se salta y el que más importa.
3. Activa la verificación en dos pasos, empezando por el correo electrónico, el banco y las redes sociales.
4. Revisa la actividad reciente de tu correo: inicios de sesión desde lugares raros, reglas de reenvío que no creaste o cambios en el teléfono de recuperación.
5. Ponte en alerta ante mensajes «personalizados». Si se filtró tu teléfono o tu dirección, es más probable que recibas estafas que usan tu nombre real para parecer creíbles.

Cómo evitar que vuelva a pasar

No puedes evitar que una empresa sufra un robo de datos. Sí puedes conseguir que no te afecte:

• Una contraseña distinta por web, generada y guardada por un gestor. Tú solo recuerdas una: la del gestor (o la de tu móvil).
• Llaves de acceso (passkeys) donde estén disponibles. No hay contraseña que filtrar.
• Alertas automáticas: en Have I Been Pwned puedes suscribirte para recibir un aviso si tu correo aparece en una filtración nueva.

¿Y si ya me han entrado en la cuenta?

Si no puedes acceder porque te han cambiado la contraseña, usa la opción oficial de recuperación de cuenta del servicio (nunca un «recuperador» de terceros que te pida dinero). Avisa a tus contactos de que pueden recibir mensajes falsos en tu nombre. Y si necesitas ayuda, el 017 de INCIBE atiende de forma gratuita.