Cómo saber si tu contraseña está filtrada en Internet y qué hacer

Que tu correo aparezca en una filtración no demuestra que alguien conozca tu contraseña actual. Pero sí es una señal que debes revisar, sobre todo si has repetido la misma clave en varios servicios. La comprobación útil combina el historial de brechas de tu correo con las alertas de las contraseñas que tienes guardadas: son dos consultas distintas y ninguna ofrece una garantía absoluta.

¿Qué puedes comprobar con tu correo electrónico?

Have I Been Pwned permite buscar una dirección de correo y consultar las brechas de datos conocidas en las que figura. En los resultados debes mirar qué servicio sufrió el incidente, cuándo ocurrió y qué clases de datos se expusieron. Una filtración puede afectar a correos y teléfonos sin incluir contraseñas.

El propio servicio explica que no almacena contraseñas junto a las direcciones consultadas. Su base de contraseñas expuestas es independiente: no permite averiguar qué contraseña pertenecía a una persona concreta. Por tanto, encontrar tu correo no equivale a ver tu clave ni demuestra que la que utilizas hoy siga siendo la afectada por aquel incidente.

Escribe la dirección del servicio por tu cuenta, sin entrar desde un aviso alarmista que te pida iniciar sesión. Para consultar el historial de brechas de tu correo no tienes que entregar la contraseña de ese correo. No pegues tus claves en una web desconocida que prometa comprobarlas.

¿Dónde revisar las contraseñas que ya tienes guardadas?

El Gestor de contraseñas de Google tiene una opción Revisión que detecta contraseñas vulneradas, reutilizadas o débiles. Según su ayuda, puedes abrir los ajustes de Android, buscar Gestor de contraseñas y entrar en Revisión de contraseñas. En Chrome, abre el gestor desde Contraseñas y autocompletar y selecciona Revisión.

En los dispositivos Apple compatibles, la app Contraseñas reúne las advertencias en Seguridad. Desde ahí puedes seleccionar la cuenta señalada y seguir las instrucciones para cambiar su clave. Apple distingue entre contraseñas fáciles de adivinar, repetidas en varios servicios y detectadas en filtraciones conocidas: una advertencia de reutilización no significa por sí sola que se haya publicado.

Estas revisiones se refieren a los datos que el gestor conoce y a las brechas que puede detectar. Google reconoce que su lista de incidentes puede estar incompleta. Si sospechas que alguien ha entrado en una cuenta, no esperes a que aparezca una alerta para actuar.

Si hay una contraseña comprometida, ¿qué cambias primero?

Entra directamente en la aplicación o en la web oficial del servicio afectado y cambia la contraseña allí. INCIBE recomienda sustituir también las claves de otras cuentas donde hayas usado la misma o una parecida. Cambiar solo una deja abiertas las demás puertas que compartían credenciales.

Usa una contraseña diferente para cada cuenta. Un gestor puede ayudarte a generar y guardar claves sin depender de variaciones del mismo nombre o de la misma fecha. Actualizar lo que aparece guardado en el gestor no sustituye el cambio en la cuenta del servicio: comprueba que has completado el proceso que este te pide.

Activa la verificación en dos pasos cuando esté disponible. Es una protección adicional, no una razón para conservar una contraseña expuesta. Si la plataforma te ofrece una revisión de seguridad, úsala para comprobar la actividad y los mecanismos de recuperación de la cuenta.

¿Y si la búsqueda no encuentra nada?

Un resultado negativo no certifica que tus cuentas estén a salvo. Have I Been Pwned advierte de que solo reúne una parte de las filtraciones existentes: algunas no se hacen públicas y otras ni siquiera se detectan. También hay información que no aparece en las búsquedas públicas por razones de privacidad.

Por el mismo motivo, cambiar la contraseña no borra automáticamente el historial de una brecha antigua. El registro indica que aquella dirección estuvo en ese incidente, no que tu cuenta siga abierta a cualquiera. Lo importante es corregir las credenciales afectadas y dejar de reutilizarlas.

Una filtración también puede acabar en llamadas y mensajes

INCIBE avisa de que los datos filtrados pueden servir para preparar engaños personalizados. Que alguien conozca tu nombre, tu teléfono o el servicio que utilizas no autentica una llamada de tu banco. No entregues contraseñas ni códigos de verificación para resolver un supuesto problema que te comunica un desconocido.

Si entre los datos afectados hay información bancaria, contacta con tu entidad para que valore las medidas necesarias. Y si no sabes por dónde empezar, INCIBE ofrece el 017, un servicio gratuito y confidencial de ayuda en ciberseguridad. Empieza por la cuenta afectada y por las claves repetidas: no necesitas esperar a conocer el alcance de todos los incidentes para cerrar esas vías de acceso.

Fuentes: Have I Been Pwned: preguntas frecuentes; Google: revisión de contraseñas; Apple: app Contraseñas; INCIBE: qué hacer ante una filtración; INCIBE: cuentas comprometidas. Consultadas el 3 de noviembre de 2026.