Cada año hackean a grandes empresas, y las direcciones de correo casi siempre forman parte de lo que se filtra. Saber si la tuya ha quedado expuesta te ayuda a actuar antes de que alguien la use en tu contra.
Cómo comprobarlo
Have I Been Pwned (haveibeenpwned.com) es un servicio gratuito gestionado por el investigador de seguridad Troy Hunt. Escribe tu dirección de correo y te mostrará las filtraciones conocidas en las que aparece, con la fecha y el tipo de datos filtrados.
Ten en cuenta algunas cosas:
- Solo conoce las filtraciones que se han hecho públicas. «Sin resultados» es una buena noticia, no una garantía.
- Puedes suscribirte a una alerta gratuita para enterarte de futuras filtraciones que incluyan tu dirección.
- Muchos gestores de contraseñas y algunos navegadores incluyen una comprobación parecida.
Qué supone realmente una filtración
El riesgo depende de qué se filtró junto con tu correo:
| Filtrado junto con tu correo | Qué puede pasar | Gravedad |
|---|---|---|
| Nada más | Más spam y phishing | Baja |
| Nombre, teléfono, dirección | Estafas más convincentes que usan tus datos | Media |
| Una contraseña (aunque esté cifrada) | Los delincuentes la prueban en otras webs, una técnica llamada credential stuffing | Alta |
| Datos de tarjeta o bancarios | Pagos fraudulentos | Alta: llama a tu banco |
Cinco pasos después de una filtración
- Cambia la contraseña en la web afectada y en todas las demás donde usaras la misma.
- Activa la verificación en dos pasos, o una llave de acceso (passkey) si la web la ofrece, empezando por tu cuenta de correo. Tu correo es la llave para restablecer todas las demás contraseñas.
- Usa un gestor de contraseñas para que cada web tenga una contraseña distinta. Así, una filtración se queda en una sola filtración.
- Espera intentos de phishing. Los correos que mencionan la filtración, o que fingen venir de la empresa hackeada, son habituales justo después de la noticia. Entra tú mismo en la web en lugar de hacer clic en enlaces.
- Vigila tus extractos bancarios si había datos de pago implicados, y pregunta a tu banco por una tarjeta nueva.
En EE. UU., la web IdentityTheft.gov de la Federal Trade Commission ofrece un plan de recuperación paso a paso si han usado indebidamente tu identidad. En el Reino Unido, puedes denunciar el fraude en Report Fraud, el servicio nacional de denuncias que sustituyó a Action Fraud.
Cómo exponerte menos la próxima vez
No puedes evitar que hackeen a las empresas. Sí puedes controlar cuántas de ellas tienen tu dirección real.
- Cuenta tus cuentas. Cada cuenta olvidada en una tienda que usaste una vez es un sitio más desde el que puede filtrarse tu dirección. Borra las que ya no necesites.
- Usa un correo temporal para los registros puntuales. Los cupones, las descargas gratuitas, los accesos a Wi-Fi y los concursos no necesitan tu dirección real. Si más adelante hackean una de esas webs, la dirección filtrada ya no existe. Más información en ¿Es seguro y legal el correo temporal?
- Usa un alias de correo para las cuentas que conservas pero en las que no confías del todo. Nuestra comparación de correo temporal frente a alias de correo explica cuál encaja en cada caso.
No uses una dirección temporal para tu banco, tus servicios de salud, tus cuentas de la administración pública ni nada que puedas necesitar recuperar más adelante.
Resumen
Comprueba tu dirección en Have I Been Pwned, cambia las contraseñas que hayas reutilizado y protege tu cuenta de correo con la verificación en dos pasos. Después reduce el problema de cara al futuro: da tu dirección real a menos webs y usa un correo temporal para las que solo necesitas una vez.
Fuentes
- Have I Been Pwned, Who, What & Why: el servicio y quién lo gestiona.
- Federal Trade Commission, IdentityTheft.gov: denunciar el robo de identidad y obtener un plan de recuperación.
- City of London Police, Report Fraud: el centro de denuncias de fraude y ciberdelincuencia del Reino Unido.