Tu correo aparece en la dark web: cómo comprobar qué se ha filtrado y qué hacer

Te llega un aviso: tu correo aparece en la dark web. Lo primero que piensa casi todo el mundo es que alguien ha entrado en su cuenta, pero el aviso rara vez da para tanto. Puede venir de una cuenta que abriste hace años en una web que ya ni recuerdas, de una contraseña que sigues usando o de datos robados de un ordenador, y cada caso se resuelve de una manera.

Así que antes de cambiar nada, yo miraría qué han encontrado exactamente y de dónde sale.

Qué significa que tus datos «estén en la dark web»

Algunos servicios utilizan esa expresión para agrupar hallazgos de foros, canales de mensajería, páginas públicas y otras fuentes. Por eso interesa leer el detalle de la alerta.

Puede referirse a:

• Una dirección de correo.
• Un usuario acompañado de una contraseña.
• Una base de datos de clientes.
• Información robada por malware.
• Un anuncio en el que alguien asegura vender acceso a una empresa.

Cada caso requiere comprobaciones distintas. Por ejemplo, ana@empresa.example puede aparecer porque Ana se registró con su correo del trabajo en una plataforma que sufrió una filtración. Eso merece una revisión, especialmente si reutilizaba contraseñas, pero no demuestra que hayan accedido a los sistemas de su empresa.

Revisa las fechas del aviso

Una alerta de hoy puede hablar de datos robados hace años: basta con que el proveedor acabe de encontrar una colección que ya circulaba. Por eso hay que distinguir varias fechas:

Fecha	Qué indica
Incidente o captura	Cuándo se habrían obtenido los datos, si se conoce.
Publicación	Cuándo aparecieron en la fuente observada.
Primera observación	Cuándo los detectó el proveedor.
Notificación	Cuándo recibiste el aviso.

Si solo aparece «detectado hace dos horas», tienes que averiguar a cuál se refiere.

Con el nombre del archivo pasa lo mismo: una colección llamada credenciales_septiembre_2026 puede estar llena de registros mucho más antiguos. Eso sí, si alguna de esas contraseñas la sigues usando, da igual que la filtración sea antigua: cámbiala.

Cómo comprobar tu correo en Have I Been Pwned

Puedes consultar tu dirección en Have I Been Pwned, que busca si aparece en las filtraciones que tiene registradas: escribe el correo y pulsa «Check». No hace falta poner la contraseña. Si tienes varias direcciones, incluidas las antiguas con cuentas vinculadas, compruébalas una a una.

Las cifras que aparecen debajo del buscador corresponden al conjunto de datos del servicio, no a tu dirección.

Cuando aparezcan resultados, revisa el nombre del servicio, la fecha, la descripción y los tipos de datos expuestos.

En este ejemplo, la dirección aparece en seis filtraciones registradas. No significa que hayan entrado seis veces en el buzón: pueden ser seis servicios diferentes en los que se utilizaba ese correo.

Si no aparecen resultados, la herramienta no conoce una exposición consultable de esa dirección. Eso no garantiza que nunca se haya filtrado. Además, algunas filtraciones sensibles requieren verificar que eres el propietario del correo para mostrarlas.

Cómo interpretar los resultados: un ejemplo

Las dos entradas de la captura muestran febrero de 2018, pero tienen diferencias importantes.

«2,844 Separate Data Breaches» es el nombre de una colección de archivos que HIBP agrupó en una única entrada marcada como no verificada. Según la descripción, contenían direcciones de correo y contraseñas en texto claro.

Ese 2.844 es el número de filtraciones que reúne la colección, no las que ha sufrido tu dirección. Y «no verificada» quiere decir que no se ha podido confirmar su origen; los datos pueden ser reales igualmente.

Jobandtalent sí identifica un servicio concreto. La ficha describe una exposición de nombres, correos, direcciones IP y contraseñas almacenadas como hashes SHA-1 con sal.

Un hash es el resultado de aplicar una función matemática a una contraseña. Para dificultar los ataques, se añade un valor aleatorio, llamado salt o «sal», distinto para cada contraseña. De esa forma, dos usuarios con la misma contraseña no tendrán el mismo hash.

Un atacante que consiga esos datos todavía puede probar posibles contraseñas y comparar los resultados. SHA-1 permite hacer esas pruebas demasiado rápido, por lo que no es adecuado para almacenar contraseñas.

Si te aparece este resultado, revisa si utilizabas el servicio, si cambiaste la contraseña después del incidente y si la habías repetido en otras cuentas. Si no recuerdas haberla cambiado y podría seguir expuesta, sustitúyela.

La ficha también indica que los datos aparecieron a la venta aproximadamente un año después del incidente, justo el desfase del que hablábamos en la sección de fechas.

Qué hacer si aparece tu dirección

Depende de los datos expuestos. Si había una contraseña que todavía utilizas, cámbiala también en las cuentas donde la hayas repetido. Usa una diferente para cada servicio, revisa la actividad reciente y activa la verificación en dos pasos donde esté disponible.

Si solo aparece tu dirección, ese resultado no demuestra que tu contraseña se haya filtrado. Sí conviene estar atento a mensajes que utilicen la información expuesta para hacerse pasar por un servicio que conoces. Cómo distinguirlos lo explicamos en ¿Sabrías reconocer un correo falso?.

Cuando afecte a una cuenta de trabajo, informa al equipo de IT o seguridad.

También puedes activar «Notify Me» para recibir avisos sobre futuras exposiciones de tu dirección. Es normal que la filtración siga apareciendo después de cambiar la contraseña: HIBP conserva el registro del incidente, no comprueba si tu contraseña actual sigue siendo la misma.

Si la alerta menciona un infostealer

Hay alertas que usan dos términos más técnicos: combo list e infostealer.

Una combo list es una colección de combinaciones de usuario y contraseña. Puede reunir datos de distintas fuentes, incluidas filtraciones antiguas. Que sea enorme dice poco: muchas líneas serán repetidas o contraseñas que ya nadie usa.

Un infostealer es malware que roba información de un dispositivo. Según sus capacidades, puede obtener contraseñas guardadas, cookies de sesión y otros datos del navegador.

Si la información procede de un infostealer, hay que investigar el equipo del que pudo salir. Si el registro contiene un correo corporativo y la dirección del portal de la empresa, pudo obtenerse de un ordenador utilizado para acceder a ese portal. La presencia de esa URL no demuestra que hayan atacado el servidor.

Y eso cambia la respuesta: además de proteger las cuentas, hay que buscar el equipo comprometido.

Cuándo no basta con cambiar la contraseña

Cambiar una contraseña expuesta es necesario si sigue en uso. Pero si la robó un malware y la cambias desde el mismo ordenador infectado, también puedes exponer la nueva. Qué hacer con un equipo sospechoso está en el artículo sobre si necesitas un antivirus.

Además, una cookie o un token robado puede permitir el uso de una sesión ya iniciada, dependiendo del servicio y sus controles. El cambio de contraseña no siempre invalida todas las sesiones.

Ante indicios de un infostealer, revisaría:

• Qué equipo pudo originar los datos y si sigue utilizándose.
• Qué cuentas se usaban desde él.
• Qué sesiones y accesos hay que revocar.
• Si existe actividad que indique que alguien ha utilizado los datos robados.

Si se trata de un equipo o una cuenta de trabajo, avisa al equipo de seguridad cuanto antes y coordina los siguientes pasos. Utiliza un dispositivo de confianza para proteger tus cuentas. Antes de limpiar o reinstalar el equipo sospechoso, consulta qué evidencias deben conservarse.

Si estas alertas te llegan en el trabajo y te toca investigarlas, seguimos en Tu empresa recibe una alerta de credenciales expuestas: cómo investigarla.