Adobe, LinkedIn, Yahoo, Facebook, Twitch, Equifax, Marriott — estas son solo las filtraciones que salieron en los titulares. Hay miles más que nunca lo hicieron. Empresas en las que confiamos nuestras direcciones de correo, nuestras contraseñas, a veces los números de nuestra tarjeta de crédito y nuestra dirección postal, han tenido sus bases de datos robadas y vendidas. Y en casi todos los casos, la dirección de correo es el dato más valioso del botín, porque es la llave maestra de todo lo demás en tu vida digital.
La reacción más habitual al enterarse de una filtración es cambiar la contraseña de ese servicio y seguir adelante. Esa reacción tiene sentido, pero pasa por alto el panorama general. El daño de una filtración no termina en el servicio que fue hackeado. Se extiende hacia fuera de formas que continúan durante meses, a veces años. Entender toda la cadena cambia cómo piensas sobre compartir tu correo en primer lugar.
Este artículo recorre esa cadena en detalle: qué ocurre inmediatamente después de una filtración, qué ocurre semanas y meses después, por qué tu dirección de correo es específicamente tan valiosa para los atacantes, y qué puedes hacer al respecto en la práctica. El objetivo no es asustarte. Es darte una imagen clara para que puedas tomar decisiones más inteligentes sobre dónde debe existir realmente tu dirección de correo real.
La magnitud del problema
Antes de entrar en los mecanismos, ayuda entender lo grande que es realmente este problema. Have I Been Pwned, el servicio gratuito de comprobación de filtraciones creado por el investigador de seguridad Troy Hunt, rastrea actualmente más de 13 mil millones de cuentas comprometidas en miles de filtraciones de datos individuales. Esa cifra no es 13 millones. Son 13 mil millones. La población adulta mundial es de unos 6.500 millones de personas. Muchos de esos 13 mil millones de registros son duplicados — el mismo correo apareciendo en varias filtraciones —, pero la escala sigue siendo asombrosa.
Según los datos de Statista sobre el tráfico de correo spam, aproximadamente el 45-50% de todo el correo enviado globalmente es spam. Una parte significativa de ese spam se alimenta de listas de correo robadas obtenidas de filtraciones de datos. Esto no es un problema de nicho que afecte solo a personas desafortunadas — si has tenido una dirección de correo durante más de unos años y la has usado para registrarte en servicios en línea, hay una probabilidad real de que haya aparecido en al menos una filtración.
Te animo a que hagas una pausa ahora mismo y compruebes tu propia dirección en Have I Been Pwned antes de seguir leyendo. Los resultados suelen hacer que el resto de este artículo se sienta mucho más concreto. La mayoría de la gente encuentra su correo listado en entre dos y ocho filtraciones. Algunos encuentran más. Si la tuya vuelve limpia, genial — pero sigue valiendo la pena entender contra qué te estás protegiendo.
Qué hacen los atacantes con tu correo — la cadena completa
Esto es lo que la mayoría de la cobertura sobre filtraciones pasa por alto: el daño de una sola filtración no ocurre de golpe, y no se detiene en un solo tipo de ataque. Hay una secuencia de eventos, cada uno posibilitado por el anterior, y entender esa secuencia es lo que hace que el problema se sienta real en lugar de abstracto.
Paso 1: se vende la base de datos de la filtración
En horas o días tras una gran filtración, los datos robados aparecen en mercados de la dark web. Las bases de datos se compran y venden a granel — a veces por sorprendentemente poco dinero. Un archivo con millones de direcciones de correo y contraseñas cifradas podría venderse por unos pocos cientos de dólares. Desde la perspectiva del atacante, esto es solo adquirir materia prima con la que trabajar.
Paso 2: las campañas de spam empiezan de inmediato
El efecto más inmediato y visible de una filtración es un aumento repentino del spam. Tu dirección de correo se añade a listas de envío masivo, y la Comisión Federal de Comercio estima que se envían miles de millones de correos spam cada día, siendo las listas de correo robadas una de las principales fuentes. Puede que notes una nueva oleada de spam que comienza días o semanas después de que un servicio que usas anuncie una filtración. No es una coincidencia — tu dirección acaba de aterrizar en una nueva lista.
Paso 3: ataques de relleno de credenciales
Si la filtración incluía contraseñas — incluso cifradas —, la amenaza escala considerablemente. Herramientas automatizadas llamadas credential stuffers toman las combinaciones de correo y contraseña de una filtración y las prueban sistemáticamente en decenas o cientos de otros servicios. Tu cuenta de Netflix. Tu cuenta de Amazon. Tu banco. Tu propio proveedor de correo. Troy Hunt ha documentado extensamente cómo los ataques de relleno de credenciales son responsables de una proporción enorme de las tomas de cuentas. La reutilización de contraseñas es lo que hace tan eficaz este ataque — las personas que usan la misma contraseña en varios servicios son especialmente vulnerables. Por eso cambiar solo la contraseña afectada no es suficiente.
Paso 4: phishing dirigido que sabe cosas sobre ti
Los correos de phishing genéricos — "Haz clic aquí para verificar tu cuenta" — son fáciles de detectar. Pero un atacante más sofisticado usa datos de la filtración para elaborar mensajes dirigidos que hacen referencia a cosas que realmente sabe sobre ti. Sabe en qué servicio eras cliente. A veces conoce tu nombre de usuario, tu nombre, o los últimos cuatro dígitos de tu tarjeta de pago. Un correo de phishing que dice "Tu cuenta de [nombre real del servicio] requiere verificación — aquí está tu usuario [tu usuario real]" es dramáticamente más convincente que un envío masivo genérico. Esta categoría de ataque a veces se llama spear phishing, y los datos de filtración son precisamente lo que la hace posible.
Paso 5: construcción de perfiles con múltiples filtraciones
El uso más sofisticado de los datos de filtración es la correlación. Los atacantes agregan registros de múltiples filtraciones para construir perfiles detallados de individuos. ¿Tu correo apareció en una filtración de un foro de videojuegos, una filtración de una app de fitness y una filtración de una tienda online? Ahora alguien sabe que juegas videojuegos, con qué frecuencia haces ejercicio, dónde compras, y potencialmente tu ubicación aproximada a partir de los datos de envío. La Electronic Frontier Foundation ha escrito extensamente sobre cómo la agregación de datos convierte fragmentos de información individualmente inofensivos en algo mucho más invasivo. Esta creación de perfiles alimenta phishing más dirigido, ingeniería social y, en casos extremos, robo de identidad.
Cómo comprobar tu exposición actual
El mejor punto de partida es Have I Been Pwned. Introduce tu dirección de correo y busca en su base de datos de filtraciones conocidas. Para cada filtración listada, verás el nombre del servicio afectado, la fecha de la filtración y qué categorías de datos se expusieron (correo, contraseña, nombre de usuario, nombre, número de teléfono, etc.). Esto te dice exactamente dónde se han comprometido tus datos y qué riesgos específicos aplican.
De forma crucial, Have I Been Pwned ofrece alertas gratuitas de notificación de filtraciones. Introduces tu dirección de correo, la confirmas, y a partir de ese momento, si tu correo aparece en cualquier filtración futura que se añada a la base de datos, recibirás una notificación por correo inmediatamente. Esta es una de las herramientas de seguridad gratuitas más valiosas que existen — te convierte de alguien que se entera de una exposición a una filtración meses después (si es que lo hace) en alguien que se entera en días y puede actuar rápido.
Al revisar tus resultados, presta especial atención a las filtraciones que incluían contraseñas. Esas son tus exposiciones de mayor riesgo debido a los ataques de relleno de credenciales descritos arriba. Para esas filtraciones específicamente, asegúrate de haber cambiado esa contraseña en todos los servicios donde usaste la misma — y luego deja de reutilizar contraseñas usando un gestor de contraseñas de ahora en adelante.
Por qué tu correo es el dato más valioso en una filtración
Aquí hay algo que merece la pena considerar: una tarjeta de crédito robada puede cancelarse en minutos. Una contraseña filtrada puede cambiarse. ¿Pero tu dirección de correo? Es semipermanente. La tienes desde hace años, posiblemente décadas. Docenas o cientos de servicios están registrados con ella. Es la clave de tus restablecimientos de contraseña, tus notificaciones bancarias, tus códigos de autenticación de dos factores. Está ligada a tu identidad de una forma muy difícil de desenredar.
El RGPD otorga a los residentes de la UE el derecho legal a solicitar la eliminación de sus datos personales, incluida su dirección de correo, de cualquier servicio que los tenga. En la práctica, muchas empresas ya cuentan con sistemas automatizados para esto, y puedes enviar una solicitud de eliminación incluso para servicios que no has usado en años. Pero las solicitudes de eliminación del RGPD solo afectan a la empresa que recibió la solicitud — no tocan datos que ya han sido vendidos o copiados a bases de datos de filtraciones de terceros. Una vez que tu correo está en circulación, ninguna regulación lo devuelve. La prevención es la única estrategia totalmente fiable.
Las directrices de seguridad de OWASP insisten constantemente en que las direcciones de correo son datos de alto valor que merecen la misma protección que las contraseñas. Sin embargo, la mayoría de la gente comparte su dirección de correo con mucho menos cuidado que sus contraseñas, porque las direcciones de correo se sienten menos sensibles. La realidad es la contraria — tu correo es más persistente, más central y más difícil de cambiar que tu contraseña.
El problema de la superficie de exposición
Cada servicio que tiene tu dirección de correo real es un punto de filtración potencial. Cuantos más lugares donde tu correo exista en bases de datos por todo internet, más oportunidades hay de que sea robado. Piensa en las matemáticas: si te has registrado en 50 servicios online a lo largo de los años y cada uno tiene una probabilidad anual del 2% de sufrir una filtración (una estimación conservadora dado el panorama actual), la probabilidad de que al menos uno de ellos sufra una filtración en un año dado es muy alta. Cuantos más servicios, mayor la exposición.
Un servicio en el que te registraste hace tres años para descargar una plantilla gratuita, usaste una vez y olvidaste por completo — sigue siendo un registro de base de datos activo en algún lugar. Esa empresa podría haber sido adquirida, podría haber sufrido un incidente de seguridad, podría haber vendido su lista de correos para cubrir gastos. No tienes ninguna visibilidad sobre lo que ha pasado con tus datos desde que los introdujiste.
Aquí es donde usar un correo temporal para registros no esenciales cambia fundamentalmente la ecuación. Si la base de datos detrás de ese sitio de descarga de plantillas se filtra dos años después, tu dirección de correo real no está en ella. La dirección temporal que se usó ya no existe. No hay nada que robar, nada que vender, y ninguna cadena de consecuencias que seguir. La superficie de exposición de tu correo real se mantiene pequeña — solo los servicios que realmente la necesitan para comunicaciones importantes y continuas.
Qué hacer si tu correo fue filtrado
Si descubres que tu correo ha aparecido en una filtración, aquí tienes una secuencia práctica de acciones, aproximadamente por orden de prioridad:
- Comprueba exactamente en qué filtración apareció en Have I Been Pwned, y anota qué datos se incluyeron (solo correo, o también contraseña, nombre, etc.)
- Cambia tu contraseña en ese servicio inmediatamente — idealmente por algo largo y único generado por un gestor de contraseñas
- Comprueba si reutilizaste la contraseña — si usaste la misma contraseña en algún otro lugar, cámbiala en todos, empezando por las cuentas más sensibles (correo, banca, cualquier servicio financiero)
- Activa la autenticación de dos factores en cualquier cuenta afectada que la admita — incluso si los atacantes tienen tu contraseña, no pueden iniciar sesión sin el segundo factor
- Configura la monitorización de filtraciones en Have I Been Pwned para que se te notifique de inmediato ante futuras exposiciones
- Vigila tu bandeja de entrada con cuidado por intentos de phishing que hagan referencia al servicio filtrado — los atacantes saben que eras cliente allí y pueden usar ese conocimiento
- Reporta el spam a tu proveedor de correo — la mayoría de los servicios de correo permiten marcar mensajes como spam, lo que entrena sus filtros para detectar más
- Considera si todavía necesitas la cuenta — si ya no usas el servicio filtrado, eliminar tu cuenta borra tus datos de su base de datos
Construir mejores hábitos de cara al futuro
La idea clave de todo esto es que reducir la superficie de exposición de tu correo es la medida preventiva más eficaz de la que dispones. No solo cambiar contraseñas tras las filtraciones, no solo usar autenticación de dos factores (aunque ambas cosas importan) — sino limitar desde el principio dónde vive tu dirección de correo real. Una filtración no puede exponer datos que nunca se le dieron al servicio filtrado.
La forma práctica de aplicar esto es un uso escalonado del correo. Tu dirección de correo real va a los servicios que realmente la necesitan: tu banco, tu empleador, tus contactos más cercanos, servicios que usas regularmente y en los que confías. Para todo lo demás — la descarga, el webinar, el mensaje en el foro, la prueba de SaaS — una dirección desechable mantiene tu correo real fuera de la ecuación. Servicios de correo centrados en la privacidad como Proton Mail merecen consideración para tu correo principal, y servicios de alias como SimpleLogin pueden ayudarte a gestionar direcciones de reenvío para relaciones más duraderas.
Para interacciones verdaderamente puntuales, una dirección de correo temporal es la solución más limpia — nada que configurar, ninguna cuenta requerida, ninguna identidad real involucrada. Cuando ese servicio finalmente sufra una filtración (y estadísticamente, muchos servicios la sufren), tu dirección real simplemente no está en su base de datos. Te has excluido de la cadena antes de que pudiera empezar.
Una nota sobre tus derechos del RGPD
Si estás en la UE (o tratas con empresas que atienden a clientes de la UE), el RGPD te otorga derechos reales y ejecutables. Puedes contactar con cualquier empresa que tenga tus datos y solicitar su eliminación según el artículo 17 (el "derecho al olvido"). Muchas empresas ya cuentan con portales automatizados de solicitudes de privacidad — busca el nombre de la empresa junto con "solicitud de privacidad" o "eliminación de datos". Merece la pena hacerlo para servicios que ya no usas, ya que elimina tus datos de su base de datos activa y reduce tu exposición si alguna vez sufren una filtración.
Las limitaciones son reales: una solicitud de eliminación solo afecta a lo que la empresa tiene actualmente. Los datos ya vendidos a terceros, ya copiados a bases de datos de filtraciones, o ya en manos de operadores de spam no pueden alcanzarse con una solicitud del RGPD. Esta es otra razón por la que prevenir la propagación innecesaria de tu correo es mucho más eficaz que intentar limpiarlo después del hecho.
Reflexiones finales
El objetivo de entender todo esto no es hacerte paranoico sobre el uso de internet. Es ayudarte a ver que las decisiones que tomas sobre dónde compartes tu dirección de correo tienen consecuencias reales y duraderas — y que pequeños cambios de hábito pueden reducir significativamente tu exposición con el tiempo. Tu dirección de correo real es valiosa. Trátala en consecuencia. Dásela solo a los servicios que realmente se la ganen, y deja que las direcciones desechables absorban todo lo demás.
Si no lo has hecho ya, comprueba tu correo hoy en Have I Been Pwned. Configura alertas de filtración. Y la próxima vez que algo te pida tu dirección de correo y no estés seguro de si vale la pena, considera si un temp mail haría el trabajo igual de bien — sin poner en riesgo tu dirección real.