Tus datos aparecen en una filtración: actúa según lo que se haya expuesto

Si tus datos aparecen en una filtración, averigua primero qué información concreta quedó expuesta. Cambia contraseñas cuando se hayan comprometido credenciales; si solo aparecen el correo, el teléfono, la dirección o la matrícula, céntrate en detectar engaños y usos indebidos, no en modificar claves que siguen siendo secretas y únicas.

Cuando la brecha incluya datos bancarios, tarjetas o documentos de identidad, contacta cuanto antes con la entidad que pueda bloquear el daño. Conserva el aviso y cualquier actividad sospechosa: ese registro puede ayudarte a impugnar una operación, comunicar una suplantación o demostrar cuándo conociste el incidente.

Primeras horas: confirma el alcance y protege el acceso inmediato

No introduzcas credenciales ni códigos desde el enlace de un correo o SMS inesperado. Abre por tu cuenta la web o aplicación oficial de la organización y busca su comunicación; si no la encuentras, utiliza un teléfono o canal que puedas verificar de forma independiente.

Comprueba qué categorías de datos están afectadas, cuándo se produjo el incidente, si la información estaba protegida y qué medidas ha adoptado la organización. Los requisitos de comunicación de la AEPD establecen que, cuando exista un riesgo alto, el responsable debe informar a las personas afectadas con lenguaje claro e incluir el incidente, los datos comprometidos, las posibles consecuencias, las medidas aplicadas y un punto de contacto.

Si el aviso no aclara si tus datos concretos estaban incluidos, pregunta directamente. Mientras esperas, protege aquello que podría permitir un acceso inmediato, pero no canceles productos ni renueves documentos basándote únicamente en rumores, capturas o mensajes sin verificar.

Credenciales: asegura primero las cuentas críticas

Si se filtró una contraseña activa, sustitúyela en el servicio afectado y en todas las cuentas donde reutilizaste la misma clave o una variante predecible. Empieza por el correo principal, porque puede servir para recuperar otras cuentas, y continúa con banca, servicios de pago y perfiles que contengan información sensible.

Si la contraseña expuesta era antigua y ya no se utiliza, no hace falta cambiar otras claves únicas. Si todavía estaba activa, revisa las sesiones abiertas, los dispositivos asociados, las reglas de reenvío del correo y los datos de recuperación; cierra cualquier sesión que no reconozcas.

La orientación de la FTC para personas afectadas aconseja cambiar las contraseñas iguales o similares cuando se expone una clave y activar la autenticación multifactor. Si la filtración también contiene códigos de recuperación, respuestas de seguridad o tokens de sesión, regenera esos elementos, ya que podrían permitir el acceso aunque hayas creado una contraseña nueva.

Correo, teléfono, dirección y matrícula: anticipa engaños personalizados

La exposición de un correo electrónico o un número de teléfono no demuestra por sí sola que la cuenta o la línea hayan sido tomadas. No cambies una contraseña únicamente por la aparición de esos datos, salvo que también se haya comprometido la clave o detectes accesos desconocidos.

El riesgo más inmediato es que los mensajes y llamadas parezcan creíbles porque incluyen tu nombre, el servicio afectado, una dirección u otra información real. La respuesta adecuada depende del dato de contacto comprometido.

• Correo electrónico: vigila alertas de acceso y solicitudes de recuperación. Entra al servicio desde su aplicación o dominio conocido en lugar de utilizar enlaces recibidos.
• Teléfono: no dictes códigos de un solo uso ni autorices operaciones durante una llamada entrante. Si pierdes cobertura de forma inesperada, pregunta a tu operadora si se ha solicitado un duplicado o un cambio en la línea.
• Dirección: avisa a las personas que viven contigo y verifica por canales oficiales cualquier visita, entrega o comunicación que emplee datos personales para ganar credibilidad.
• Matrícula: presta atención a multas, anuncios de venta o reclamaciones relacionadas con tu vehículo que no reconozcas. Su exposición aislada no justifica sustituirla; documenta cualquier uso fraudulento y comunícalo a la entidad correspondiente.

Estos datos pueden combinarse entre sí o con información pública para preparar intentos de fraude. Desconfía especialmente de quien utilice un dato correcto para presionarte, pida secreto o exija una acción inmediata: conocer tu dirección o teléfono no demuestra que el interlocutor sea legítimo.

Documentos y datos financieros: contacta con quien puede contener el daño

Si se expuso una imagen o el número de un documento de identidad, consulta al organismo emisor si procede renovarlo, dejar constancia de que está comprometido o aplicar otra medida. La renovación no es automática: depende del documento, del país y de si existen indicios de uso indebido.

Vigila altas de servicios, contratos, préstamos, perfiles o comunicaciones administrativas que no reconozcas. Si aparece una señal de suplantación, reúne el aviso de la brecha, mensajes, capturas, contratos y referencias de las operaciones; comunícalo a las organizaciones implicadas y presenta una denuncia ante la autoridad competente de tu país.

Si se filtraron datos de una tarjeta, credenciales bancarias o información que pueda servir para autorizar pagos, llama inmediatamente al banco desde su aplicación, web o teléfono oficial. La guía de INCIBE sobre filtraciones personales recomienda notificar la exposición de datos bancarios para que la entidad evalúe el riesgo, adopte medidas sobre la tarjeta e identifique actividad sospechosa.

Pide al banco que valore el bloqueo o la sustitución del medio afectado y revisa cargos, transferencias, domiciliaciones y beneficiarios. No todos los datos financieros permiten las mismas operaciones; facilita a la entidad la lista exacta de campos expuestos para que determine la respuesta adecuada.

Primera semana y vigilancia posterior

Durante los días siguientes, revisa con mayor frecuencia las cuentas de mayor impacto y configura alertas de acceso y movimientos si están disponibles. Comprueba también que nadie haya cambiado el correo, el teléfono o las opciones de recuperación. Ante una alerta sobre una operación desconocida, entra directamente al servicio en vez de responder al mensaje.

1. Registra qué dato se filtró, qué cuentas o productos puede afectar y qué medida adoptaste.
2. Guarda números de incidencia y respuestas de la empresa, el banco, la operadora o el organismo emisor.
3. Amplía la respuesta cuando aparezca una señal concreta: acceso desconocido, cargo, contrato, duplicado de línea, perfil falso o comunicación oficial inesperada.

No existe un plazo universal para dejar de vigilar. Una contraseña sustituida deja de servir para el acceso ordinario, mientras que una fecha de nacimiento, una dirección o una copia documental no pueden cambiarse con la misma facilidad. La prioridad es asegurar lo que permite entrar en una cuenta, contener el riesgo financiero y mantener vigilancia sobre los datos permanentes.

Lee también:

• Una sola clave abrió todas las bases de datos de un servicio cloud
• Las cuentas de agentes de IA abren una puerta que muchas empresas no vigilan
• Una playlist no siempre es una serie: el ajuste que cambia las recomendaciones