Cómo Saber si Tu Contraseña Fue Filtrada: Guía Completa 2026

Las brechas de datos son uno de los problemas de seguridad más comunes de la última década. Cada año, miles de millones de credenciales se exponen en filtraciones masivas que terminan circulando por foros clandestinos, repositorios públicos y bases de datos vendidas al mejor postor. Si llevas años usando internet, es estadísticamente probable que al menos una de tus contraseñas ya haya sido comprometida.

La buena noticia es que existen herramientas gratuitas y fiables para comprobar si tu contraseña ha sido filtrada y tomar medidas antes de que un atacante acceda a tus cuentas. En esta guía te explicamos paso a paso cómo verificarlo, qué servicios usar, cómo interpretar los resultados y qué hacer si descubres que tus credenciales están expuestas.

¿Qué significa que una contraseña esté filtrada?

Una contraseña filtrada es aquella que ha quedado expuesta públicamente debido a un incidente de seguridad, normalmente una brecha de datos en un servicio online. Cuando una empresa sufre un ataque, los atacantes suelen obtener bases de datos completas que incluyen correos electrónicos, nombres de usuario y contraseñas (a veces en texto plano, a veces cifradas o con hash).

Estos datos acaban en tres lugares principales:

Foros clandestinos donde se venden a cibercriminales.
Repositorios públicos tipo Pastebin o GitHub, donde a veces se publican por motivos ideológicos o para presumir.
Bases de datos agregadas como la famosa "Collection #1" o "RockYou2024", que combinan filtraciones de múltiples fuentes.

Una vez que una contraseña aparece en estas listas, se utiliza en ataques de credential stuffing: scripts automatizados que prueban tu combinación de email y contraseña en cientos de servicios (Amazon, Netflix, bancos, redes sociales) esperando que hayas reutilizado las credenciales. Y según estudios recientes, más del 60% de los usuarios lo hacen.

Herramientas para comprobar si tu contraseña fue filtrada

Existen varios servicios gratuitos y seguros que cruzan tus datos con las filtraciones conocidas. A continuación los más fiables:

1. Have I Been Pwned (HIBP)

Creado por el investigador de seguridad Troy Hunt, Have I Been Pwned (haveibeenpwned.com) es el servicio de referencia mundial. Su base de datos contiene más de 13.000 millones de cuentas comprometidas procedentes de más de 800 brechas verificadas.

Tiene dos funciones principales:

Buscar por email: te dice en qué filtraciones ha aparecido tu dirección.
Buscar por contraseña (Pwned Passwords): comprueba si una contraseña concreta está en listas de filtradas, usando un sistema criptográfico (k-anonymity) que nunca envía tu contraseña completa al servidor.

2. Monitor de Firefox (Mozilla Monitor)

Mozilla ofrece un servicio basado en HIBP con una interfaz más amigable. Puedes suscribirte con tu correo para recibir alertas automáticas cuando aparezcan nuevas filtraciones que afecten a tu cuenta.

3. Comprobador de Google Chrome y Google Password Manager

Si usas Chrome, puedes ir a chrome://settings/passwords/check y Google analizará todas las contraseñas guardadas en tu navegador contra su base de datos de credenciales filtradas. Es una de las formas más cómodas de hacer una auditoría completa en segundos.

4. Keeper, 1Password, Bitwarden y otros gestores

Los gestores de contraseñas modernos incluyen funciones de monitorización de la dark web y comprobación automática contra bases de datos de filtraciones. Si usas alguno, actívala.

5. Avast Hack Check y F-Secure Identity Checker

Alternativas respaldadas por empresas de ciberseguridad que ofrecen escaneos rápidos con tu email. Son útiles como segunda opinión.

Comparativa de herramientas para comprobar contraseñas filtradas

Herramienta	Busca por email	Busca por contraseña	Alertas automáticas	Precio
Have I Been Pwned	Sí	Sí	Sí (gratis)	Gratuito
Mozilla Monitor	Sí	No	Sí	Gratuito / Premium
Google Password Checkup	Indirecto	Sí	Sí	Gratuito
Bitwarden	Sí	Sí	Sí (Premium)	Desde 10 €/año
1Password Watchtower	Sí	Sí	Sí	Desde 2,99 €/mes

Cómo comprobar tu contraseña paso a paso

Vamos con el procedimiento más recomendado utilizando Have I Been Pwned, que es rápido, gratuito y seguro:

Abre haveibeenpwned.com en tu navegador. Verifica que la URL sea correcta y tenga certificado HTTPS.
Introduce tu dirección de correo en la caja de búsqueda principal y pulsa "pwned?".
Revisa los resultados. Si aparece un mensaje rojo "Oh no — pwned!", tu email ha aparecido en una o varias filtraciones. Bajo el mensaje verás la lista de brechas con fecha, servicio afectado y qué datos se expusieron.
Comprueba la sección Pwned Passwords (pestaña superior). Introduce una contraseña que uses habitualmente. El sistema te dirá cuántas veces ha aparecido esa contraseña en filtraciones conocidas.
Suscríbete a las notificaciones para recibir avisos futuros en tu correo.

Para los usuarios de Chrome, el proceso es aún más rápido:

Abre Chrome y escribe chrome://settings/passwords/check.
Pulsa en "Comprobar ahora".
Chrome te mostrará una lista de contraseñas comprometidas, débiles o reutilizadas.
Haz clic en cada una para cambiarla directamente desde el navegador.

¿Es seguro introducir mi contraseña en estas webs?

Esta es la duda más legítima que puedes tener. La respuesta corta es: sí, siempre que uses servicios de confianza como HIBP o Google Password Checkup.

Estos servicios utilizan una técnica llamada k-anonymity. Cuando introduces tu contraseña, el navegador calcula su hash SHA-1 localmente y solo envía los primeros 5 caracteres de ese hash al servidor. El servidor devuelve una lista con todos los hashes que empiezan igual, y tu navegador compara localmente si alguno coincide con el tuyo completo. Tu contraseña real nunca viaja a ningún servidor.

En cambio, desconfía de webs desconocidas que te pidan introducir tu contraseña directamente sin explicar cómo la procesan. Pueden ser phishing disfrazado de comprobadores de seguridad.

Qué hacer si tu contraseña ha sido filtrada

Descubrir que tus credenciales están comprometidas no es motivo de pánico, pero sí requiere acción inmediata. Sigue este protocolo:

1. Cambia la contraseña inmediatamente

Empieza por la cuenta directamente afectada y luego revisa cualquier otro servicio donde hayas usado la misma contraseña o una variación. Crea una contraseña única para cada servicio.

2. Activa la autenticación en dos pasos (2FA)

Aunque un atacante tenga tu contraseña, no podrá entrar si necesita además un código generado en tu móvil. Usa apps como Google Authenticator, Authy o Microsoft Authenticator en lugar de SMS siempre que sea posible, ya que el SMS es vulnerable a ataques de SIM swapping.

3. Usa un gestor de contraseñas

Es imposible recordar decenas de contraseñas únicas y robustas. Un gestor como Bitwarden (gratuito y open source), 1Password o KeePass genera contraseñas aleatorias de 20+ caracteres y las guarda cifradas. Solo necesitas recordar una contraseña maestra.

4. Revisa la actividad reciente de tus cuentas

Entra en cada servicio comprometido y revisa el historial de inicios de sesión, dispositivos conectados y correos enviados. Cierra sesión en todos los dispositivos que no reconozcas.

5. Avisa a tu banco si hay datos financieros

Si la filtración incluye datos de tarjetas o cuentas bancarias, contacta inmediatamente con tu entidad para bloquear o solicitar una nueva tarjeta.

6. Reporta a la AEPD si aplica

Si la filtración afecta a una empresa española y no has sido notificado adecuadamente, puedes presentar una denuncia ante la Agencia Española de Protección de Datos (AEPD). El RGPD obliga a las empresas a comunicar las brechas que afecten a datos personales en un plazo de 72 horas.

Cómo crear contraseñas que resistan filtraciones

Aunque ninguna contraseña es inmune si el servicio es hackeado, puedes minimizar el impacto siguiendo estas reglas:

Longitud mínima de 16 caracteres. La longitud importa más que la complejidad.
Combina mayúsculas, minúsculas, números y símbolos.
Nunca reutilices contraseñas entre servicios. Es la regla más importante.
Evita información personal (fechas, nombres, mascotas, equipos).
Usa frases de paso (passphrases) si no usas gestor: cuatro palabras aleatorias son más seguras y fáciles de recordar que "P@ssw0rd!".
Cambia contraseñas críticas cada 6-12 meses, especialmente banca, correo principal y gestor de contraseñas.

Buenas prácticas de privacidad complementarias

Proteger tus contraseñas es solo una parte de tu higiene digital. Para una estrategia completa deberías:

Usar correos diferentes para registros importantes y servicios de bajo valor. Alias como los de SimpleLogin o Firefox Relay son útiles.
Activar DNS cifrado (DoH o DoT) en tu navegador y router para evitar que proveedores de red vean tus consultas.
Revisar los permisos de apps que has autorizado en servicios como Google, Facebook o Microsoft, y eliminar las que ya no usas.
Vigilar los enlaces en los que haces clic. Si trabajas con enlaces acortados o campañas, utiliza plataformas que ofrezcan seguridad y análisis como Lunyb, que te permite crear enlaces cortos con verificación y protección frente a redirecciones maliciosas.
Mantén el sistema y el navegador actualizados. Muchas filtraciones se aprovechan de software desactualizado.

Si además gestionas enlaces de marketing o afiliación, te recomendamos revisar nuestra guía sobre las mejores herramientas de tracking de enlaces 2026 y la comparativa de la mejor plataforma de gestión de enlaces 2026, donde explicamos cómo compaginar privacidad y analítica.

Señales de que tu cuenta ya está siendo usada por un atacante

Aunque no hayas comprobado aún, estos son los síntomas típicos de una cuenta comprometida:

Correos de inicio de sesión desde ubicaciones o dispositivos desconocidos.
Correos en tu bandeja de "enviados" que no recuerdas haber mandado.
Cambios en la configuración de recuperación (teléfonos, emails secundarios).
Compras no autorizadas o cargos pequeños de prueba en tus tarjetas.
Amigos reportando mensajes extraños de tu parte en redes sociales.
Rendimiento lento del móvil o aparición de apps desconocidas. En ese caso, consulta nuestra guía sobre cómo detectar malware en tu móvil.

Preguntas frecuentes

¿Con qué frecuencia debo comprobar si mis contraseñas han sido filtradas?

Lo ideal es hacer una revisión completa cada 3-6 meses y suscribirte a notificaciones automáticas en Have I Been Pwned o Mozilla Monitor para enterarte en cuanto aparezcan nuevas filtraciones que afecten a tu correo.

¿Es ilegal tener acceso a bases de datos de contraseñas filtradas?

Depende del uso. Servicios como HIBP operan legalmente porque solo permiten consultar si tus propios datos están comprometidos, sin exponer información de terceros. Descargar o comerciar con bases de datos filtradas para explotarlas sí es delito según el Código Penal español y el RGPD.

¿Qué pasa si mi contraseña aparece en una filtración pero no he recibido ninguna notificación?

Muchas empresas tardan meses o años en descubrir las brechas, y algunas directamente no notifican. Por eso es fundamental usar herramientas proactivas como Google Password Checkup o HIBP, que te avisan aunque la empresa afectada no lo haga. En Europa puedes reclamar a la AEPD si crees que una compañía no ha cumplido con sus obligaciones de notificación.

¿Un gestor de contraseñas es realmente seguro si guarda todo en un solo lugar?

Sí, siempre que elijas uno con cifrado de conocimiento cero (zero-knowledge) como Bitwarden, 1Password o KeePass. Tu contraseña maestra nunca se envía al proveedor y las bases de datos están cifradas con AES-256. El riesgo real está en usar una contraseña maestra débil o no activar la autenticación en dos pasos del propio gestor.

¿Las contraseñas cifradas en una filtración son seguras?

Depende del algoritmo. Si están cifradas con hash modernos como bcrypt, Argon2 o scrypt con sal, son muy difíciles de descifrar. Si usan MD5 o SHA-1 sin sal, los atacantes pueden romperlas en horas. Como no sabes qué algoritmo usaba el servicio filtrado, lo prudente es asumir que cualquier contraseña expuesta en una brecha está comprometida y cambiarla inmediatamente.

Conclusión

Comprobar si tu contraseña ha sido filtrada es una tarea de cinco minutos que puede ahorrarte meses de problemas. Con herramientas gratuitas como Have I Been Pwned, Google Password Checkup o Mozilla Monitor, cualquier usuario puede auditar su huella digital y actuar antes de que sea tarde.

Recuerda: la seguridad digital no es un acto puntual, sino un hábito. Combina comprobaciones periódicas, un buen gestor de contraseñas, autenticación en dos pasos y un uso consciente de tus datos. Así, aunque un servicio sea hackeado mañana, el impacto sobre ti será mínimo.