Cómo Saber si Tu Contraseña Fue Filtrada: Guía Completa 2026

Cada año se filtran miles de millones de credenciales en brechas de datos que afectan a servicios populares como Facebook, LinkedIn, Dropbox o incluso bancos. Si usas la misma contraseña en varios sitios, una sola filtración puede comprometer toda tu vida digital. En esta guía aprenderás cómo saber si tu contraseña fue filtrada, qué herramientas usar para comprobarlo y cómo blindar tus cuentas a partir de ahora.

¿Qué significa que una contraseña esté filtrada?

Una contraseña filtrada es aquella que ha aparecido públicamente en una brecha de datos, foro de ciberdelincuentes o repositorio de credenciales robadas. Cuando un servicio online sufre un ataque, los atacantes suelen publicar o vender la base de datos con correos y contraseñas, que terminan recopilándose en listas masivas como "Collection #1" (con más de 773 millones de credenciales) o la reciente "RockYou2024" con casi 10.000 millones de contraseñas únicas.

El problema no es solo que un servicio concreto quede comprometido, sino el credential stuffing: los atacantes prueban automáticamente esas combinaciones de email y contraseña en cientos de otros servicios. Si reutilizas contraseñas, un fallo en una web pequeña puede abrirles la puerta a tu correo, banca online o redes sociales.

Señales de que tu contraseña podría estar comprometida

Antes incluso de usar herramientas, hay indicios claros de que algo va mal:

• Inicios de sesión desde ubicaciones desconocidas en los avisos de Google, Microsoft o Apple.
• Correos de restablecimiento de contraseña que tú no has solicitado.
• Spam enviado desde tu cuenta a tus contactos.
• Cargos sospechosos en tarjetas vinculadas a tiendas online.
• Cambios en la configuración de tu cuenta (reenvío de correo, teléfono asociado, etc.).
• Notificaciones del navegador (Chrome, Edge, Safari) avisando de contraseñas filtradas.

Si detectas alguna de estas señales, no esperes: pasa directamente a la fase de comprobación y cambio de credenciales.

Herramientas gratuitas para comprobar si tu contraseña fue filtrada

Existen servicios fiables, mantenidos por investigadores de seguridad reconocidos, que permiten comprobar si tu correo o contraseña aparece en brechas conocidas. Todos usan técnicas criptográficas para no exponer tu información.

1. Have I Been Pwned (HIBP)

Creada por el investigador Troy Hunt, haveibeenpwned.com es la referencia mundial. Introduces tu dirección de correo y te muestra en qué brechas ha aparecido, con detalles de la fecha, el servicio afectado y los datos expuestos (contraseñas, direcciones, teléfonos, etc.).

Tiene también una sección específica, Pwned Passwords, donde puedes comprobar una contraseña concreta. Usa un sistema llamado k-Anonymity: solo envía los primeros 5 caracteres del hash SHA-1 de tu contraseña, por lo que el servicio nunca ve la contraseña completa.

2. Firefox Monitor y Google Password Checkup

Mozilla ofrece Firefox Monitor, que se apoya en la base de datos de HIBP y te avisa automáticamente si tu correo aparece en nuevas brechas. Google, por su parte, integra Password Checkup en Chrome y en tu cuenta de Google (passwords.google.com): revisa automáticamente todas las contraseñas guardadas y te alerta si alguna está filtrada, es débil o está reutilizada.

3. Gestores de contraseñas con monitorización

Herramientas como 1Password (Watchtower), Bitwarden (Reports), Dashlane o Keeper incorporan paneles de salud que indican qué contraseñas están comprometidas, cuáles son débiles y cuáles se repiten. Es la opción más cómoda si ya usas un gestor.

4. Comprobadores de tu navegador

Tanto Edge como Safari incluyen avisos nativos cuando detectan credenciales filtradas en el llavero. Revisa en los ajustes de contraseñas de tu navegador para activar estas alertas.

Comparativa de herramientas de comprobación

Herramienta	Comprueba email	Comprueba contraseña	Alertas automáticas	Precio
Have I Been Pwned	Sí	Sí	Sí (email)	Gratis
Firefox Monitor	Sí	No	Sí	Gratis
Google Password Checkup	Sí	Sí	Sí	Gratis
Bitwarden Reports	Sí	Sí	Sí	Gratis / Premium
1Password Watchtower	Sí	Sí	Sí	Desde 2,99 €/mes

Cómo comprobar tu contraseña paso a paso

Esta es la forma más rápida y segura de verificar si tus credenciales están comprometidas:

1. Lista tus correos principales. Suele haber uno personal, uno de trabajo y, quizá, uno antiguo. Comprueba todos.
2. Entra en haveibeenpwned.com y escribe cada correo. Apunta en qué brechas ha aparecido y en qué fecha.
3. Ve a passwords.google.com (si usas Chrome) o al apartado de contraseñas de tu navegador y ejecuta la revisión de seguridad.
4. Prueba Pwned Passwords con las contraseñas que creas más expuestas. Si una aparece, deja de usarla en todos los servicios donde la tengas.
5. Activa alertas en Firefox Monitor o HIBP para recibir avisos de futuras filtraciones.
6. Revisa dark web monitoring si tu banco o tu seguro ofrecen este servicio incluido; cada vez es más habitual.

Qué hacer si tu contraseña está filtrada

Si una comprobación confirma que tu contraseña está en una brecha, actúa en el mismo día:

1. Cambia esa contraseña en el servicio afectado y en cualquier otro donde la hayas reutilizado.
2. Crea contraseñas únicas y largas (mínimo 14-16 caracteres) con un gestor de contraseñas. Nunca memorices más de 2-3 claves.
3. Activa la verificación en dos pasos (2FA), preferiblemente con apps como Authy, Google Authenticator o llaves físicas tipo YubiKey. Evita el SMS siempre que puedas.
4. Revisa la actividad reciente de la cuenta: sesiones abiertas, dispositivos vinculados, filtros de correo sospechosos y permisos de aplicaciones de terceros.
5. Cierra sesión en todos los dispositivos desde los ajustes de seguridad.
6. Si hay datos financieros expuestos, avisa a tu banco y vigila movimientos durante los siguientes meses.

En caso de que la brecha afecte a datos personales regulados (DNI, dirección, salud, etc.), tienes derecho a reclamar ante la AEPD en virtud del RGPD. Puedes complementar esta acción solicitando la retirada de información personal publicada; en nuestra guía de derecho al olvido encontrarás los pasos exactos.

Cómo prevenir futuras filtraciones

Comprobar es solo el primer paso. La prevención a largo plazo depende de buenos hábitos digitales.

Usa un gestor de contraseñas

Es la medida con mayor impacto. Un gestor genera contraseñas únicas y aleatorias, las almacena cifradas y las rellena automáticamente. Opciones recomendadas: Bitwarden (gratis y de código abierto), 1Password, Proton Pass o KeePassXC (local).

Activa 2FA en todas las cuentas críticas

Correo, banca, redes sociales y servicios en la nube deberían tener siempre un segundo factor. Según Microsoft, el 2FA bloquea más del 99,9 % de los ataques automatizados contra cuentas.

Usa alias de correo

Servicios como SimpleLogin, Addy.io o los alias de iCloud+ te permiten registrarte en cada web con un correo distinto. Si uno se filtra, puedes desactivarlo sin afectar al resto.

Protege tus enlaces y tu identidad al compartir

Cuando compartes URLs públicamente (en redes, foros o atención al cliente) también estás exponiendo datos. Usar un acortador con control de privacidad, estadísticas y posibilidad de desactivar enlaces como Lunyb te permite revocar accesos si detectas abuso y evitar fugas de información a través de parámetros de URL. Si quieres comparar alternativas, consulta nuestra comparativa de acortadores 2026 o el análisis de la mejor plataforma de gestión de enlaces.

Mantén tu software actualizado

Muchas brechas se producen por vulnerabilidades sin parchear en navegadores, sistemas operativos o apps. Activa las actualizaciones automáticas.

Desconfía del phishing

La mayoría de contraseñas no se filtran por fuerza bruta, sino porque el usuario las entrega en una web falsa. Verifica el dominio antes de iniciar sesión y nunca introduzcas credenciales desde un enlace recibido por correo o SMS.

Errores comunes al comprobar contraseñas filtradas

• Usar webs desconocidas para "probar" la contraseña. Solo utiliza servicios de reputación comprobada (HIBP, Google, tu navegador o tu gestor). Nunca introduzcas tu contraseña en un buscador aleatorio.
• Cambiar solo la contraseña del servicio filtrado. Si la reutilizabas, cámbiala en todos.
• Crear variantes mínimas como pasar de MiPass2023 a MiPass2024. Los atacantes prueban estas permutaciones automáticamente.
• Ignorar las cuentas antiguas. Cuentas olvidadas de hace 10 años pueden seguir activas y con tus datos. Elimínalas si no las usas.
• No comprobar correos secundarios. Las brechas más antiguas suelen afectar a cuentas que casi no recuerdas.

¿Cada cuánto deberías comprobar tus contraseñas?

Una revisión activa cada 3-6 meses es suficiente si tienes alertas automáticas configuradas. Además, deberías comprobar inmediatamente cuando:

• Oigas en las noticias que un servicio que usas ha sufrido una brecha.
• Recibas un correo sospechoso de restablecimiento de contraseña.
• Tu navegador o gestor muestre una alerta nueva.
• Hayas iniciado sesión en una red Wi-Fi pública no segura.

Preguntas frecuentes

¿Es seguro introducir mi contraseña en Have I Been Pwned?

Sí. HIBP utiliza k-Anonymity: tu contraseña se transforma localmente en un hash SHA-1 y solo se envían los 5 primeros caracteres de ese hash al servidor. El servicio nunca recibe ni almacena tu contraseña en texto plano. Es, con diferencia, el método más seguro y transparente que existe.

¿Qué hago si mi correo aparece en 10 brechas distintas?

Es más común de lo que crees. Prioriza: cambia primero las contraseñas de correo, banca y servicios con datos de pago. Después, usa un gestor para generar claves únicas en el resto. Activa 2FA en todo lo crítico y considera migrar a un correo nuevo si el actual está demasiado quemado por spam y phishing.

¿Las contraseñas guardadas en el navegador son seguras?

Son razonablemente seguras si tu dispositivo tiene contraseña fuerte, cifrado de disco y 2FA en la cuenta del navegador (Google, Microsoft o Apple). Aun así, un gestor dedicado ofrece mejor compartición, auditorías y portabilidad entre plataformas.

¿Puedo denunciar una filtración ante la AEPD?

Sí. El RGPD obliga a las empresas a notificar brechas que afecten a datos personales en un plazo de 72 horas. Si una empresa no te informa o no toma medidas, puedes presentar una reclamación en la sede electrónica de la Agencia Española de Protección de Datos (AEPD) adjuntando pruebas del incidente.

¿Qué contraseña se considera realmente segura en 2026?

Una contraseña de al menos 14-16 caracteres, aleatoria, única por servicio y gestionada por un gestor de contraseñas. Las frases de paso tipo caballo-correcto-batería-grapa también son válidas si son largas e impredecibles. Lo importante no es la complejidad visual, sino la longitud y la unicidad.

Conclusión

Comprobar si tu contraseña fue filtrada ya no es una tarea opcional: es parte de la higiene digital básica, igual que actualizar el sistema operativo. Herramientas gratuitas como Have I Been Pwned, Google Password Checkup o los informes de tu gestor de contraseñas te permiten saberlo en menos de un minuto. Combina estas comprobaciones con contraseñas únicas, 2FA y hábitos prudentes al compartir enlaces y datos online. Tu yo del futuro te lo agradecerá.