Cómo Saber si Tu Contraseña Fue Filtrada: Guía Completa 2026

Cada año se filtran miles de millones de credenciales en internet. Si utilizas la misma contraseña en varios servicios o llevas años sin cambiarla, es muy probable que alguna de ellas ya circule por foros de ciberdelincuentes. La buena noticia es que hoy existen herramientas gratuitas y fiables que te permiten comprobar si tu contraseña ha sido filtrada en cuestión de segundos.

En esta guía te explico paso a paso cómo saber si tus contraseñas están comprometidas, qué hacer si lo están y cómo evitar que vuelva a ocurrir. Todo con métodos seguros que no exponen tus datos.

Qué significa que una contraseña esté filtrada

Una contraseña filtrada es aquella que ha aparecido en una brecha de datos pública o vendida en la dark web. Ocurre cuando una empresa (una red social, tienda online, servicio de streaming) sufre un ciberataque y los atacantes publican o venden la base de datos con correos, contraseñas y otra información personal.

Aunque la contraseña esté cifrada (hasheada), muchas veces los atacantes logran descifrarla, especialmente si es corta o común. Una vez filtrada, se incorpora a listas masivas que los delincuentes usan para probar en otros servicios, práctica conocida como credential stuffing.

Ejemplos de brechas históricas

• Yahoo (2013): 3.000 millones de cuentas afectadas.
• LinkedIn (2012 y 2021): más de 700 millones de perfiles expuestos.
• Facebook (2019): 533 millones de números de teléfono y datos filtrados.
• Collection #1 (2019): 773 millones de correos y 21 millones de contraseñas únicas.

Si alguna vez tuviste cuenta en estos servicios, tus credenciales probablemente están en algún archivo filtrado circulando por internet.

Cómo comprobar si tu contraseña fue filtrada: métodos fiables

Existen varias herramientas gratuitas y seguras diseñadas específicamente para verificar credenciales comprometidas sin poner en riesgo tu información. A continuación te muestro las más recomendadas.

1. Have I Been Pwned (HIBP)

Es la herramienta más conocida y respetada del sector. Fue creada por Troy Hunt, experto en seguridad, y almacena miles de millones de credenciales filtradas de brechas verificadas.

Cómo usarla para tu correo:

1. Entra en haveibeenpwned.com.
2. Escribe tu dirección de correo electrónico en la barra de búsqueda.
3. Pulsa "pwned?".
4. Verás la lista de brechas en las que aparece tu correo, con la fecha y qué tipo de datos se expusieron.

Cómo comprobar una contraseña específica:

1. Ve a la sección "Pwned Passwords" en HIBP.
2. Introduce la contraseña que quieres verificar.
3. El sistema usa un método llamado k-anonymity: solo envía los primeros 5 caracteres del hash SHA-1, por lo que tu contraseña nunca sale completa de tu dispositivo.
4. Si aparece en la base de datos, verás cuántas veces se ha visto en filtraciones.

2. Comprobador de Google Chrome

Si guardas contraseñas en Chrome, Google incorpora un revisor de seguridad integrado que analiza automáticamente todas tus credenciales.

1. Abre Chrome y ve a chrome://settings/passwords.
2. Pulsa en "Comprobar contraseñas".
3. Google te mostrará las que estén filtradas, sean débiles o reutilizadas.
4. Desde ahí puedes cambiarlas directamente en el sitio afectado.

3. Firefox Monitor

Mozilla ofrece un servicio gratuito basado en la base de datos de HIBP pero con interfaz propia y alertas por correo cuando aparece una nueva brecha con tu dirección.

1. Accede a monitor.firefox.com.
2. Introduce tu correo electrónico.
3. Suscríbete para recibir alertas automáticas de futuras filtraciones.

4. Gestores de contraseñas con auditoría

Los gestores modernos como Bitwarden, 1Password, Dashlane o NordPass incluyen funciones de auditoría que analizan tu bóveda completa y te avisan de:

• Contraseñas filtradas en brechas conocidas.
• Contraseñas duplicadas entre servicios.
• Contraseñas débiles o antiguas.
• Cuentas sin autenticación en dos pasos.

Qué hacer si tu contraseña ha sido filtrada

Descubrir que una contraseña está comprometida no tiene por qué ser motivo de pánico, pero sí requiere actuar rápido. Sigue estos pasos en orden:

1. Cambia inmediatamente la contraseña en el servicio afectado. Crea una nueva única, larga y aleatoria.
2. Cambia la misma contraseña en cualquier otro sitio donde la hayas reutilizado. Es lo primero que probarán los atacantes.
3. Activa la verificación en dos pasos (2FA) en todas las cuentas críticas: correo, banca, redes sociales, almacenamiento en la nube.
4. Revisa la actividad reciente de la cuenta afectada: inicios de sesión sospechosos, dispositivos desconocidos, correos reenviados sin tu permiso.
5. Cierra sesión en todos los dispositivos desde la configuración de seguridad de la cuenta.
6. Vigila tu correo y móvil ante posibles intentos de phishing, ya que los atacantes suelen atacar en cascada tras una filtración.
7. Considera notificar a la AEPD si crees que se han expuesto datos personales sensibles y el servicio no ha informado adecuadamente, ya que el RGPD obliga a comunicar brechas en 72 horas.

Cómo crear contraseñas que sean difíciles de filtrar

Una contraseña robusta reduce enormemente el riesgo de que sea descifrada incluso si la base de datos se filtra. Estos son los criterios actuales recomendados por organismos como el NIST y el INCIBE:

Características de una contraseña fuerte

• Longitud mínima de 14 caracteres. La longitud importa más que la complejidad.
• Aleatoriedad. Evita palabras del diccionario, nombres, fechas o patrones de teclado.
• Única por cada servicio. Nunca reutilices contraseñas entre cuentas.
• Sin información personal. Nada de fechas de nacimiento, nombres de mascotas o direcciones.

Comparativa: contraseñas típicas vs seguras

Tipo de contraseña	Ejemplo	Tiempo estimado para romperla
Muy débil	123456	Instantáneo
Débil	maria1985	Segundos
Media	Perro2024!	Horas
Fuerte	k9$Pm2#vX!nQ8w	Siglos
Frase de paso	caballo-azul-tren-42-nube	Miles de años

Herramientas y hábitos para prevenir futuras filtraciones

Aunque no puedes evitar que una empresa sufra un ciberataque, sí puedes minimizar el impacto en tu vida digital con las herramientas y hábitos adecuados.

Usa un gestor de contraseñas

Es la medida más efectiva. Un buen gestor genera, guarda y rellena contraseñas únicas y complejas para cada servicio. Solo tienes que recordar una contraseña maestra.

Recomendaciones fiables:

• Bitwarden: gratuito, código abierto, multiplataforma.
• 1Password: excelente experiencia de usuario, ideal para familias.
• KeePassXC: local, sin servidores en la nube, máxima privacidad.
• ProtonPass: del equipo de Proton Mail, con cifrado extremo a extremo.

Activa la autenticación en dos pasos (2FA)

Incluso si tu contraseña se filtra, un atacante no podrá entrar sin el segundo factor. Prioriza estos métodos, de más seguro a menos:

1. Llaves físicas (YubiKey, Nitrokey).
2. Aplicaciones autenticadoras (Aegis, Authy, Google Authenticator).
3. Códigos por correo o SMS (menos seguros, pero mejor que nada).

Utiliza correos alias

Servicios como SimpleLogin, AnonAddy o los alias de iCloud te permiten crear direcciones desechables para cada servicio. Si una se filtra, sabes exactamente dónde ocurrió la brecha y puedes desactivarla sin afectar tu correo real.

Cuida los enlaces que compartes y los que recibes

Muchas filtraciones empiezan con un clic en un enlace de phishing. Antes de introducir tus credenciales en cualquier sitio, verifica siempre la URL. Cuando compartas enlaces con otros, hazlo desde plataformas fiables: por ejemplo, con Lunyb puedes acortar URLs de forma segura y comprobar los clics recibidos, algo útil para detectar campañas sospechosas. Si te interesa este aspecto técnico, tienes más detalles en nuestra guía sobre cómo trackear clics en enlaces.

Mantén tu software actualizado

Muchas brechas se explotan gracias a vulnerabilidades conocidas en navegadores, sistemas operativos o extensiones. Activa las actualizaciones automáticas siempre que sea posible.

Señales de que tu cuenta ya está siendo utilizada por un atacante

A veces la filtración ocurre y ni siquiera te enteras hasta que ya han hecho daño. Presta atención a estos indicadores:

• Recibes correos de "restablecer contraseña" que tú no solicitaste.
• Notas inicios de sesión desde ubicaciones o dispositivos desconocidos.
• Amigos o contactos reciben mensajes tuyos que no enviaste.
• Se han creado reglas de reenvío en tu correo sin tu permiso.
• Aparecen compras o suscripciones que no reconoces.
• Tu proveedor detecta actividad sospechosa y bloquea temporalmente el acceso.

Ante cualquiera de estas señales, aplica los pasos de recuperación descritos en la sección anterior sin esperar.

El papel del RGPD y la AEPD ante las filtraciones

El Reglamento General de Protección de Datos (RGPD) obliga a las empresas europeas a comunicar cualquier brecha de seguridad que afecte a datos personales en un plazo máximo de 72 horas desde su detección. Además, tienen que informar directamente a los usuarios afectados si el riesgo es alto.

En España, la Agencia Española de Protección de Datos (AEPD) es la autoridad encargada de supervisar el cumplimiento. Como usuario tienes derecho a:

• Saber qué datos tuyos se han filtrado.
• Recibir una explicación sobre qué medidas se están tomando.
• Presentar una reclamación ante la AEPD si consideras que la empresa no ha actuado correctamente.
• Solicitar indemnización si sufres daños económicos o morales derivados de la brecha.

Guarda siempre pruebas: correos, capturas, comunicaciones. Pueden ser útiles si necesitas reclamar.

Preguntas frecuentes

¿Es seguro introducir mi contraseña en Have I Been Pwned?

Sí. HIBP utiliza un sistema criptográfico llamado k-anonymity: tu contraseña se convierte en un hash SHA-1 en tu propio navegador y solo se envían los primeros cinco caracteres de ese hash al servidor. Nunca sale la contraseña completa ni el hash completo, por lo que es prácticamente imposible que sea interceptada o almacenada.

¿Cada cuánto debería comprobar si mis contraseñas están filtradas?

Lo ideal es hacer una revisión completa cada 3-6 meses o inmediatamente después de que aparezca en las noticias una filtración importante de un servicio que utilizas. Suscribirte a las alertas de Firefox Monitor o HIBP te permite recibir avisos automáticos sin tener que revisar manualmente.

¿Qué hago si mi correo aparece en decenas de brechas?

Es más común de lo que crees, sobre todo en cuentas con muchos años. Lo importante no es cuántas veces aparece, sino garantizar que cada servicio tenga una contraseña única y fuerte, con 2FA activado. Usa un gestor de contraseñas para auditar todas tus cuentas y cambiar las que necesiten reforzarse.

¿Debería cambiar todas mis contraseñas periódicamente aunque no estén filtradas?

Los estándares actuales del NIST y otros organismos ya no recomiendan cambiar contraseñas de forma rutinaria sin motivo, porque suele llevar a los usuarios a crear variantes más débiles. En su lugar, se recomienda usar contraseñas únicas y largas desde el principio y cambiarlas solo cuando haya una sospecha real de compromiso o una brecha confirmada.

¿Los gestores de contraseñas son realmente seguros?

Sí, siempre que elijas uno con buena reputación, cifrado extremo a extremo y una contraseña maestra fuerte. Aunque han existido incidentes puntuales en el sector, el riesgo de usar un gestor es infinitamente menor que el de reutilizar contraseñas o apuntarlas en papel. Añade siempre 2FA a tu cuenta de gestor para una capa extra de seguridad.

Conclusión

Comprobar si tu contraseña ha sido filtrada es un ejercicio de higiene digital que deberías hacer con regularidad. Con herramientas como Have I Been Pwned, Firefox Monitor o el auditor integrado de tu gestor de contraseñas puedes detectar credenciales comprometidas en minutos. Lo importante es no quedarte solo en la detección: aplica contraseñas únicas, activa 2FA en cada servicio crítico y cultiva hábitos de seguridad diarios. Tu identidad digital te lo agradecerá.