Tu DNI ha sido Filtrado: Qué Hacer Paso a Paso (Guía 2026)

Descubrir que tu DNI ha sido filtrado en una brecha de datos es una experiencia angustiante. Tu número de identidad, junto con tu nombre, fecha de nacimiento y a veces hasta la foto del documento, puede acabar circulando en foros clandestinos, canales de Telegram o incluso publicado en abierto. En España, con un sistema tan dependiente del DNI para contratar servicios bancarios, telefónicos o administrativos, las consecuencias pueden ir desde el fraude financiero hasta la suplantación de identidad completa.

En esta guía te explico qué hacer de forma inmediata, qué derechos tienes según el RGPD y la AEPD, y cómo blindarte frente al uso delictivo de tus datos.

Qué significa que tu DNI haya sido filtrado

Una filtración de DNI ocurre cuando una empresa, administración pública o servicio online sufre una brecha de seguridad y los datos personales de sus usuarios (incluido el número y, a veces, la imagen del documento) acaban expuestos. Esto puede suceder por un ciberataque, una mala configuración de servidores, un empleado desleal o un proveedor comprometido.

A diferencia de una contraseña, que puedes cambiar en segundos, el DNI es un identificador casi inmutable. Solo cambia cuando lo renuevas (y el número base se mantiene durante años), lo que lo convierte en un dato especialmente valioso para los ciberdelincuentes.

Riesgos reales de un DNI expuesto

• Suplantación de identidad para contratar líneas móviles, préstamos rápidos o tarjetas de crédito.
• Apertura de cuentas bancarias fraudulentas a tu nombre.
• Alta en servicios públicos (luz, gas, internet) que luego generan impagos a tu cargo.
• Phishing dirigido: correos y SMS personalizados usando tu nombre y DNI para parecer legítimos.
• Fraude fiscal: presentación de declaraciones falsas o solicitud de ayudas.

Cómo saber si tu DNI está filtrado

No siempre es evidente. A veces la empresa afectada tarda semanas o meses en notificarlo, pese a que el RGPD obliga a comunicar brechas en 72 horas a la AEPD. Estas son las señales y herramientas más útiles:

1. Notificación oficial de la empresa. Revisa correos de servicios donde subiste tu DNI (bancos, exchanges de criptomonedas, operadoras, plataformas de alquiler).
2. Have I Been Pwned (haveibeenpwned.com) para comprobar si tu email está en brechas conocidas. Si lo está, es probable que otros datos asociados también.
3. Alertas de la AEPD: la Agencia publica brechas significativas que afectan a usuarios españoles.
4. Movimientos extraños: SMS de bienvenida a servicios que no has contratado, cartas de bienvenida de bancos desconocidos, requerimientos de pago.
5. Monitorización en la dark web: servicios como los de algunos bancos (BBVA, Santander) o herramientas especializadas rastrean si tus datos circulan en foros clandestinos.

Qué hacer en las primeras 24 horas

El tiempo es crítico. Cuanto antes actúes, menos margen tendrán los delincuentes para causar daño económico y reputacional.

1. Documenta la filtración

Haz capturas de pantalla de cualquier notificación, publicación en foros o evidencia de que tus datos circulan. Guarda fechas, URLs y, si es posible, hashes de los archivos. Esta documentación será esencial para denuncias posteriores.

2. Cambia contraseñas de servicios sensibles

Aunque el DNI no se cambia, los atacantes suelen combinar el documento con credenciales filtradas. Prioriza:

• Banca online y apps financieras.
• Correo electrónico principal (es la llave maestra para recuperar otras cuentas).
• Cl@ve PIN y Cl@ve Permanente.
• Plataformas de la Administración (Agencia Tributaria, Seguridad Social).

Activa la autenticación en dos factores (2FA) en todas ellas, preferiblemente con app autenticadora, no por SMS.

3. Avisa a tu banco

Llama al teléfono oficial (no respondas a correos ni SMS) y comunica que tu DNI ha sido comprometido. Pide:

• Alertas por SMS/email ante cualquier movimiento o solicitud de productos.
• Reforzar la verificación para contratación de nuevos productos.
• Revisar operaciones recientes.

4. Solicita el servicio de verificación de identidad

Muchas entidades ofrecen un "escudo" o alerta de identidad gratuito para clientes afectados por brechas.

Pasos legales: denuncia a la AEPD y a la policía

En España tienes dos vías paralelas y complementarias: la denuncia administrativa ante la Agencia Española de Protección de Datos y la denuncia penal ante la Policía Nacional o Guardia Civil.

Denuncia ante la AEPD

Si la filtración procede de una empresa concreta, puedes reclamar ante la AEPD a través de su sede electrónica (sedeagpd.gob.es). Pasos:

1. Antes, ejerce tu derecho de acceso ante la empresa para que te confirme por escrito qué datos tuyos manejan y si ha habido una brecha.
2. Si no responde en un mes o la respuesta es insatisfactoria, presenta reclamación formal.
3. Adjunta todas las pruebas: capturas, notificaciones, comunicaciones.
4. La AEPD puede imponer sanciones de hasta 20 millones de euros o el 4% de la facturación global al responsable.

Denuncia penal

Si ya ha habido uso fraudulento (suplantación, contratación a tu nombre, movimientos bancarios), acude a la Policía Nacional (Grupo de Delitos Telemáticos) o a la Guardia Civil (Equipo @). Puedes hacerlo:

• Presencialmente en comisaría.
• Online para delitos informáticos a través de las webs oficiales.

Pide copia de la denuncia: será imprescindible para cancelar contratos fraudulentos y reclamar cargos indebidos.

Cómo cancelar contratos y deudas que no son tuyos

Si descubres que han contratado servicios a tu nombre, actúa así:

1. Contacta con la empresa por escrito (burofax o email certificado) explicando que no has contratado el servicio y que tu DNI fue filtrado. Adjunta copia de la denuncia policial.
2. Pide la baja inmediata y la cancelación de cualquier deuda.
3. Revisa los ficheros de morosidad: ASNEF, RAI, Badexcug. Tienes derecho a solicitar tu información gratuitamente y a exigir la baja si la deuda es fraudulenta.
4. Si la empresa se niega, reclama ante la AEPD por tratamiento ilícito de datos y ante la Oficina Municipal de Información al Consumidor (OMIC).

Comparativa: canales oficiales para reportar una filtración

Organismo	Para qué sirve	Plazo recomendado	Coste
AEPD	Reclamar frente a la empresa responsable del tratamiento	Tras agotar derecho de acceso (máx. 1 mes)	Gratuito
Policía Nacional / Guardia Civil	Denuncia penal por suplantación o fraude	Inmediato ante indicios de uso	Gratuito
INCIBE (017)	Asesoramiento gratuito en ciberseguridad	24/7	Gratuito
Banco emisor	Bloqueo preventivo y alerta de identidad	Primeras horas	Gratuito
Ficheros de morosidad (ASNEF, etc.)	Verificar y cancelar deudas fraudulentas	Al detectar contrato falso	Gratuito

Medidas preventivas para blindar tu identidad digital

Aunque no puedas cambiar tu DNI, sí puedes reducir drásticamente la superficie de ataque y detectar fraudes antes de que escalen.

Marca de agua en copias del DNI

Siempre que envíes una copia escaneada de tu DNI a una empresa (alquileres, altas, verificaciones), incluye una marca de agua diagonal que indique: "Copia para [nombre de la empresa], fecha [X], uso exclusivo para [finalidad]". Esto dificulta su reutilización en fraudes y, además, deja constancia probatoria.

Cuidado con los enlaces que compartes y recibes

Buena parte de las filtraciones empieza con phishing. Antes de hacer clic en enlaces recibidos por email o SMS, inspecciónalos. Y cuando compartas enlaces tú mismo, utiliza plataformas que te permitan auditarlos y proteger tu reputación digital. Servicios de gestión de enlaces como Lunyb permiten acortar URLs con estadísticas, control de clics y detección de abusos, algo útil tanto para empresas como para usuarios que quieren rastrear qué hacen con sus enlaces compartidos. Si quieres profundizar en alternativas, revisa esta comparativa de plataformas de gestión de enlaces.

Refuerza la seguridad del móvil

El teléfono es el eslabón más vulnerable: SMS de verificación, apps bancarias, Cl@ve. Instala un antivirus actualizado y activa el bloqueo biométrico. Puedes consultar esta guía comparativa de antivirus para móvil para elegir el más adecuado.

Protege tu navegación

• Usa DNS cifrado (DNS-over-HTTPS) para evitar que terceros rastreen tus consultas.
• Instala un navegador orientado a la privacidad (Brave, Firefox endurecido) con bloqueador de rastreadores.
• Activa alertas de inicio de sesión en todos tus servicios.
• Revisa periódicamente los permisos de apps conectadas a tu Google, Apple ID o Microsoft.

Minimiza la exposición futura del DNI

1. No subas copias de tu DNI a plataformas que no sean imprescindibles.
2. Pregunta siempre con qué base legal te lo piden (artículo 6 RGPD).
3. Exige su borrado una vez cumplida la finalidad (derecho de supresión).
4. Rechaza su uso para fines distintos del contratado (publicidad, cesión a terceros).

Qué hacer si ya han suplantado tu identidad

Si la filtración ha derivado en una suplantación efectiva, además de los pasos anteriores:

1. Renueva el DNI en comisaría. Aunque el número puede mantenerse (DNI base), el soporte físico y las claves criptográficas cambian, invalidando copias antiguas usadas con firma digital.
2. Revoca certificados digitales comprometidos (FNMT, Cl@ve) y solicita nuevos.
3. Comunícalo a la Agencia Tributaria y la Seguridad Social para detectar declaraciones o altas fraudulentas.
4. Consulta a un abogado especializado en protección de datos si los daños económicos son significativos. Puedes reclamar indemnización a la empresa responsable de la brecha (art. 82 RGPD).
5. Monitoriza tu nombre en buscadores y redes durante al menos un año.

Errores comunes que debes evitar

• Ignorar la notificación pensando que "a mí no me va a pasar nada". Los fraudes suelen aparecer meses después.
• Pagar deudas que no has generado "para quitártelo de encima". Reconocerías implícitamente la deuda.
• Responder a llamadas o SMS que piden más datos "para verificar" la filtración: es phishing de segunda ronda.
• Compartir pantallazos de la filtración en redes sociales mostrando tus datos reales.
• No conservar pruebas: sin documentación, cualquier reclamación se complica enormemente.

Preguntas frecuentes

¿Puedo cambiar mi número de DNI tras una filtración?

En circunstancias excepcionales (violencia de género, protección de testigos, suplantación grave acreditada) la Dirección General de la Policía puede autorizar el cambio del número. En casos ordinarios de filtración, lo habitual es renovar el documento (que invalida los certificados antiguos) pero manteniendo el número base.

¿Cuánto tarda la AEPD en responder a una reclamación?

El plazo máximo legal para resolver es de 12 meses desde la admisión a trámite, aunque muchos expedientes se resuelven antes. Durante ese tiempo recibirás notificaciones de las actuaciones. Si consideras que hay inactividad, puedes reclamar silencio administrativo.

¿Puedo pedir una indemnización económica a la empresa que filtró mi DNI?

Sí. El artículo 82 del RGPD te permite reclamar daños materiales (fraudes sufridos, gastos en abogados, pérdidas) e inmateriales (ansiedad, pérdida de control sobre tus datos). Puedes hacerlo por la vía civil directamente o tras una resolución favorable de la AEPD que acredite la infracción.

¿Qué hago si una empresa no me quiere dar la baja de un contrato fraudulento?

Envía burofax con copia de la denuncia policial exigiendo la baja y la cancelación de la deuda. Si persisten, reclama simultáneamente ante la AEPD (por tratamiento ilícito) y ante la OMIC o Dirección General de Consumo de tu comunidad. Las empresas suelen rectificar al llegar la notificación de la AEPD.

¿Es útil contratar un servicio de monitorización de identidad?

Puede serlo, especialmente tras una filtración confirmada. Estos servicios rastrean foros de la dark web, ficheros de morosidad y bases de datos filtradas en busca de tu información. Muchos bancos lo ofrecen gratis a sus clientes. Antes de pagar uno privado, verifica qué cubre exactamente y lee opiniones independientes.

Conclusión

Una filtración de DNI no es el fin del mundo, pero sí una emergencia que exige actuar con método. Documenta, denuncia, bloquea y monitoriza: ese es el ciclo básico. Combínalo con una higiene digital constante (contraseñas robustas, 2FA, navegación privada y mínima exposición de documentos) y conseguirás que, aunque tus datos circulen, el daño real sea mínimo.

La protección de datos no es solo una obligación de las empresas: es un derecho activo que tú puedes ejercer. Y cuanto antes lo hagas, más caro le saldrá a quien quiera lucrarse con tu identidad.