Tu DNI ha sido Filtrado: Qué Hacer Paso a Paso (Guía 2026)

Descubrir que tu DNI ha sido filtrado en una brecha de datos es alarmante, pero no es el fin del mundo si actúas con rapidez. Cada año, millones de documentos de identidad españoles acaban expuestos en foros de la dark web, filtraciones empresariales o campañas de phishing. Esta guía te explica exactamente qué hacer, en qué orden y cómo proteger tu identidad frente a posibles fraudes.

¿Qué significa que tu DNI haya sido filtrado?

Una filtración de DNI ocurre cuando el número, la imagen escaneada o los datos asociados a tu Documento Nacional de Identidad quedan expuestos públicamente o acaban en manos de terceros no autorizados. Esto puede suceder por un ciberataque a una empresa, un error de configuración en servidores, una brecha interna o incluso por phishing dirigido a ti.

El problema real no es solo que alguien conozca tu número de DNI (que figura en muchos documentos cotidianos), sino la combinación con otros datos: nombre completo, dirección, teléfono, correo electrónico, firma o fotografía del documento. Esta combinación es lo que permite a los delincuentes cometer suplantación de identidad, contratar servicios en tu nombre o acceder a cuentas bancarias.

Casos recientes en España

En los últimos años se han producido filtraciones masivas que han afectado a plataformas de telecomunicaciones, aseguradoras, administraciones públicas y comercios electrónicos. En muchos casos, los datos acaban a la venta en foros clandestinos por apenas unos euros por registro.

Cómo saber si tu DNI ha sido filtrado

Antes de entrar en pánico, confirma la filtración con fuentes fiables. Estos son los métodos más efectivos:

Have I Been Pwned (haveibeenpwned.com): comprueba si tu correo electrónico aparece en brechas conocidas. Aunque no indica directamente el DNI, suele ir ligado a los mismos registros filtrados.
Firefox Monitor: alternativa gratuita de Mozilla que notifica nuevas filtraciones.
Alertas del INCIBE: el Instituto Nacional de Ciberseguridad publica avisos sobre brechas que afectan a usuarios españoles.
Comunicaciones de la empresa afectada: por el RGPD, las compañías están obligadas a notificarte si tus datos personales han sido comprometidos en un plazo máximo de 72 horas tras detectar la brecha.
Movimientos sospechosos: cargos desconocidos, cartas de bancos donde no tienes cuenta, llamadas de empresas de recobro o solicitudes de crédito que no has pedido.

Pasos inmediatos tras confirmar la filtración

Si has confirmado que tu DNI está expuesto, sigue esta secuencia sin saltarte ningún paso. El orden importa.

1. Documenta la filtración

Haz capturas de pantalla de la notificación recibida, del foro donde aparezcan tus datos (si lo detectas) o del correo de la empresa. Guarda fecha, hora y URL. Esta documentación será clave para denuncias posteriores.

2. Cambia contraseñas y activa doble factor

Comienza por el correo electrónico principal y los servicios bancarios. Utiliza contraseñas únicas de al menos 16 caracteres y activa la autenticación en dos pasos (preferiblemente con app tipo Authy o Google Authenticator, no por SMS).

3. Avisa a tu banco

Llama a la línea de atención al cliente de tus entidades bancarias y comunica la filtración. Pide que activen alertas de operaciones sospechosas y, si es necesario, que bloqueen la emisión de nuevas tarjetas o productos a tu nombre sin verificación adicional.

4. Solicita el servicio antifraude en centrales de riesgo

Contacta con ASNEF y Experian para comprobar si figuras en algún registro de impagos por operaciones que no has realizado. Puedes ejercer tu derecho de acceso de forma gratuita una vez al año.

5. Denuncia en la Policía o Guardia Civil

Acude a presentar denuncia por posible suplantación de identidad. Puedes hacerlo en comisaría, cuartel o telemáticamente a través de la sede electrónica de la Policía Nacional (para delitos no violentos). Aporta toda la documentación recopilada.

6. Reclama ante la AEPD

Si la filtración procede de una empresa concreta, puedes presentar reclamación ante la Agencia Española de Protección de Datos. Tienes derecho a saber qué ocurrió, qué medidas se han tomado y, en su caso, a recibir una indemnización. Consulta nuestra guía detallada sobre cómo presentar una reclamación a la AEPD paso a paso.

Qué NO debes hacer si tu DNI ha sido filtrado

El pánico lleva a tomar decisiones erróneas. Evita estos comportamientos comunes:

No pagues rescates si recibes correos amenazantes de supuestos hackers. Suelen ser fraudes genéricos (sextorsión, falsas extorsiones) que no tienen tus datos reales.
No publiques la filtración en redes sociales compartiendo capturas con datos personales visibles. Amplificarías la exposición.
No contrates servicios milagro de "borrado de datos de internet" sin verificar su legitimidad. Muchos son estafas que recopilan aún más información tuya.
No ignores comunicaciones oficiales de bancos o administraciones, pero verifica siempre que son auténticas llamando al teléfono oficial.
No descargues la supuesta "lista filtrada" si alguien te la envía; podría contener malware.

Comparativa: medidas reactivas vs preventivas

Medida	Tipo	Coste	Efectividad
Denuncia policial	Reactiva	Gratuita	Alta (base legal)
Reclamación AEPD	Reactiva	Gratuita	Alta (sanción + indemnización)
Doble factor en cuentas	Preventiva	Gratuita	Muy alta
Gestor de contraseñas	Preventiva	0-40 €/año	Muy alta
Monitorización de brechas	Preventiva	Gratuita-50 €/año	Media-alta
Alertas bancarias SMS	Preventiva	Gratuita	Alta

Protección frente a la suplantación de identidad

Una vez pasado el primer momento, implanta medidas de protección a medio y largo plazo. La suplantación puede materializarse meses después de la filtración, cuando ya has bajado la guardia.

Vigila tu huella digital

Haz búsquedas periódicas de tu nombre y DNI en Google y en buscadores especializados. Si encuentras datos personales expuestos en webs públicas, ejerce el derecho al olvido solicitando la retirada al responsable y, si no responde, a la AEPD.

Cuidado con el phishing dirigido

Los delincuentes que tienen tu DNI suelen usarlo para dar credibilidad a correos de phishing ("Hola [Nombre], le informamos que su DNI [número] ha sido..."). Aprende a identificar estas técnicas en nuestra guía sobre ingeniería social y cómo defenderte.

Protege los enlaces que compartes

Si gestionas comunicaciones (empresa, newsletters, atención al cliente) y necesitas enviar enlaces a documentos o formularios con datos sensibles, utiliza un acortador con protección por contraseña y estadísticas de acceso, como Lunyb. Esto te permite revocar enlaces si detectas accesos sospechosos y evita exponer URLs internas en texto plano. Consulta la mejor plataforma de gestión de enlaces 2026 para elegir la opción adecuada.

Navegación privada y DNS cifrado

Configura DNS cifrados (DNS over HTTPS) en tu router y navegador para evitar que tu proveedor y terceros registren tu actividad. Firefox y Chrome permiten activarlo en los ajustes de privacidad en pocos clics.

¿Puedo cambiar mi número de DNI?

Sí, aunque es excepcional. La normativa española permite solicitar el cambio de número de DNI cuando existan motivos justificados de seguridad, como víctimas de violencia de género, testigos protegidos o casos graves de suplantación de identidad acreditados.

Para solicitarlo:

Reúne pruebas documentales: denuncias, resoluciones judiciales, informes del banco sobre fraudes sufridos.
Solicita cita en una oficina de expedición del DNI.
Presenta una instancia motivada dirigida a la Dirección General de la Policía.
La resolución puede tardar varias semanas. Si se aprueba, se te asignará un nuevo número.

Importante: cambiar el DNI implica actualizar toda tu documentación (bancos, Seguridad Social, Hacienda, contratos), por lo que solo se recomienda en casos graves.

Derechos que te amparan según el RGPD

El Reglamento General de Protección de Datos y la LOPDGDD te otorgan derechos específicos ante una filtración:

Derecho a ser informado: la empresa debe comunicarte la brecha sin dilación indebida.
Derecho de acceso: puedes exigir saber qué datos tuyos tenían, cómo fueron comprometidos y a quién se cedieron.
Derecho de supresión: puedes solicitar el borrado de tus datos si ya no son necesarios.
Derecho a indemnización: si has sufrido daños materiales (fraude bancario) o morales (ansiedad, pérdida de reputación), puedes reclamarlos por vía civil.
Derecho a reclamar: ante la AEPD, que puede sancionar a la empresa con multas de hasta 20 millones de euros o el 4% de la facturación anual.

Checklist rápido: tu plan de acción en 24 horas

Confirma la filtración y documéntala con capturas.
Cambia la contraseña del correo principal y activa doble factor.
Llama a tu banco y pide alertas antifraude.
Consulta ASNEF para verificar que no figuras en impagos ajenos.
Presenta denuncia en Policía o Guardia Civil.
Prepara la reclamación ante la AEPD si procede.
Revisa Have I Been Pwned para otras cuentas afectadas.
Activa alertas de Google con tu nombre y DNI.

Preguntas frecuentes

¿Puede alguien pedir un préstamo con solo mi número de DNI?

Normalmente no basta con el número. Las entidades financieras serias exigen una imagen escaneada del documento, prueba de vida (selfie), verificación bancaria y, cada vez más, sistemas biométricos. Sin embargo, en microcréditos online y plataformas poco rigurosas sí se han producido fraudes con combinaciones de DNI, nombre y correo electrónico. Por eso es vital activar alertas en centrales de riesgo cuanto antes.

¿Cuánto tiempo tengo para reclamar ante la AEPD?

No existe un plazo cerrado tras conocer la filtración, pero se recomienda hacerlo lo antes posible, idealmente dentro del año siguiente a tener constancia del incidente. Para reclamar indemnización por vía civil, el plazo general es de un año desde que conoces el daño.

¿Debo cambiar mi DNI físico aunque no me cambien el número?

Si la filtración incluye la imagen escaneada de tu DNI y temes que se use para suplantación, puedes solicitar la renovación anticipada en comisaría. El número se mantendrá pero obtendrás un documento nuevo con número de soporte distinto, lo que invalida la foto antigua para verificaciones oficiales.

¿Son fiables los servicios de pago que monitorizan la dark web?

Algunos son útiles, especialmente los integrados en gestores de contraseñas reconocidos (1Password, Bitwarden Premium) o antivirus consolidados. Desconfía de servicios desconocidos que piden muchos datos personales por adelantado o prometen "borrar" tus datos de internet de forma garantizada: eso técnicamente no es posible una vez filtrados.

¿Qué pasa si la empresa que filtró mis datos no me ha avisado?

Es una infracción del RGPD. Las empresas están obligadas a notificar a los afectados cuando la brecha suponga un alto riesgo para sus derechos. Si te enteras por otros medios, documenta la fecha en que lo supiste, cómo lo supiste, y presenta reclamación ante la AEPD indicando esta omisión como agravante. Las sanciones por no notificar pueden alcanzar los 10 millones de euros o el 2% de la facturación anual global.