Tu DNI ha sido Filtrado: Qué Hacer Paso a Paso en 2026

Descubrir que tu DNI ha sido filtrado en una brecha de datos es una situación alarmante, pero no catastrófica si actúas con rapidez. En España, el Documento Nacional de Identidad es la llave maestra que abre contratos bancarios, operadores de telefonía, alquileres y hasta préstamos rápidos. Si cae en manos equivocadas, el riesgo de suplantación de identidad se multiplica.

En esta guía encontrarás un protocolo claro y accionable: desde confirmar si realmente estás afectado, hasta presentar denuncia ante la Policía Nacional y reclamar ante la Agencia Española de Protección de Datos (AEPD). También verás cómo blindar tus cuentas y detectar intentos de fraude antes de que sea tarde.

Qué significa que tu DNI haya sido filtrado

Una filtración de DNI ocurre cuando tu número de documento, junto a otros datos personales (nombre completo, fecha de nacimiento, dirección o fotocopia del documento), queda expuesto fuera del control del responsable que lo custodiaba. Esto puede suceder por un ciberataque a una empresa, un error de configuración en servidores, filtraciones internas o la venta de bases de datos en foros de la dark web.

No todas las filtraciones tienen la misma gravedad. No es lo mismo que se filtre únicamente el número de DNI (que un atacante podría intentar adivinar con algoritmos de la letra) que una fotocopia escaneada del documento por ambas caras. En el segundo caso, el riesgo de contratación fraudulenta se dispara.

Datos que suelen filtrarse junto al DNI

Nombre y apellidos completos
Fecha y lugar de nacimiento
Domicilio fiscal o de residencia
Número de teléfono móvil y correo electrónico
Imagen escaneada del documento (anverso y reverso)
Selfie de verificación KYC (muy común en plataformas financieras)

Cómo saber si tu DNI está filtrado

Antes de tomar medidas, confirma si realmente hay exposición. Muchas veces el pánico surge por bulos o correos de phishing que afirman que tus datos están en venta.

Consulta Have I Been Pwned: introduce tu correo en haveibeenpwned.com para ver en qué brechas conocidas aparece asociado.
Revisa alertas oficiales: el INCIBE y la AEPD publican avisos de brechas masivas que afectan a ciudadanos españoles.
Vigila tu correo: si recibes comunicaciones de empresas en las que nunca te registraste (bancos, aseguradoras, casinos online), es señal de que tus datos circulan.
Solicita tu informe CIRBE: el Banco de España permite consultar qué préstamos están registrados a tu nombre. Un crédito desconocido es una alerta roja.
Consulta ASNEF: comprueba si figuras en ficheros de morosidad por deudas que no has contraído.

Qué hacer en las primeras 24 horas tras confirmar la filtración

El tiempo es crítico. Los delincuentes suelen monetizar los datos robados en las primeras horas o días tras la brecha, antes de que las víctimas reaccionen.

1. Documenta la evidencia

Haz capturas de pantalla de cualquier notificación recibida, el comunicado oficial de la empresa afectada y cualquier publicación que muestre tus datos expuestos. Guarda URLs, fechas y horas. Esta documentación será clave para denuncias y reclamaciones.

2. Cambia contraseñas y activa la doble autenticación

Aunque la contraseña no se haya filtrado, cualquier atacante con tu DNI y correo puede intentar recuperar cuentas haciéndose pasar por ti. Cambia las credenciales de banca online, correo principal, y servicios donde el DNI sea parte del proceso de verificación. Activa la verificación en dos pasos (2FA) preferiblemente mediante app autenticadora, no SMS.

3. Contacta con tu banco

Avisa a tu entidad de que tus datos están expuestos. Pide que marquen tu perfil con alerta de fraude y que te notifiquen cualquier contratación nueva o intento de acceso sospechoso. Algunos bancos ofrecen bloqueo preventivo de la contratación online a terceros.

4. Revisa servicios de contratación rápida

Los préstamos exprés y las líneas móviles prepago son los vectores más comunes de fraude. Consulta si alguien ha dado de alta servicios a tu nombre revisando tu buzón, cartas certificadas no retiradas, y portales como el de la operadora de referencia.

Denuncia ante la Policía Nacional o Guardia Civil

Presentar denuncia es imprescindible por dos motivos: te permite acreditar que no reconoces operaciones fraudulentas posteriores, y activa la investigación penal. Puedes hacerlo en comisaría presencial, telemáticamente a través de la web de la Policía Nacional (denuncia por internet) o en los cuarteles de la Guardia Civil.

Qué incluir en la denuncia

Fecha en la que tuviste conocimiento de la filtración
Origen conocido o sospechado (empresa responsable de la brecha)
Datos personales expuestos
Operaciones fraudulentas detectadas, si las hay (contratos, préstamos, cuentas)
Capturas y pruebas documentales

Guarda el justificante de denuncia. Lo necesitarás para desvincularte de contratos fraudulentos y para la reclamación ante la AEPD.

Reclamación ante la AEPD

La Agencia Española de Protección de Datos es el organismo que supervisa el cumplimiento del RGPD en España. Si una empresa ha sufrido una brecha que afecta a tus datos, tiene obligación legal de notificarla a la AEPD en un plazo máximo de 72 horas y, cuando el riesgo sea alto, también a ti como afectado.

Cómo presentar la reclamación

Accede a la sede electrónica de la AEPD (sedeagpd.gob.es).
Selecciona "Reclamar ante la AEPD" y completa el formulario con tu identificación.
Describe los hechos: qué empresa es responsable, qué datos se filtraron, cuándo lo supiste y qué perjuicios has sufrido.
Adjunta pruebas: correos de la empresa, capturas, denuncia policial.
Firma electrónicamente con DNI electrónico, Cl@ve o certificado digital.

La AEPD puede imponer sanciones económicas muy elevadas a las empresas infractoras (hasta 20 millones de euros o el 4% de la facturación anual global). Aunque no recibas indemnización directa de la Agencia, sí podrás reclamar daños por vía civil contra la empresa.

Protegerte frente a la suplantación de identidad

Una vez estabilizada la situación de emergencia, toca blindarte para el medio y largo plazo. La suplantación de identidad puede manifestarse meses después de la filtración original.

Servicios de alerta crediticia

Suscríbete a servicios que te notifiquen cuando alguien consulte tu historial crediticio o te den de alta en un fichero de morosidad. Experian, Equifax y la propia ASNEF ofrecen alertas gratuitas o de bajo coste. También conviene revisar tu informe CIRBE del Banco de España cada 6 meses.

Bloqueo preventivo de contratación

Algunas operadoras permiten activar un bloqueo que impide portabilidades o altas nuevas sin verificación presencial. Pregunta a tu operadora móvil y aplica esta medida: evita el temido SIM swapping, una técnica donde los delincuentes duplican tu tarjeta SIM para interceptar SMS bancarios.

Cuidado con el phishing dirigido

Tras una filtración, los atacantes disponen de información real sobre ti y pueden personalizar correos o SMS para que parezcan legítimos. Desconfía de mensajes que te urgen a hacer clic en enlaces, incluso si contienen tu nombre y DNI correctos. Para profundizar, consulta nuestra guía sobre estafas bancarias por SMS y cómo evitarlas.

Comparativa: canales para denunciar y reclamar

Canal	Para qué sirve	Plazo recomendado	Coste
Policía Nacional / Guardia Civil	Denuncia penal por fraude o suplantación	Inmediato tras detectar fraude	Gratuito
AEPD	Reclamación por incumplimiento del RGPD	Hasta 1 año desde conocer la brecha	Gratuito
Banco de España (CIRBE)	Consultar préstamos a tu nombre	Revisar cada 6 meses	Gratuito
ASNEF / Equifax	Verificar inclusiones en ficheros de morosidad	Al detectar la filtración y periódicamente	Gratuito (ejercicio de derechos)
Vía civil	Reclamar indemnización por daños	Hasta 5 años	Honorarios abogado/procurador

Qué hacer si ya te han suplantado la identidad

Si descubres contratos, préstamos o cuentas abiertas a tu nombre sin tu consentimiento, el procedimiento se complica pero es perfectamente resoluble.

Denuncia en comisaría con todos los documentos del contrato fraudulento.
Comunica por burofax a la empresa contratante que el contrato es fraudulento, adjuntando copia de la denuncia. El burofax con acuse de recibo y certificación de contenido tiene valor probatorio.
Solicita la nulidad del contrato por falta de consentimiento (artículos 1261 y 1265 del Código Civil).
Exige la baja en ficheros de morosidad ejerciendo tu derecho de supresión bajo el RGPD.
Reclama ante la AEPD si la empresa no atiende tu solicitud en el plazo de un mes.

Prevención: reduce tu exposición futura

No puedes evitar al 100% que una empresa a la que entregaste tus datos sufra una brecha, pero sí minimizar la superficie de exposición y detectar ataques más rápido.

Comparte menos, verifica siempre

Cuestiona cada petición de DNI: ¿es realmente necesaria? Para registrarte en un gimnasio, newsletter o tienda online, en la mayoría de casos no lo es. La AEPD ha sancionado a empresas por solicitar fotocopia del DNI sin base legal.

Usa correos y enlaces desechables

Cuando necesites compartir información o enlaces en formularios temporales, utiliza herramientas que te permitan controlar y revocar accesos. Acortadores profesionales como Lunyb permiten crear enlaces con fecha de expiración, protección por contraseña y estadísticas de acceso, útiles cuando compartes documentos sensibles por canales digitales. Si gestionas muchos enlaces por motivos profesionales, revisa nuestra comparativa de plataformas de gestión de enlaces 2026.

Endurece tu huella digital

Los atacantes combinan datos de múltiples filtraciones con información pública de redes sociales para construir perfiles completos. Revisa qué información tuya es accesible públicamente y limita lo que compartes. Técnicas de rastreo como el fingerprinting de navegador también pueden ayudar a identificarte sin cookies, así que conviene conocerlas.

Correo electrónico segmentado

Usa alias de correo diferentes para servicios financieros, compras online y registros poco importantes. Si un alias aparece en una filtración, sabrás exactamente qué servicio fue el origen y podrás descartarlo sin perder tu correo principal.

Marco legal: tus derechos bajo el RGPD

El Reglamento General de Protección de Datos (Reglamento UE 2016/679) y la LOPDGDD española te otorgan varios derechos relevantes ante una filtración:

Derecho a ser informado: la empresa debe notificarte brechas que supongan alto riesgo para tus derechos.
Derecho de acceso: puedes exigir saber qué datos tuyos trata la empresa.
Derecho de supresión (olvido): puedes pedir el borrado de tus datos cuando ya no sean necesarios.
Derecho a indemnización: por daños materiales (fraudes económicos) y morales (ansiedad, pérdida de control).
Derecho a presentar reclamación ante la autoridad de control (AEPD).

Los tribunales españoles han reconocido indemnizaciones por daño moral derivado de filtraciones, incluso sin fraude económico consumado, cuando se demuestra pérdida de control sobre los datos y preocupación razonable del afectado.

Preguntas frecuentes

¿Pueden abrir una cuenta bancaria solo con mi número de DNI?

Legalmente no: los bancos deben verificar la identidad presencial o mediante videoidentificación con el documento físico. Sin embargo, algunas fintech y neobancos con procesos KYC más laxos han sido víctimas de aperturas fraudulentas. Por eso es clave avisar a tu banco y vigilar el CIRBE.

¿Puedo cambiar mi número de DNI si ha sido filtrado?

Sí. La Dirección General de la Policía permite solicitar un cambio de número de DNI cuando se acredita suplantación de identidad reiterada o riesgo grave. Tendrás que aportar denuncias y pruebas. Es un trámite excepcional pero existe.

¿Cuánto tiempo tengo para reclamar ante la AEPD?

No existe un plazo rígido, pero se recomienda hacerlo cuanto antes y, en cualquier caso, dentro del año siguiente a conocer la brecha. Para reclamar indemnización por vía civil, el plazo general de prescripción es de cinco años.

¿Qué pasa si la empresa responsable de la filtración está fuera de la UE?

El RGPD aplica a cualquier empresa que trate datos de residentes en la UE, independientemente de dónde esté ubicada. La AEPD puede coordinarse con autoridades extranjeras, aunque la ejecución efectiva puede ser más lenta. En paralelo, siempre puedes activar las medidas defensivas en España (banco, denuncias, bloqueos).

¿Las empresas me van a pagar una indemnización automáticamente?

No. La AEPD sanciona a la empresa, pero las multas van al Estado. Para recibir indemnización personal debes reclamarla por vía civil, demostrando el daño (económico o moral) y el nexo causal con la brecha. Muchos despachos ofrecen acciones colectivas tras grandes filtraciones, lo que reduce costes al afectado.

Conclusión: una filtración de DNI no tiene por qué derivar en desastre si actúas con método. Documenta, denuncia, reclama y refuerza tus defensas. Cada paso de esta guía está diseñado para que recuperes el control de tu identidad digital y disuadas futuros intentos de suplantación.