Qué Hacer si te Roban tu Cuenta de Email: Guía Urgente 2026

El correo electrónico es la llave maestra de tu vida digital. Con acceso a tu bandeja de entrada, un atacante puede restablecer contraseñas de bancos, redes sociales, servicios de pago y prácticamente cualquier cuenta asociada a esa dirección. Si sospechas o has confirmado que te han robado tu cuenta de email, cada minuto cuenta.

En esta guía completa te explicamos exactamente qué hacer paso a paso: cómo recuperar el acceso, cómo contener los daños, cómo denunciar el incidente conforme al RGPD y cómo blindar tus cuentas para que no vuelva a ocurrir.

Cómo saber si te han robado la cuenta de email

Un robo de cuenta de correo es el acceso no autorizado a tu buzón por parte de un tercero, normalmente mediante contraseñas filtradas, phishing o malware. Detectarlo a tiempo reduce drásticamente el impacto.

Señales claras de que tu email ha sido comprometido

No puedes iniciar sesión a pesar de introducir la contraseña correcta.
Recibes notificaciones de inicio de sesión desde ubicaciones o dispositivos desconocidos.
Aparecen correos enviados que tú no has redactado, especialmente en la carpeta "Enviados" o "Papelera".
Tus contactos reciben mensajes extraños con enlaces o solicitudes de dinero desde tu dirección.
Se han creado reglas de reenvío automático que no configuraste.
Recibes correos de restablecimiento de contraseña de servicios que no solicitaste.
Faltan correos o hay carpetas modificadas.

Primeras acciones críticas en los 15 primeros minutos

Si detectas cualquiera de las señales anteriores, actúa inmediatamente siguiendo este orden. La rapidez es tu mejor aliada.

Paso 1: Intenta cambiar la contraseña de inmediato

Si todavía tienes acceso a la cuenta, entra desde un dispositivo limpio (idealmente uno distinto al habitual, por si tuviera malware) y cambia la contraseña. Utiliza una nueva de al menos 16 caracteres, única y sin relación con contraseñas anteriores.

Paso 2: Cierra todas las sesiones activas

La mayoría de proveedores (Gmail, Outlook, Yahoo, ProtonMail) permite cerrar sesión en todos los dispositivos desde un solo botón. Búscalo en Configuración > Seguridad > Actividad reciente o similar. Esto expulsa al atacante aunque haya cambiado la contraseña.

Paso 3: Recupera la cuenta si ya no puedes entrar

Si el atacante ya cambió tu contraseña, usa el proceso oficial de recuperación:

Accede a la página de recuperación del proveedor (por ejemplo, accounts.google.com/signin/recovery).
Introduce tu dirección de email y sigue el formulario.
Facilita toda la información posible: contraseñas anteriores, fechas aproximadas de creación, contactos frecuentes, asuntos de correos recientes.
Utiliza un dispositivo y una red que hayas usado habitualmente para acceder a esa cuenta: aumenta las posibilidades de éxito.
Si tienes número de teléfono o email de recuperación asociado, úsalos.

Paso a paso completo para recuperar tu cuenta

1. Verifica el equipo desde el que actúas

Antes de introducir nuevas contraseñas, asegúrate de que el dispositivo no está infectado. Ejecuta un análisis completo con un antivirus actualizado (Windows Defender, Malwarebytes, Bitdefender). Si sospechas de infección seria, usa otro equipo distinto.

2. Cambia la contraseña y activa la verificación en dos pasos

Una vez dentro, activa la autenticación en dos pasos (2FA) preferiblemente con una app tipo Google Authenticator, Authy o una llave física FIDO2. Evita el SMS como segundo factor siempre que puedas: es vulnerable a ataques de SIM swapping.

3. Revisa y limpia la configuración

Los atacantes suelen dejar "puertas traseras" para volver a entrar aunque cambies la contraseña. Revisa minuciosamente:

Reglas de reenvío: elimina cualquier reenvío automático que no reconozcas.
Filtros de correo: los atacantes crean filtros para ocultar correos de bancos o servicios.
Direcciones de recuperación: comprueba que el email y el número de teléfono de recuperación son tuyos.
Aplicaciones conectadas con permisos OAuth: revoca las que no reconozcas.
Firma de correo: algunos ataques modifican la firma para incluir enlaces maliciosos.
Respuestas automáticas: verifica que no hay ninguna configurada.

4. Revisa las bandejas Enviados, Papelera y Spam

Comprueba qué correos ha enviado el atacante en tu nombre y qué mensajes ha borrado. Esto te dará pistas sobre sus objetivos: ¿estafó a tus contactos?, ¿intentó restablecer contraseñas bancarias?, ¿accedió a documentos privados?

Contener los daños: proteger cuentas asociadas

El correo comprometido es un trampolín para atacar otros servicios. Debes asumir que el atacante ha visto todo lo que había en tu bandeja de entrada.

Cambia estas contraseñas por orden de prioridad

Banca online y apps de pago (Bizum, PayPal, Wise, Revolut).
Plataformas de compra con datos de tarjeta guardados (Amazon, eBay, tiendas online).
Servicios en la nube (Google Drive, Dropbox, iCloud, OneDrive).
Redes sociales (Facebook, Instagram, LinkedIn, X, TikTok).
Herramientas laborales (Slack, Microsoft 365, GitHub, gestores de proyectos).
Otros correos secundarios que puedan estar vinculados.

Avisa a tu entorno

Envía un mensaje (desde otro canal, no desde el email comprometido) a familiares, amigos y contactos profesionales. Advierte que si han recibido correos extraños tuyos en las últimas horas, los ignoren y no hagan clic en enlaces. Los ataques de suplantación con estafas económicas son habituales tras estos incidentes.

Contacta con tu banco

Si el atacante ha podido ver correos con datos bancarios, llama a tu entidad, informa del incidente y solicita vigilancia reforzada. Considera bloquear temporalmente tarjetas o generar nuevos números.

Denunciar el incidente en España

Un robo de cuenta de email en España puede constituir varios delitos: acceso ilícito a sistemas informáticos (art. 197 bis del Código Penal), descubrimiento de secretos, y en muchos casos también estafa o suplantación de identidad.

Dónde presentar la denuncia

Organismo	Cuándo acudir	Cómo contactar
Policía Nacional (GDT)	Robo, estafa, suplantación	Comisaría o denuncia online
Guardia Civil (GDT)	Delitos telemáticos en general	www.gdt.guardiacivil.es
AEPD	Fuga o exposición de datos personales	www.aepd.es
INCIBE	Asesoramiento gratuito	017 (línea de ayuda)

Qué documentación aportar

Capturas de pantalla de correos sospechosos, notificaciones y actividad anómala.
Fechas y horas aproximadas de los accesos no autorizados.
Direcciones IP registradas en los registros de inicio de sesión (si tu proveedor las muestra).
Correos afectados y cuentas asociadas.
Pérdidas económicas si las hubiera y comunicaciones con terceros afectados.

Conforme al RGPD, si eres una empresa y el email robado contenía datos personales de terceros, tienes obligación de notificar a la AEPD en menos de 72 horas.

Cómo blindar tu cuenta para el futuro

La mejor forma de recuperarse de un robo es asegurarse de que no vuelva a suceder. Estas son las medidas mínimas que deberías aplicar.

Buenas prácticas imprescindibles

Gestor de contraseñas: Bitwarden, 1Password o KeePassXC generan y almacenan contraseñas únicas para cada servicio.
Autenticación en dos pasos con app o llave física: preferentemente FIDO2/WebAuthn.
Correo de recuperación separado: crea una cuenta específica solo para recuperación, sin uso público.
Alias de correo: usa servicios como SimpleLogin, Firefox Relay o el propio alias de tu proveedor para no exponer tu dirección real en cada registro.
Revisión periódica de accesos: comprueba mensualmente la actividad de tu cuenta.
Actualiza sistemas y navegador: la mayoría de infecciones se aprovechan de software desactualizado.
Desconfía del phishing: nunca introduzcas credenciales tras hacer clic en enlaces de correos, aunque parezcan legítimos.

Enlaces cortos y seguridad

Buena parte de las estafas por email usan enlaces acortados para ocultar dominios maliciosos. Cuando compartas enlaces con clientes, colegas o audiencias, utiliza un acortador con dominio de confianza y análisis de tráfico como Lunyb, que además permite auditar quién accede a tus enlaces y detectar patrones sospechosos. Si te interesa comparar alternativas del sector, puedes revisar nuestra guía sobre la mejor plataforma de gestión de enlaces en 2026.

Errores comunes que debes evitar

No entres en pánico y no borres pruebas

Es tentador vaciar la papelera o eliminar correos sospechosos. No lo hagas: son evidencias que servirán para denunciar y para que tu proveedor investigue el incidente.

No reutilices contraseñas antiguas

Si el atacante consiguió acceder con una contraseña filtrada, cualquier variante (añadir un número, cambiar una letra) es igualmente vulnerable. Empieza de cero.

No confíes en el modo incógnito como medida de seguridad

Muchos usuarios creen que navegar en modo privado los protege de estos incidentes. En nuestro artículo sobre si el modo incógnito realmente te protege explicamos por qué no es una barrera frente a robos de credenciales.

No ignores los avisos de brechas

Servicios como Have I Been Pwned te avisan si tu email aparece en filtraciones. Suscríbete y actúa cambiando contraseñas de los servicios afectados en cuanto recibas una alerta.

Tabla resumen: qué hacer y en qué orden

Momento	Acción	Objetivo
0-15 min	Cambiar contraseña y cerrar sesiones	Expulsar al atacante
15-60 min	Activar 2FA y revisar configuración	Bloquear puertas traseras
1-3 horas	Cambiar contraseñas críticas asociadas	Contener daño colateral
3-24 horas	Avisar contactos y banco	Prevenir estafas en cadena
24-72 horas	Denuncia policial y AEPD si procede	Registro legal e investigación
Continuo	Monitorización y buenas prácticas	Prevención a largo plazo

Preguntas frecuentes

¿Cuánto tarda un proveedor en devolverme el acceso a mi cuenta?

Depende del servicio. Google y Microsoft suelen procesar solicitudes de recuperación en 24-72 horas si aportas suficiente información. Si no lo consigues en el primer intento, puedes repetir el formulario aportando más datos. Cuanta más información verificable proporciones, mayor es la probabilidad de éxito.

¿Debo pagar si el atacante me pide un rescate por mi cuenta?

Nunca. Pagar no garantiza que te devuelvan el acceso y te marca como objetivo fácil para futuros ataques. Denuncia el incidente a la Policía o Guardia Civil y utiliza los procesos oficiales de recuperación del proveedor.

¿Cómo sé qué servicios tenía vinculados a mi correo?

Busca en tu bandeja de entrada términos como "bienvenido", "verifica tu cuenta", "restablecer contraseña" o "confirma tu email". También puedes revisar tu gestor de contraseñas o el historial del navegador. Cambia las contraseñas de todos los servicios que encuentres.

¿Es obligatorio denunciar el robo de mi cuenta de email?

Para particulares no es obligatorio, pero sí muy recomendable, especialmente si hay perjuicio económico o suplantación. Para empresas, si la cuenta contenía datos personales de clientes o empleados, el RGPD obliga a notificar a la AEPD en 72 horas y, en algunos casos, a los propios afectados.

¿Puedo saber quién ha entrado en mi cuenta?

La mayoría de proveedores muestra el historial de accesos con IP, ubicación aproximada y dispositivo. Encontrarás esta información en la sección de seguridad de tu cuenta. Esos datos son útiles para la denuncia, aunque identificar al atacante requerirá colaboración judicial con el proveedor de servicios de internet.

Conclusión

Sufrir el robo de una cuenta de email es una experiencia estresante, pero con una respuesta rápida y ordenada puedes minimizar el daño y recuperar el control. Recuerda las tres reglas de oro: actúa en los primeros minutos, revisa toda la configuración en busca de puertas traseras y refuerza la seguridad con 2FA y contraseñas únicas para que no vuelva a ocurrir.

La seguridad digital no es un evento puntual, sino un hábito. Dedicar 30 minutos hoy a revisar tus cuentas puede ahorrarte semanas de problemas mañana.