Qué Hacer si te Roban tu Cuenta de Email: Guía de Rescate 2026

El correo electrónico es la llave maestra de tu vida digital: desde la banca online hasta las redes sociales, casi todos tus servicios dependen de él para recuperar contraseñas. Por eso, cuando alguien roba tu cuenta de email, el problema no se queda ahí: puede desencadenar un efecto dominó que comprometa tu identidad, tus finanzas y tu reputación.

En esta guía te explico, paso a paso, qué hacer en las primeras horas tras detectar el robo, cómo recuperar el control, qué medidas tomar después y cómo denunciar el incidente ante las autoridades españolas competentes.

Cómo saber si te han robado la cuenta de email

Antes de actuar, confirma que realmente se trata de un acceso no autorizado y no de un fallo técnico. Un robo de cuenta de email suele mostrar señales claras que conviene conocer para reaccionar rápido.

Señales habituales de un acceso no autorizado

No puedes iniciar sesión aunque la contraseña es la correcta.
Recibes avisos de inicio de sesión desde ubicaciones o dispositivos desconocidos.
Aparecen correos enviados que tú no escribiste (spam, phishing a tus contactos).
Tus contactos reciben mensajes extraños en tu nombre.
Se han modificado reglas de filtrado, firma, respuesta automática o número de recuperación.
Faltan correos importantes, especialmente de bancos o servicios financieros.
Recibes notificaciones de cambios de contraseña que no has solicitado en otros servicios.

Si identificas una o varias de estas señales, actúa de inmediato. Cada minuto cuenta.

Primeros pasos: las 10 primeras acciones críticas

La prioridad absoluta en las primeras horas es expulsar al atacante y cortar el acceso a cualquier otro servicio asociado a esa cuenta de correo.

Intenta cambiar la contraseña inmediatamente desde un dispositivo seguro (no uses un ordenador público o con posible malware).
Cierra todas las sesiones activas. Gmail, Outlook y otros proveedores tienen la opción "Cerrar sesión en todos los dispositivos".
Revisa la actividad reciente y anota IPs, horas y dispositivos sospechosos: te servirán para la denuncia.
Activa la verificación en dos pasos (2FA) con una app como Google Authenticator o Authy, no por SMS si es posible.
Elimina números de teléfono y emails de recuperación desconocidos que el atacante haya añadido.
Comprueba las reglas de reenvío automático y filtros creados sin tu consentimiento.
Revisa aplicaciones de terceros con acceso a tu cuenta y revoca las que no reconozcas.
Cambia la contraseña de los servicios críticos vinculados: banca, PayPal, Amazon, Hacienda, redes sociales.
Avisa a tus contactos para que no abran enlaces sospechosos enviados en tu nombre.
Haz capturas de pantalla de todo (correos, logs, cambios) como prueba.

Cómo recuperar la cuenta si ya no puedes acceder

Si el atacante ya ha cambiado la contraseña y los métodos de recuperación, el proceso es más complicado pero no imposible. Cada proveedor tiene un flujo específico de recuperación de cuentas comprometidas.

Gmail (Google)

Accede a accounts.google.com/signin/recovery y sigue el asistente. Google te pedirá información que solo tú deberías saber: contraseñas anteriores, fecha aproximada de creación de la cuenta, contactos frecuentes. Responde con precisión; cuanta más coincidencia, más probable es que recuperes el acceso.

Outlook / Hotmail (Microsoft)

Entra en account.live.com/acsr y completa el formulario de recuperación. Microsoft puede tardar entre 24 y 72 horas en responder. Usa un correo alternativo al que tengas acceso para recibir la respuesta.

Yahoo, iCloud y otros

Todos los grandes proveedores ofrecen un formulario similar. En iCloud, Apple suele requerir verificación con dispositivos de confianza previamente vinculados a tu ID de Apple.

Qué hacer si el proveedor no responde

Si pasados varios días no obtienes respuesta, insiste con nuevas solicitudes aportando más información (facturas de servicios asociados, correos antiguos recibidos, etc.). En paralelo, denuncia el hecho para dejar constancia oficial.

Daños colaterales: qué revisar después de recuperar la cuenta

Recuperar el acceso es solo la mitad del trabajo. Un atacante con horas dentro de tu bandeja de entrada puede haber hecho mucho daño silenciosamente.

Lista de verificación post-incidente

Área	Qué revisar	Prioridad
Banca online	Movimientos, beneficiarios añadidos, tarjetas virtuales creadas	Alta
Email	Carpeta de enviados, borradores, papelera, reglas, firma	Alta
Cuentas vinculadas	PayPal, Amazon, Bizum, Wallapop, criptomonedas	Alta
Redes sociales	Publicaciones, mensajes privados, cambios de datos	Media
Administración	Carpeta Ciudadana, Hacienda, Seguridad Social, DGT	Alta
Servicios de nube	Drive, OneDrive, Dropbox: descargas o compartidos nuevos	Media
Compras	Pedidos recientes, direcciones de envío añadidas	Media

Si detectas movimientos bancarios no autorizados, contacta inmediatamente con tu entidad para bloquear tarjetas y cuentas, y solicita por escrito la reversión de los cargos amparándote en la normativa de servicios de pago (PSD2).

Cómo denunciar el robo de cuenta en España

En España, el robo de una cuenta de email constituye un delito tipificado en el Código Penal (artículo 197 y siguientes, descubrimiento y revelación de secretos). Denunciarlo no solo es un derecho, sino que puede ser necesario para reclamar daños y protegerte legalmente.

Dónde presentar la denuncia

Policía Nacional: Grupo de Delitos Telemáticos. Puedes acudir presencialmente o usar la Oficina Virtual de Denuncias.
Guardia Civil: Grupo de Delitos Telemáticos (GDT), con formulario online en gdt.guardiacivil.es.
INCIBE: a través de la línea 017, ofrece asesoramiento gratuito en ciberseguridad para ciudadanos y empresas.

Cuándo acudir a la AEPD

Si en tu correo había datos personales de terceros (clientes, pacientes, empleados) y existe sospecha de que han sido expuestos, estás ante una posible brecha de seguridad según el RGPD. La Agencia Española de Protección de Datos (AEPD) exige notificar brechas en un plazo de 72 horas cuando afecten a datos personales y haya riesgo para los derechos de los afectados.

Puedes presentar la notificación en la sede electrónica de la AEPD (sedeagpd.gob.es) utilizando el formulario específico de brechas de seguridad.

Documentación útil para la denuncia

Capturas de la actividad sospechosa (IPs, horas, dispositivos).
Correos enviados sin tu consentimiento.
Avisos de cambios de contraseña recibidos.
Cualquier comunicación con los atacantes (chantaje, extorsión).
Movimientos bancarios o pagos no autorizados.

Cómo evitar que vuelva a ocurrir

La prevención es siempre más barata y menos estresante que la recuperación. Estas son las medidas que marcan la diferencia entre una cuenta vulnerable y una cuenta blindada.

Buenas prácticas imprescindibles

Contraseña única, larga y compleja: mínimo 16 caracteres, generada por un gestor de contraseñas como Bitwarden, 1Password o KeePass.
Doble factor de autenticación (2FA) con app autenticadora o llave física tipo YubiKey. Evita el SMS siempre que puedas.
Revisa periódicamente los dispositivos conectados y las aplicaciones de terceros con permisos.
Usa alias de correo para registros secundarios y evita exponer tu dirección principal.
Mantén actualizados navegador, sistema operativo y antivirus.
Desconfía del phishing: ningún proveedor serio te pedirá la contraseña por correo o teléfono.
Consulta haveibeenpwned.com para ver si tu email aparece en alguna filtración conocida.

Protección frente al phishing: el principal vector de robo

La mayoría de robos de email no ocurren por un ataque sofisticado, sino porque el usuario introduce sus credenciales en una web falsa. Antes de hacer clic en enlaces de correos o mensajes, verifica siempre el dominio real. Herramientas como un acortador con analítica y protección de enlaces (por ejemplo, Lunyb) te ayudan a identificar y gestionar enlaces de forma más segura, especialmente si gestionas comunicaciones profesionales o campañas de marketing.

Para profundizar en este tema, te recomiendo nuestra guía de las mejores herramientas anti-phishing 2026, donde comparamos las soluciones más eficaces para detectar y bloquear intentos de suplantación.

Casos especiales: email profesional y cuentas de empresa

Si la cuenta robada es corporativa, las implicaciones son mayores: puede comprometer datos de clientes, propiedad intelectual o secretos comerciales. La respuesta debe ser coordinada con el departamento de IT y, si existe, con el Delegado de Protección de Datos (DPD).

Protocolo recomendado en entornos empresariales

Aislar la cuenta y revocar accesos desde la consola de administración (Google Workspace, Microsoft 365).
Analizar logs para determinar el alcance temporal del acceso.
Evaluar si hay datos personales afectados y notificar a la AEPD en 72 horas si procede.
Comunicar a los afectados cuando el riesgo sea alto, tal como exige el artículo 34 del RGPD.
Realizar un informe interno y revisar las políticas de seguridad.

Si tu empresa gestiona enlaces, campañas o comunicaciones a gran escala, apóyate en plataformas profesionales que te permitan centralizar y auditar accesos. Puedes consultar nuestro análisis sobre la mejor plataforma de gestión de enlaces 2026 para elegir una solución con controles de seguridad adecuados.

Errores comunes que debes evitar tras un robo de cuenta

Pagar un rescate si recibes chantaje: no hay garantía de que devuelvan el acceso y financia nuevos ataques.
Reutilizar la contraseña anterior con pequeñas variaciones.
Ignorar los avisos de "inicio de sesión desde ubicación inusual" pensando que son falsos positivos.
No revisar las reglas de reenvío: muchos atacantes dejan una regla silenciosa que les reenvía todo a su dirección.
Esperar días para denunciar: cuanto antes se registre el incidente, más fácil es rastrear a los responsables.

Preguntas frecuentes

¿Cuánto tarda Google o Microsoft en devolverme el acceso a mi cuenta?

Depende de la información que puedas aportar y de la verificación. En el mejor de los casos, puede ser cuestión de minutos si tienes acceso al método de recuperación. Si el atacante lo ha cambiado, el proceso puede durar entre 48 horas y varias semanas, con intercambios adicionales de información.

¿Debo denunciar aunque haya recuperado la cuenta sin daños aparentes?

Sí, es recomendable. Dejar constancia del incidente te protege legalmente si posteriormente aparecen fraudes derivados (por ejemplo, uso de tu identidad). Además, ayuda a las fuerzas de seguridad a identificar patrones y redes criminales.

¿Qué pasa si en mi correo había datos personales de otras personas?

Si eres responsable del tratamiento de esos datos (autónomo, empresa, asociación), estás obligado a notificar la brecha a la AEPD en un plazo de 72 horas, según el RGPD. Si el riesgo para los afectados es alto, también debes comunicárselo directamente. Conserva evidencias del incidente y de las medidas correctoras adoptadas.

¿Es seguro usar el mismo correo tras ser hackeado?

Sí, siempre que hayas cambiado la contraseña, activado 2FA, revisado reglas de reenvío, aplicaciones conectadas y métodos de recuperación. En casos graves, puede valer la pena migrar a una cuenta nueva y mantener la antigua solo para redireccionar durante un tiempo.

¿Cómo sé si tengo malware en mi dispositivo que facilitó el robo?

Realiza un análisis completo con un antivirus actualizado (Microsoft Defender, Malwarebytes, Bitdefender). Revisa extensiones del navegador instaladas recientemente y programas desconocidos. Si tienes dudas, lo más seguro es formatear el equipo y restaurar desde cero antes de volver a introducir contraseñas sensibles.

Conclusión

El robo de una cuenta de email es una de las crisis digitales más estresantes a las que te puedes enfrentar, pero con una respuesta rápida y metódica puedes minimizar los daños. Recuerda las tres fases clave: recuperar el acceso, auditar daños colaterales y reforzar la seguridad para que no vuelva a ocurrir. Y no olvides denunciar: tu caso puede ayudar a desarticular redes de ciberdelincuencia que afectan a miles de personas cada año.

Invertir unas horas en configurar correctamente la autenticación en dos pasos, un gestor de contraseñas y hábitos de navegación prudentes es, sin duda, la mejor póliza de seguro digital que puedes contratar.