Qué Hacer si te Roban tu Cuenta de Email: Guía de Recuperación 2026

Que te roben la cuenta de email es una de las peores pesadillas digitales. Tu correo electrónico es la llave maestra de tu vida en internet: desde él se restablecen las contraseñas de tu banca online, tus redes sociales, plataformas de compras y servicios profesionales. Si un atacante consigue el control, puede provocar daños que van mucho más allá de leer tus mensajes privados.

En esta guía te explicamos, paso a paso, qué hacer en las primeras horas tras detectar el robo, cómo recuperar el acceso, qué denunciar ante la AEPD o la policía y cómo blindar tu cuenta para que no vuelva a pasar.

Cómo saber si te han robado la cuenta de email

El robo de una cuenta de correo no siempre es evidente. En muchos casos, los atacantes mantienen un perfil bajo durante días o semanas para espiar tu actividad antes de actuar. Estas son las señales de alarma más habituales:

Inicios de sesión desconocidos desde ubicaciones o dispositivos extraños en el historial de actividad.
Correos marcados como leídos que tú no has abierto, o mensajes que han desaparecido de la bandeja.
Correos enviados desde tu cuenta que no reconoces, especialmente a tus contactos.
Reglas de filtrado nuevas que redirigen o eliminan mensajes automáticamente.
Cambios en la firma, respuesta automática o datos de recuperación (teléfono, email alternativo).
Notificaciones de restablecimiento de contraseña en otros servicios que no solicitaste.
Contactos que te avisan de que han recibido mensajes raros, enlaces sospechosos o peticiones de dinero desde tu dirección.

Si detectas una o varias de estas señales, actúa de inmediato. Cada minuto cuenta.

Primeros pasos: qué hacer en los primeros 15 minutos

La velocidad de reacción determina cuánto daño puede causar el atacante. Sigue este orden de prioridades sin saltarte pasos.

1. Intenta cambiar la contraseña inmediatamente

Entra en tu cuenta desde un dispositivo de confianza (idealmente, uno distinto al habitual por si tuviera malware) y cambia la contraseña por una nueva, larga, única y robusta. Usa al menos 14 caracteres combinando mayúsculas, minúsculas, números y símbolos. No reutilices contraseñas que uses en otros servicios.

Si aún puedes acceder, considera que estás a tiempo. Cambia también la pregunta de seguridad si tu proveedor sigue usándola.

2. Cierra todas las sesiones activas

Tanto Gmail, Outlook, Yahoo como ProtonMail ofrecen la opción de "cerrar sesión en todos los dispositivos". Al hacerlo, expulsas al atacante aunque siga conectado. En Gmail, por ejemplo, está en la parte inferior de la bandeja de entrada, en "Última actividad de la cuenta".

3. Activa la verificación en dos pasos (2FA)

Si todavía no la tenías activa, actívala ya mismo. Preferiblemente con una aplicación de autenticación como Authy, Google Authenticator o una llave física tipo YubiKey. Evita el SMS como segundo factor siempre que puedas: es vulnerable al SIM swapping.

4. Revisa y limpia las opciones de recuperación

Comprueba que el teléfono, correo alternativo y preguntas de seguridad son los tuyos. Es muy habitual que el atacante añada un email de recuperación propio para poder recuperar la cuenta aunque la cierres.

Cómo recuperar la cuenta si ya no puedes acceder

Si el atacante te ha expulsado y ya no puedes iniciar sesión, no te desesperes. Todos los grandes proveedores tienen procesos específicos de recuperación de cuenta.

Gmail / Google

Ve a g.co/recover e introduce tu dirección.
Google te pedirá verificar identidad con la última contraseña que recuerdes, un dispositivo de confianza previamente usado o el teléfono vinculado.
Responde desde una red y dispositivo que hayas usado antes para iniciar sesión (eso ayuda al sistema a reconocerte).
Si todo falla, rellena el formulario de recuperación con el máximo detalle: fecha aproximada de creación, servicios de Google que usas, etiquetas, contactos frecuentes.

Outlook / Hotmail / Microsoft

Accede a account.live.com/acsr.
Introduce la cuenta comprometida y un correo alternativo para que Microsoft se comunique contigo.
Rellena el formulario con información verificable: contactos recientes, asuntos de correos, carpetas personalizadas.
Microsoft responde en 24-48 horas.

Yahoo, Apple iCloud y otros

El proceso es similar: formulario de recuperación, verificación por teléfono o email alternativo y, en último caso, soporte humano. Para iCloud, Apple ofrece claves de recuperación y contactos de recuperación que conviene configurar antes de que ocurra el problema.

Reduce el daño colateral: protege el resto de tus cuentas

Recuperar el email es solo la primera batalla. Si el atacante tuvo acceso durante tiempo, probablemente ha usado tu correo para resetear contraseñas de otros servicios. Haz esta auditoría cuanto antes.

Lista de servicios críticos a revisar

Banca online, PayPal, Bizum, Revolut, N26: cambia contraseña y revisa movimientos.
Amazon, AliExpress y tiendas con tarjeta guardada: comprueba pedidos recientes y direcciones de envío.
Redes sociales (Instagram, Facebook, X, LinkedIn, TikTok): cierra sesiones, revisa publicaciones y mensajes.
Servicios en la nube (Google Drive, Dropbox, iCloud, OneDrive): mira el historial de archivos y compartidos.
Hacienda, Seguridad Social, DGT, mi carpeta ciudadana: revisa accesos si usas Cl@ve PIN con el email vinculado.
Plataformas de trabajo: Slack, Notion, GitHub, Figma, correos corporativos.

En cada una: cambia contraseña, activa 2FA, revisa dispositivos conectados y busca movimientos extraños. Si usas un gestor de contraseñas como Bitwarden o 1Password, el proceso será mucho más rápido.

Avisa a tus contactos

Es muy probable que el atacante haya enviado correos con enlaces maliciosos o fraudes a tu libreta de direcciones. Publica un aviso en tus redes y envía un mensaje a tus contactos frecuentes explicando que tu cuenta ha sido comprometida y pidiendo que ignoren mensajes sospechosos recibidos en las últimas horas o días.

Denuncia el robo: AEPD, policía y organismos

En España, el robo de una cuenta de email constituye un delito tipificado en el Código Penal (acceso ilícito a sistemas de información, art. 197 bis). Denunciar es importante tanto para tu protección legal como para alimentar las estadísticas que permiten combatir estos ataques.

Dónde denunciar

Policía Nacional (Grupo de Delitos Telemáticos) o Guardia Civil (GDT): denuncia presencial o a través de la plataforma online. Lleva capturas de pantalla, correos sospechosos y cualquier evidencia.
Agencia Española de Protección de Datos (AEPD): si se han filtrado datos personales tuyos o de terceros (por ejemplo, documentos adjuntos en tu correo), puedes presentar reclamación en sedeagpd.gob.es.
INCIBE (017): la línea gratuita del Instituto Nacional de Ciberseguridad ofrece asesoramiento inmediato por teléfono, chat o WhatsApp.
Tu banco: si has detectado cargos no autorizados, abre una reclamación formal cuanto antes. El RGPD y la normativa PSD2 te protegen frente a pagos no autorizados si denuncias con rapidez.

Guarda copia de todas las denuncias y comunicaciones; pueden ser necesarias si en el futuro reclamas responsabilidades.

Cómo entraron: las causas más comunes del robo

Entender cómo ha ocurrido te ayuda a evitar que vuelva a pasar. Estas son las vías de entrada más frecuentes:

Phishing e ingeniería social

El clásico correo falso que simula ser de tu banco, Correos, Hacienda o incluso del propio proveedor de email, pidiéndote iniciar sesión en una página fraudulenta. Si quieres profundizar, hemos escrito una guía dedicada a tipos de ingeniería social y cómo defenderse.

Contraseñas filtradas en otras brechas

Si usas la misma contraseña en varios sitios, basta con que uno sufra una brecha para que tu correo quede expuesto. Comprueba si tu email aparece en filtraciones en haveibeenpwned.com.

Malware o keyloggers

Software malicioso descargado de páginas poco fiables, cracks o adjuntos sospechosos que registran todo lo que tecleas. Si sospechas, pasa un análisis completo con un antivirus solvente (Bitdefender, Malwarebytes, ESET) desde un modo seguro.

Redes WiFi públicas sin cifrado

Conectarse a redes abiertas en cafeterías, aeropuertos u hoteles sin medidas de protección puede exponer tus credenciales. Usa DNS cifrado (DoH), navegadores con protecciones avanzadas como Firefox o Brave y evita iniciar sesión en cuentas sensibles desde conexiones no fiables.

SIM swapping

Un atacante convence a tu operadora para que duplique tu tarjeta SIM y así recibe tus códigos 2FA por SMS. Por eso insistimos: usa aplicaciones de autenticación o llaves físicas en vez de SMS.

Blindaje definitivo: cómo evitar que vuelva a pasar

Una vez recuperada la cuenta, aplica estas medidas para que la próxima vez sea casi imposible que te la roben.

Checklist de seguridad imprescindible

Medida	Nivel de protección	Dificultad
Contraseña única de 14+ caracteres	Alto	Baja
Gestor de contraseñas (Bitwarden, 1Password)	Muy alto	Baja
2FA con app autenticadora	Muy alto	Media
Llave física FIDO2/U2F (YubiKey)	Máximo	Media
Email alternativo exclusivo de recuperación	Alto	Baja
Revisión mensual de actividad	Medio	Baja
Alertas de inicio de sesión activadas	Alto	Baja
Antivirus y sistema operativo actualizados	Alto	Baja

Separa correos por nivel de criticidad

Una buena práctica es usar al menos dos o tres direcciones distintas: una para servicios críticos (banca, Hacienda, trabajo), otra para redes sociales y compras, y una tercera "desechable" para suscripciones y registros poco importantes. Así, si una cae, el resto permanece intacto.

Cuidado con los enlaces que recibes y los que compartes

Antes de hacer clic en cualquier enlace recibido por correo, pasa el cursor por encima para ver la URL real. Desconfía de dominios raros, errores ortográficos o acortadores desconocidos. Y cuando tú compartas enlaces, usa plataformas fiables que ofrezcan trazabilidad y control. Herramientas como Lunyb permiten acortar URLs con analíticas, protección contra abusos y gestión centralizada de tus enlaces, lo que ayuda a crear un entorno digital más seguro tanto para ti como para quien recibe tus mensajes. Puedes ver más alternativas en nuestra comparativa de mejores plataformas de gestión de enlaces 2026.

Educa a tu entorno

Muchos robos se originan porque un familiar, pareja o compañero cae en un phishing que acaba afectándote. Comparte estas pautas con las personas con las que compartes dispositivos o cuentas familiares.

Qué hacer si el robo afecta a tu empresa o datos de terceros

Si el correo comprometido es profesional o contiene datos personales de clientes, proveedores o empleados, las implicaciones del RGPD son importantes:

Notificación a la AEPD en 72 horas desde que se tiene conocimiento de la brecha, salvo que no suponga riesgo para los derechos de los afectados.
Comunicación a los afectados si existe un alto riesgo (por ejemplo, filtración de DNI, datos bancarios o información sensible).
Registro interno de la incidencia, con las medidas adoptadas y evidencias.
Si tu organización tiene Delegado de Protección de Datos (DPD), debe ser el primero en ser informado.

Ignorar estas obligaciones puede acarrear sanciones económicas significativas. Documenta todo desde el minuto uno.

Preguntas frecuentes

¿Cuánto tiempo tarda en recuperarse una cuenta robada?

Depende del proveedor y de la información que puedas aportar. Con Google o Microsoft, si tienes dispositivos previamente autorizados y recuerdas datos recientes, puedes recuperarla en minutos. Si tienes que pasar por el formulario de verificación manual, el proceso puede durar entre 24 horas y una semana.

¿Debo pagar si el atacante me pide un rescate por la cuenta?

No. Nunca pagues. No hay garantía de que te devuelvan el acceso y, además, te marcará como objetivo rentable para futuros ataques. Centra tus esfuerzos en recuperar la cuenta por los canales oficiales y en denunciar el delito.

¿Puedo saber desde qué país accedieron a mi correo?

Sí. Tanto Gmail como Outlook y Yahoo muestran el historial de accesos con dirección IP aproximada, país, navegador y sistema operativo. Esta información es útil para incluir en la denuncia policial, aunque los atacantes suelen enmascarar su ubicación real.

¿La 2FA por SMS es suficiente?

Es mejor que nada, pero es la opción más débil. Es vulnerable al SIM swapping y a ataques de interceptación. Siempre que puedas, usa una aplicación de autenticación (Authy, Google Authenticator, Microsoft Authenticator) o una llave física FIDO2 como YubiKey.

¿Debo cerrar la cuenta y abrir otra nueva?

Solo como último recurso. Cambiar de dirección implica avisar a cientos de contactos, actualizar servicios y perder histórico. Es preferible recuperar la cuenta, blindarla con las medidas de este artículo y mantener la vigilancia durante los meses siguientes. Si decides migrar, hazlo de forma ordenada y conserva la antigua activa un tiempo con reenvío a la nueva.