Qué Hacer si te Roban tu Cuenta de Email: Guía Completa 2026

El correo electrónico es la llave maestra de tu vida digital. Si te roban la cuenta de email, un atacante puede restablecer contraseñas de bancos, redes sociales, servicios en la nube y hasta suplantar tu identidad ante contactos y empresas. Por eso, actuar en las primeras horas es decisivo.

En esta guía encontrarás un plan de acción detallado para recuperar el control de tu cuenta, blindarla frente a nuevos ataques y gestionar las obligaciones legales que marca el RGPD y la AEPD en España cuando hay datos personales comprometidos.

Cómo saber si te han robado la cuenta de email

Un robo de cuenta de email es el acceso no autorizado a tu buzón por parte de un tercero, normalmente mediante credenciales filtradas, phishing o malware. No siempre es evidente, pero suele dejar rastros claros si sabes dónde mirar.

Señales de alerta más habituales

Correos enviados que tú no has escrito, especialmente a tu lista de contactos.
Avisos de inicio de sesión desde ubicaciones, dispositivos o navegadores desconocidos.
Reglas de reenvío automático o filtros que no has creado (una técnica típica para desviar correos a un atacante).
Contactos que te preguntan por mensajes extraños o enlaces sospechosos.
No puedes iniciar sesión porque la contraseña ya no funciona.
Notificaciones de cambio de contraseña, de número de teléfono asociado o de email de recuperación que no has solicitado.
Alertas de otras cuentas (banco, redes sociales) sobre restablecimientos de contraseña.

Si detectas uno solo de estos indicios, trátalo como un incidente de seguridad real hasta que puedas descartarlo.

Qué hacer en las primeras 2 horas tras el robo

Las primeras horas son críticas. Un atacante con acceso a tu email puede provocar daño masivo en poco tiempo, así que la prioridad es cortar el acceso cuanto antes.

Intenta iniciar sesión desde un dispositivo limpio. Usa un ordenador o móvil que no haya mostrado señales de infección. Evita redes públicas.
Cambia la contraseña inmediatamente. Elige una clave larga (mínimo 16 caracteres), única y que no hayas usado nunca. No reutilices variaciones de contraseñas anteriores.
Cierra todas las sesiones activas. Google, Outlook, Yahoo y la mayoría de proveedores tienen una opción para "desconectar todos los dispositivos" o "cerrar todas las sesiones". Úsala.
Activa la verificación en dos pasos (2FA). Preferiblemente con una app como Google Authenticator, Authy o una llave física (FIDO2), no con SMS.
Revisa el email y teléfono de recuperación. Comprueba que no se hayan cambiado por los del atacante.
Elimina reglas y filtros sospechosos. Revisa reenvíos automáticos, filtros, firmas y respuestas automáticas.
Revoca el acceso a aplicaciones de terceros. Si una app conectada por OAuth es la vía de entrada, puede readquirir acceso incluso tras cambiar la contraseña.

Si no puedes acceder porque el atacante ya cambió la contraseña y los métodos de recuperación, salta directamente al proceso oficial de recuperación de cuenta del proveedor.

Cómo recuperar la cuenta si has perdido el acceso

Cada proveedor tiene un formulario de recuperación específico. El objetivo es demostrar que la cuenta es tuya respondiendo preguntas sobre uso previo: contactos frecuentes, carpetas, fecha aproximada de creación, última contraseña recordada y ubicaciones habituales.

Enlaces oficiales de recuperación

Gmail / Google: accounts.google.com/signin/recovery
Outlook / Microsoft: account.live.com/acsr
Yahoo Mail: login.yahoo.com (opción "¿Olvidaste tu contraseña?")
Apple iCloud: iforgot.apple.com
ProtonMail: account.proton.me/reset-password

Consejos para que el formulario de recuperación funcione

Rellénalo desde una red y un dispositivo que hayas usado antes para esa cuenta.
Aporta cuanta más información mejor: fechas aproximadas, contactos con los que te escribes a menudo, nombres de etiquetas o carpetas personalizadas.
Si fallas, puedes repetirlo pasadas unas horas con datos más precisos.
No contrates "servicios de recuperación" de terceros: la mayoría son estafas.

Audita el daño: qué revisar después de recuperar el acceso

Recuperar la cuenta no cierra el incidente. Debes investigar qué hizo el atacante mientras tuvo acceso para contener efectos secundarios.

Historial de accesos: revisa IPs, países, dispositivos y horas. Guarda capturas de pantalla como prueba.
Correos enviados y papelera: comprueba si envió mensajes en tu nombre o si borró emails para ocultar actividad.
Reglas y reenvíos: elimina cualquier filtro que mande copias a direcciones externas.
Firma del correo: algunos atacantes insertan enlaces maliciosos en la firma para infectar a tus contactos.
Aplicaciones conectadas: revoca accesos OAuth, tokens API y contraseñas de aplicación.
Direcciones alternativas: en Gmail y Outlook, revisa que no se haya añadido un alias desconocido.
Documentos en la nube: Google Drive, OneDrive e iCloud suelen compartir sesión con el email. Revisa archivos nuevos, compartidos o eliminados.

Protege el resto de tus cuentas asociadas

Si el email es la "llave maestra", cualquier servicio vinculado a él está potencialmente comprometido. Haz un inventario y cambia contraseñas por prioridad.

Orden recomendado para cambiar contraseñas

Banca online y apps financieras (Bizum, PayPal, brokers, criptomonedas).
Gestores de contraseñas si usas uno vinculado a ese email.
Otras cuentas de email y servicios de recuperación.
Redes sociales (Instagram, X, LinkedIn, Facebook, TikTok).
Tiendas online con tarjeta guardada (Amazon, El Corte Inglés, PcComponentes).
Servicios de trabajo (Google Workspace, Microsoft 365, Slack, GitHub).
Streaming y suscripciones (Netflix, HBO, Spotify).

Activa 2FA en todas las cuentas sensibles y, siempre que sea posible, cambia también el email de recuperación si crees que puede haber quedado expuesto.

Avisa a tus contactos y a las entidades afectadas

Un atacante con tu buzón suele usarlo para estafar a tu red: pide dinero, envía facturas falsas o distribuye enlaces de phishing haciéndose pasar por ti.

A quién avisar y cómo

Familia y contactos cercanos: mensaje breve indicando que tu cuenta estuvo comprometida y que ignoren correos recientes sospechosos.
Clientes y proveedores: si usas el email profesionalmente, comunica el incidente y advierte sobre posibles cambios de IBAN fraudulentos (fraude del CEO).
Tu banco: si el buzón contenía datos financieros, pide bloqueo preventivo de tarjetas o monitorización reforzada.
Plataformas donde operes: abre tickets en servicios críticos para que marquen la cuenta en vigilancia.

No comuniques por el propio email comprometido mientras no estés 100% seguro de haberlo limpiado. Usa otro canal (teléfono, otra cuenta, mensajería).

Obligaciones legales en España: RGPD y AEPD

Si eres particular, no tienes obligación de notificar brechas, pero sí derechos. Si gestionas una cuenta profesional o datos de terceros, el marco cambia por completo.

Si eres particular

Puedes denunciar el incidente ante la Policía Nacional o Guardia Civil (Grupo de Delitos Telemáticos). Es útil para procesos posteriores con bancos o aseguradoras.
Si han usado tu identidad para estafar a terceros, conserva pruebas: capturas, cabeceras completas de los correos y logs de acceso.
Puedes presentar reclamación ante la AEPD si una empresa ha sido negligente y tus datos han acabado en manos del atacante por una brecha mal gestionada.

Si gestionas datos de terceros (autónomos y empresas)

El RGPD obliga a notificar la brecha a la AEPD en un plazo máximo de 72 horas desde que se tenga conocimiento, si existe riesgo para los derechos de los afectados.
Debes documentar el incidente en un registro de brechas, aunque finalmente no se notifique.
Si el riesgo es alto, también hay que comunicar a los afectados en lenguaje claro.
Revisa si tienes un DPO (Delegado de Protección de Datos) asignado y contacta con él antes de actuar.

Cómo evitar que vuelva a ocurrir

La prevención a largo plazo se basa en reducir la superficie de ataque y en no depender solo de la contraseña como barrera de seguridad.

Checklist de blindaje del email

Medida	Dificultad	Impacto en seguridad
Contraseña única de 16+ caracteres	Baja	Alto
Gestor de contraseñas (Bitwarden, 1Password, KeePassXC)	Baja	Muy alto
2FA con app autenticadora	Baja	Muy alto
Llave de seguridad física (FIDO2/YubiKey)	Media	Máximo
Monitorización en Have I Been Pwned	Baja	Medio
Alias de email para servicios no críticos	Media	Alto
Revisión mensual de sesiones y apps conectadas	Baja	Medio
Navegador actualizado y antimalware activo	Baja	Alto

Hábitos que marcan la diferencia

No reutilices contraseñas. Una filtración en un foro cualquiera no debe comprometer tu email.
Desconfía de enlaces por correo. Antes de hacer clic, pasa el ratón por encima para verificar el dominio real. Puedes usar herramientas como las descritas en nuestra guía de mejores herramientas anti-phishing 2026.
Verifica enlaces acortados. Si recibes URLs cortas, previsualiza su destino antes de abrirlas. Plataformas como Lunyb permiten crear enlaces con analíticas y controles de seguridad, además de ofrecer previsualización para que tus propios destinatarios no caigan en trampas.
Usa DNS cifrado (DoH/DoT) para dificultar ataques de red en WiFi públicas.
Separa cuentas: una para banca, otra para redes sociales, otra para newsletters. Si cae una, no cae todo.

Casos especiales que conviene conocer

Si usas la misma cuenta en el trabajo

Avisa de inmediato al equipo de IT o seguridad. Pueden revisar logs del servidor de correo corporativo, bloquear reenvíos sospechosos y revisar si hubo movimiento lateral hacia otros sistemas internos.

Si el atacante pide un rescate

No pagues. Pagar no garantiza la devolución y te marca como víctima dispuesta a pagar en el futuro. Denuncia a las autoridades y céntrate en la recuperación por canales oficiales.

Si suplantaron tu identidad para estafar a contactos

Guarda todos los correos fraudulentos como prueba, denuncia en comisaría y notifica a los afectados por teléfono. Si han perdido dinero, también deben denunciar ellos.

Si la cuenta estaba vinculada a dominios o enlaces de marketing

Revisa plataformas de email marketing, acortadores y herramientas de analítica conectadas. En nuestro análisis de herramientas de tracking de enlaces 2026 explicamos cómo auditar accesos a estas plataformas.

Preguntas Frecuentes (FAQ)

¿Cuánto tarda una cuenta de email robada en recuperarse?

Si aún tienes acceso o métodos de recuperación válidos, puedes recuperar el control en minutos. Si el atacante ha cambiado todos los datos, el proceso oficial del proveedor suele tardar entre 3 y 7 días hábiles, y a veces requiere varios intentos aportando información cada vez más precisa.

¿Debo denunciar a la Policía aunque recupere la cuenta rápido?

Es recomendable, especialmente si hubo accesos a datos financieros, suplantación de identidad o si el buzón contiene información sensible. La denuncia sirve como prueba frente a bancos, aseguradoras y la AEPD, y ayuda a las unidades de delitos telemáticos a detectar patrones.

¿La verificación en dos pasos por SMS es segura?

Es mejor que no tener 2FA, pero es vulnerable a ataques de SIM swapping, en los que el atacante consigue duplicar tu tarjeta SIM. Siempre que puedas, usa una app autenticadora (Authy, Google Authenticator, Aegis) o una llave física FIDO2.

¿Cómo sé si mi email está en filtraciones conocidas?

Puedes consultar servicios como Have I Been Pwned o Firefox Monitor introduciendo tu dirección. Te mostrarán en qué brechas públicas ha aparecido y qué datos quedaron expuestos. Si aparece, cambia la contraseña de ese servicio y de cualquier otro donde la hayas reutilizado.

¿Un antivirus puede evitar que me roben la cuenta de email?

Ayuda, pero no es suficiente por sí solo. La mayoría de robos de email ocurren por phishing (engañando al usuario) o por contraseñas filtradas, no por malware. La combinación ganadora es: contraseñas únicas en un gestor, 2FA fuerte, hábitos de navegación prudentes y revisión periódica de sesiones activas.