Qué Hacer si te Roban tu Cuenta de Email: Guía de Recuperación 2026

Que te roben la cuenta de email es una de las peores experiencias digitales que puedes vivir. Tu correo es la llave maestra de tu vida online: redes sociales, banca, servicios públicos, suscripciones... Si un atacante toma el control, puede acceder a casi todo lo demás en cuestión de minutos.

En esta guía te explicamos, paso a paso, qué hacer si te roban tu cuenta de email, cómo recuperarla, cómo limitar el daño y, sobre todo, cómo evitar que vuelva a ocurrir. Toda la información está actualizada a la normativa europea (RGPD) y a los procedimientos vigentes de la AEPD y de la Policía Nacional en España.

Cómo Saber si te Han Robado la Cuenta de Email

El robo de una cuenta de email es el acceso no autorizado por parte de un tercero a tu buzón de correo electrónico, normalmente mediante phishing, fugas de contraseñas o malware. Detectarlo a tiempo es clave para minimizar el impacto.

Señales claras de que tu cuenta ha sido comprometida

• No puedes iniciar sesión aunque tu contraseña sea correcta.
• Recibes alertas de inicio de sesión desde ubicaciones o dispositivos desconocidos.
• Tus contactos reciben correos extraños enviados desde tu dirección.
• Detectas correos enviados que tú no has redactado, o que han desaparecido sospechosamente.
• Han cambiado tu contraseña, número de teléfono de recuperación o email alternativo sin tu consentimiento.
• Aparecen reglas de filtrado que reenvían tu correo a una dirección desconocida o lo mueven directamente a la papelera.
• Recibes códigos de verificación de servicios sin haberlos solicitado.

Primeras Acciones: Qué Hacer en los 30 Primeros Minutos

Si sospechas que han accedido a tu cuenta, el tiempo juega en tu contra. Sigue este orden para frenar al atacante:

1. Intenta iniciar sesión desde un dispositivo de confianza (idealmente uno que uses habitualmente y esté limpio de malware).
2. Si logras entrar, cambia inmediatamente la contraseña por una nueva, larga (mínimo 16 caracteres) y única.
3. Cierra todas las sesiones activas desde el panel de seguridad del proveedor (Gmail, Outlook, Yahoo, ProtonMail, etc.).
4. Activa la verificación en dos pasos (2FA) si no la tenías, preferiblemente con una app autenticadora como Aegis o Authy, no por SMS.
5. Revisa los datos de recuperación: email secundario, número de teléfono y preguntas de seguridad. Elimina los que no reconozcas.
6. Comprueba las reglas de reenvío y filtros. Es lo primero que modifican los atacantes para mantener acceso a tu correspondencia.
7. Revisa las aplicaciones conectadas y revoca permisos a las que no reconozcas o no uses.

Cómo Recuperar tu Cuenta si Ya No Puedes Acceder

Si el atacante ha cambiado la contraseña y los datos de recuperación, todavía tienes opciones. Cada proveedor tiene un proceso específico de recuperación de cuenta robada.

Gmail / Google

Accede a google.com/accounts/recovery y sigue el asistente. Google te pedirá:

• La última contraseña que recuerdes.
• Un dispositivo previamente vinculado a tu cuenta.
• Fecha aproximada de creación de la cuenta.
• Contactos frecuentes y etiquetas habituales.

Realiza el proceso desde una red y dispositivo que hayas usado antes con esa cuenta; aumenta mucho la tasa de éxito.

Outlook / Microsoft

Ve a account.live.com/acsr y completa el formulario de recuperación. Tendrás que aportar datos de uso (asuntos de correos recientes, contactos, suscripciones de Microsoft activas).

Yahoo, ProtonMail, iCloud y otros

Todos los grandes proveedores disponen de un formulario de recuperación de cuenta comprometida. Búscalo siempre desde el dominio oficial; nunca desde enlaces en correos o resultados patrocinados de buscadores.

Comprueba el Daño: Auditoría Post-Robo

Una vez recuperado el acceso, toca un trabajo minucioso. El atacante puede haber dejado puertas traseras o haber comprometido otros servicios.

1. Revisa la actividad reciente

En el panel de seguridad de tu cuenta encontrarás un registro de inicios de sesión. Anota las IPs y ubicaciones sospechosas: te servirán si presentas denuncia.

2. Auditoría de servicios vinculados

Haz una lista de todas las cuentas que usan ese email como acceso o como dirección de recuperación. Prioriza por riesgo:

Prioridad	Tipo de servicio	Acción recomendada
Crítica	Banca online, brokers, criptomonedas	Cambiar contraseña, revisar movimientos, activar 2FA
Alta	Redes sociales, tienda de apps, pagos (PayPal, Bizum)	Cambiar contraseña, revisar dispositivos vinculados
Media	E-commerce con tarjeta guardada	Eliminar métodos de pago, cambiar contraseña
Baja	Newsletters, foros, suscripciones gratuitas	Cambiar contraseña cuando vuelvas a usarlas

3. Comprueba si tu email aparece en filtraciones

Servicios como Have I Been Pwned o el verificador de Mozilla te indican si tu correo aparece en bases de datos filtradas. Si es así, cambia la contraseña en todos los servicios donde la hubieras reutilizado.

Denuncia el Robo: AEPD y Policía Nacional

El robo de una cuenta de email es un delito tipificado en el artículo 197 del Código Penal español (descubrimiento y revelación de secretos). Denunciar es importante incluso si no recuperas dinero: queda constancia oficial y facilita reclamaciones futuras.

Cómo denunciar paso a paso

1. Reúne pruebas: capturas de pantalla de los inicios de sesión sospechosos, correos enviados sin tu consentimiento, comunicaciones del proveedor avisando del cambio de contraseña, etc.
2. Presenta denuncia en una comisaría de la Policía Nacional o de la Guardia Civil. También puedes iniciarla online en la sede electrónica de la Policía Nacional, aunque deberás ratificarla presencialmente.
3. Si hay datos personales tuyos (o de terceros) expuestos, notifícalo a la AEPD a través de su sede electrónica. La AEPD puede sancionar al responsable si se identifica.
4. Si han suplantado tu identidad para causar perjuicio a otros, conserva toda la documentación: te servirá para demostrar que no fuiste tú quien envió esos mensajes.

Si tu información personal ha sido publicada o difundida por el atacante, también puedes ejercer tu derecho al olvido ante motores de búsqueda y plataformas para minimizar el rastro público.

Avisa a tus Contactos y a tu Entorno

Los atacantes suelen usar la cuenta robada para enviar phishing o estafas a tus contactos haciéndose pasar por ti. Es habitual el fraude del "amigo en apuros" pidiendo dinero por Bizum o transferencia.

• Avisa por otro canal (WhatsApp, llamada, redes sociales) de que tu correo ha sido comprometido.
• Pide a tu entorno que no abra enlaces ni adjuntos recibidos desde tu dirección durante los últimos días.
• Si trabajas en una empresa, informa al departamento de IT o seguridad de inmediato: pueden bloquear tu cuenta corporativa y revisar movimientos sospechosos.

Cómo Evitar que Vuelva a Pasar: Higiene de Seguridad

Recuperar una cuenta robada es un proceso doloroso. La buena noticia es que la mayoría de robos son evitables con unas pocas medidas básicas, mantenidas en el tiempo.

1. Usa un gestor de contraseñas

La reutilización de contraseñas es la primera causa de robo masivo de cuentas. Un gestor te permite tener una contraseña única y larga por servicio sin tener que memorizarlas. Si aún no usas ninguno, consulta nuestra guía del mejor gestor de contraseñas en español para elegir el adecuado.

2. Activa siempre la verificación en dos pasos

Prioriza, por este orden:

1. Llaves de seguridad físicas (FIDO2, como YubiKey) si manejas información sensible.
2. Apps autenticadoras (Aegis, Authy, 2FAS).
3. SMS, solo si no hay alternativa. Es vulnerable a ataques de SIM swapping.

3. Reconoce el phishing

La mayoría de robos empiezan con un correo que imita a tu banco, Correos, Hacienda o tu propio proveedor de email. Reglas básicas:

• Nunca introduzcas tu contraseña tras hacer clic en un enlace de un email. Ve siempre escribiendo la dirección oficial en el navegador.
• Antes de pulsar un enlace acortado, previsualiza su destino. Acortadores con función de previsualización y escaneo de URLs, como Lunyb, te permiten ver a dónde te lleva un enlace antes de abrirlo y bloquean dominios maliciosos conocidos.
• Revisa con calma el remitente real (no solo el nombre visible) y la URL completa.

4. Protege tu red y tu dispositivo

• Mantén el sistema operativo y el navegador siempre actualizados.
• Usa un antivirus reputado y haz análisis periódicos.
• Configura DNS cifrado (DoH/DoT) en tu navegador o router para reducir el riesgo de redirecciones maliciosas.
• Evita iniciar sesión en cuentas sensibles desde redes Wi-Fi públicas sin protección adicional.

5. Crea una estrategia de emails segmentada

Usar un único correo para todo es un riesgo. Una buena práctica es separar:

• Un email principal exclusivo para banca y servicios críticos. Nunca lo des en formularios públicos.
• Un email secundario para redes sociales y servicios cotidianos.
• Un email desechable o alias para newsletters, registros puntuales y compras esporádicas.

Casos Especiales: Cuentas Empresariales y de Trabajo

Si la cuenta robada es corporativa, las consecuencias pueden ser graves: filtración de datos de clientes, fraude del CEO, transferencias fraudulentas o ataques a la cadena de suministro.

Pasos específicos para entornos empresariales

1. Notifica al responsable de seguridad o DPO en menos de 1 hora.
2. El departamento de IT debe bloquear la cuenta, revocar tokens OAuth y forzar el cierre de sesión global.
3. Auditar accesos a herramientas SaaS conectadas (Slack, Notion, CRM, plataformas de gestión de enlaces, etc.).
4. Si hay datos personales afectados, la empresa tiene 72 horas para notificar a la AEPD según el RGPD.
5. Revisar logs de envío para detectar fraude del CEO o facturas manipuladas.

Errores Comunes que Debes Evitar

• Cambiar la contraseña sin antes cerrar las sesiones activas: el atacante puede seguir dentro si su sesión sigue abierta.
• Recuperar la cuenta desde el mismo equipo infectado: si tu PC tiene malware, todo lo que hagas será robado de nuevo.
• Avisar a tus contactos solo por email: si el atacante sigue dentro, interceptará el aviso.
• No revisar las reglas de reenvío: es la puerta trasera más utilizada.
• No denunciar: la denuncia es imprescindible si hay daños económicos o suplantación.

Preguntas Frecuentes (FAQ)

¿Cuánto tiempo tengo para recuperar una cuenta de email robada?

Cuanto antes, mejor. Los proveedores conservan logs de actividad y datos de recuperación durante meses, pero pasados 30-60 días puede ser imposible demostrar la titularidad si el atacante ha modificado todos los datos de recuperación. Actúa siempre en las primeras horas.

¿Puedo denunciar el robo aunque no sepa quién lo ha hecho?

Sí. La denuncia no requiere identificar al autor: se denuncian los hechos. La Policía y el grupo de delitos telemáticos investigan a partir de las IPs, dispositivos y patrones del ataque. Aporta todas las capturas y registros que tengas.

¿Tengo que avisar a la AEPD si me roban mi cuenta personal?

No es obligatorio para particulares, pero sí recomendable si se han expuesto datos personales tuyos o de terceros. Para empresas, sí es obligatorio notificar la brecha a la AEPD en un plazo de 72 horas conforme al artículo 33 del RGPD.

¿Es seguro volver a usar el mismo correo después de un robo?

Sí, siempre que hayas hecho una auditoría completa: cambiar contraseña, activar 2FA con app autenticadora, revisar reglas de filtrado, revocar apps conectadas y comprobar el dispositivo en busca de malware. Cambiar de proveedor no resuelve nada si la causa fue una contraseña débil o reutilizada.

¿Cómo sé si mi contraseña ha sido filtrada en una brecha de datos?

Puedes usar servicios gratuitos como Have I Been Pwned o el monitor de filtraciones de Mozilla o Google. Si tu correo aparece en una brecha, cambia inmediatamente la contraseña en ese servicio y en cualquier otro donde hubieras usado la misma combinación.

Conclusión

Que te roben la cuenta de email no significa el fin del mundo, pero requiere actuar con rapidez, método y cabeza fría. Recuperar el acceso, cerrar sesiones, auditar los servicios vinculados y denunciar son los cuatro pilares de una buena respuesta.

Y, sobre todo, recuerda que la mejor defensa siempre llega antes del ataque: contraseñas únicas gestionadas por un buen gestor, doble factor con app autenticadora, hábitos sólidos frente al phishing y precaución con los enlaces que abres. Pequeñas rutinas que, mantenidas en el tiempo, hacen que tu correo deje de ser una puerta abierta y se convierta en una fortaleza.