Qué Hacer si te Roban tu Cuenta de Email: Guía Completa 2026

El correo electrónico es la llave maestra de tu vida digital. Si alguien lo controla, puede restablecer contraseñas de tu banco, redes sociales, plataformas de compras e incluso de tu trabajo. Por eso, cuando te roban una cuenta de email, cada minuto cuenta. En esta guía completa aprenderás exactamente qué hacer si te roban tu cuenta de email, cómo recuperarla, cómo proteger el resto de tus servicios y cómo denunciar el incidente según la normativa española.

Cómo Saber si te Han Robado la Cuenta de Email

El robo de una cuenta de email es el acceso no autorizado por parte de un tercero a tu buzón, normalmente mediante phishing, filtraciones de contraseñas o malware. Detectarlo a tiempo reduce drásticamente el daño.

Señales claras de que tu email ha sido comprometido

No puedes iniciar sesión con tu contraseña habitual y no recuerdas haberla cambiado.
Recibes notificaciones de inicio de sesión desde ubicaciones o dispositivos desconocidos.
Encuentras correos enviados que tú no has escrito, especialmente con enlaces sospechosos.
Tus contactos te avisan de mensajes raros que reciben en tu nombre.
Aparecen reglas de filtrado nuevas que mueven correos a la papelera o los reenvían a una dirección externa.
Te llegan correos de restablecimiento de contraseña de servicios que no has solicitado.
Faltan mensajes importantes o han desaparecido de la bandeja de entrada.

Pasos Inmediatos: Qué Hacer en la Primera Hora

Los primeros 60 minutos son críticos. Sigue este orden sin saltarte ningún paso, porque el atacante también está actuando contra reloj para mantener el control.

Intenta iniciar sesión desde un dispositivo seguro, preferiblemente uno que no hayas usado antes para acceder a esa cuenta y que esté libre de malware.
Cambia la contraseña inmediatamente por una nueva, larga (mínimo 16 caracteres), única y que no hayas usado en ningún otro servicio.
Cierra todas las sesiones activas. Gmail, Outlook, Yahoo y la mayoría de proveedores ofrecen una opción de "cerrar sesión en todos los dispositivos".
Activa la verificación en dos pasos (2FA) usando una app como Google Authenticator, Authy o una llave física FIDO2.
Revisa la configuración de recuperación: número de teléfono, email alternativo y preguntas de seguridad. El atacante suele cambiarlas para mantener el acceso.
Elimina reglas de reenvío o filtros sospechosos que el atacante haya creado.
Revisa los dispositivos conectados y revoca los que no reconozcas.

Cómo Recuperar la Cuenta si No Puedes Acceder

Si el atacante ya cambió la contraseña y los métodos de recuperación, todavía tienes opciones. Cada proveedor ofrece un proceso oficial de recuperación de cuentas robadas.

Recuperación en los principales proveedores

Proveedor	URL de recuperación	Tiempo estimado	Información que necesitarás
Gmail / Google	accounts.google.com/signin/recovery	1-5 días	Contraseñas antiguas, fecha de creación, contactos frecuentes
Outlook / Microsoft	account.live.com/acsr	1-30 días	Asuntos de correos recientes, contactos, datos de facturación
Yahoo Mail	login.yahoo.com/forgot	24-72 horas	Teléfono asociado, email alternativo
iCloud / Apple	iforgot.apple.com	1-14 días	ID de Apple, dispositivos vinculados, clave de recuperación
ProtonMail	account.proton.me/reset-password	Inmediato si tienes frase de recuperación	Frase o clave de recuperación previamente guardada

Consejos para que el formulario de recuperación tenga éxito

Rellénalo desde una red y dispositivo que ya hayas usado antes con esa cuenta.
Aporta el máximo de detalles posibles: contraseñas anteriores, fechas aproximadas, contactos frecuentes.
Si tienes etiquetas, carpetas personalizadas o asuntos recientes, menciónalos.
No envíes varios formularios seguidos: espera la respuesta antes de reintentar.

Proteger el Resto de tus Cuentas Vinculadas

Tu email es el centro de tu identidad digital. Una vez recuperado el acceso, debes asumir que el atacante pudo entrar también en otros servicios. Actúa como si todo estuviera comprometido.

Lista de servicios a revisar por orden de prioridad

Banca online y aplicaciones financieras (Bizum, PayPal, brokers, criptomonedas).
Servicios oficiales: Cl@ve, Agencia Tributaria, Seguridad Social.
Redes sociales: Instagram, Facebook, X, LinkedIn, TikTok.
Plataformas de compra con tarjeta guardada: Amazon, AliExpress, El Corte Inglés.
Servicios de almacenamiento: Google Drive, OneDrive, Dropbox, iCloud.
Suscripciones: Netflix, Spotify, Disney+, gimnasios.
Cuentas de trabajo: Slack, Microsoft 365, GitHub, etc.

En cada uno de ellos: cambia la contraseña, activa 2FA, cierra sesiones activas y revisa los movimientos recientes. Si compartes enlaces de forma habitual desde estas plataformas, considera usar un acortador con autenticación robusta como Lunyb, que permite rotar enlaces antiguos y proteger los nuevos con contraseña o expiración automática.

Cómo Avisar a tus Contactos sin Causar Pánico

Cuando un atacante controla tu email, suele enviar mensajes a tu lista de contactos pidiendo dinero, compartiendo enlaces maliciosos o suplantando tu identidad. Avisar rápido reduce el alcance del fraude.

Plantilla de mensaje recomendado

"Hola, te escribo desde otro canal porque mi cuenta de correo ha sufrido un acceso no autorizado. Si has recibido mensajes míos en las últimas horas pidiendo dinero, datos o que pulses un enlace, por favor ignóralos y bórralos. Ya estoy gestionando la recuperación. Si pulsaste algún enlace, cambia tus contraseñas. Gracias."

Envíalo por WhatsApp, SMS o llamada, no desde el email afectado. Avisa también a tu empresa si usabas ese correo para temas profesionales.

Denunciar el Robo: AEPD, Policía y RGPD

El robo de una cuenta de email es un delito tipificado en el Código Penal español (artículos 197 y siguientes) y constituye una violación de datos personales según el RGPD.

Dónde y cómo denunciar paso a paso

Policía Nacional o Guardia Civil: presenta una denuncia presencial o a través de la sede electrónica. Adjunta capturas de los correos sospechosos, notificaciones de inicio de sesión y cualquier dato del atacante.
Grupo de Delitos Telemáticos (Guardia Civil) o Brigada Central de Investigación Tecnológica (Policía Nacional) si hay daños económicos o suplantación grave.
Agencia Española de Protección de Datos (AEPD): si se han filtrado datos personales tuyos o de terceros, puedes presentar una reclamación en sedeagpd.gob.es. La AEPD también puede actuar si el proveedor del servicio no cumple sus obligaciones de seguridad bajo el RGPD.
INCIBE: llama al 017 para asesoramiento gratuito sobre ciberseguridad. No tramitan denuncias, pero te guían en el proceso.
Tu banco: si detectas movimientos sospechosos, bloquea las tarjetas inmediatamente y solicita un informe de movimientos.

Guarda copia de todo: número de denuncia, correos, capturas y registros. Te serán necesarios para reclamar a aseguradoras o bancos.

Cómo Evitar que Vuelva a Pasar

Recuperar la cuenta es solo el principio. La verdadera protección está en construir hábitos sólidos que hagan inviable un nuevo ataque.

Buenas prácticas para blindar tu correo

Usa un gestor de contraseñas (Bitwarden, 1Password, KeePassXC) para generar y almacenar claves únicas en cada servicio.
Activa 2FA con app o llave física. Evita el SMS siempre que puedas, porque es vulnerable al SIM swapping.
Crea una cuenta de email exclusiva para recuperación que no uses para nada más y que tenga su propia 2FA.
Revisa periódicamente en haveibeenpwned.com si tu correo aparece en filtraciones conocidas.
Desconfía de correos urgentes que te pidan iniciar sesión o verificar datos. Accede siempre escribiendo la URL a mano.
Mantén tu navegador y sistema operativo actualizados y usa un antimalware reputado.
Configura alertas de inicio de sesión en todos los servicios que lo permitan.
Reduce el rastro digital de tu correo principal: no lo uses para registros en foros o newsletters de baja confianza.

Refuerza tu privacidad en la navegación

Muchos robos de credenciales empiezan con técnicas de rastreo avanzadas. Aprender sobre fingerprinting de navegador y cómo evitarlo te ayuda a reducir la superficie de ataque. También conviene revisar cómo compartir información sensible con tu familia de forma segura, ya que muchos ataques aprovechan datos compartidos sin cifrar.

Tabla Resumen: Plan de Acción en 24 Horas

Momento	Acciones clave
Primeros 15 minutos	Cambiar contraseña, cerrar sesiones, activar 2FA
15-60 minutos	Revisar reglas, filtros, métodos de recuperación y dispositivos vinculados
1-3 horas	Avisar a contactos, cambiar contraseñas de banco, redes y compras
3-12 horas	Denunciar ante Policía o Guardia Civil, contactar con el banco si hay fraude
12-24 horas	Revisar el resto de cuentas, reclamar ante AEPD si hay filtración de datos
Días siguientes	Implementar gestor de contraseñas, llave física y revisar hábitos digitales

Errores Frecuentes al Gestionar un Robo de Email

Cambiar solo la contraseña del email y dar por hecho que el resto está a salvo.
Ignorar los filtros y reglas de reenvío que el atacante haya creado para seguir leyendo tus correos.
Confiar en el SMS como segundo factor sin protección adicional frente al SIM swapping.
No denunciar pensando que es poca cosa. La denuncia es necesaria para reclamar al banco o seguro.
Reutilizar contraseñas antiguas tras la recuperación.
No avisar a contactos profesionales, lo que permite estafas en cadena a clientes o compañeros.

Preguntas Frecuentes

¿Cuánto tiempo tardo en recuperar una cuenta de email robada?

Depende del proveedor y de la información que aportes. Si tienes acceso al teléfono o email de recuperación, puede ser inmediato. Si dependes del formulario oficial de recuperación, lo normal son entre 1 y 14 días. Microsoft puede tardar hasta 30 días en casos complejos.

¿Puedo denunciar aunque no haya pérdida económica?

Sí. El acceso no autorizado a una cuenta privada ya constituye un delito contra la intimidad en España, con independencia de que haya o no daños económicos. Además, si se han filtrado datos personales, puedes reclamar ante la AEPD conforme al RGPD.

¿Es mejor crear una cuenta nueva o intentar recuperar la antigua?

Siempre que sea posible, intenta recuperar la antigua. Tu email está vinculado a decenas de servicios y abandonar la cuenta puede generarte problemas durante años. Solo plantéate crear una nueva si todos los métodos de recuperación fallan tras varias semanas.

¿Qué pasa si el atacante usó mi email para enviar enlaces fraudulentos?

Avisa cuanto antes a tus contactos por otro canal y denuncia el hecho. Si los enlaces enviados son de servicios que usas profesionalmente, comunica también al proveedor que tu cuenta fue comprometida para evitar bloqueos por spam. Para enlaces legítimos que compartas en el futuro, plataformas como Lunyb te permiten controlar quién accede, aplicar contraseñas y revocar enlaces si vuelven a comprometerlos.

¿Sirve de algo cambiar la contraseña si el atacante sigue dentro?

Sí, siempre que al cambiarla cierres también todas las sesiones activas. Si solo cambias la clave sin cerrar sesiones, el atacante podría mantener su sesión abierta. Por eso el orden correcto es: cambiar contraseña → cerrar todas las sesiones → activar 2FA → revisar filtros y métodos de recuperación.

Conclusión

El robo de una cuenta de email puede parecer una catástrofe, pero con un plan claro lo controlas en cuestión de horas. Lo importante es actuar rápido, no limitarte al cambio de contraseña, denunciar y aprender del incidente para reforzar tu seguridad digital. La prevención (gestor de contraseñas, 2FA con app o llave física, hábitos de navegación seguros) es siempre más barata y menos estresante que la recuperación.

Si gestionas enlaces, suscripciones o comunicaciones profesionales desde tu correo, plantéate también auditar tus herramientas. Echa un vistazo a nuestra guía sobre la mejor plataforma de gestión de enlaces en 2026 para descubrir alternativas seguras y con autenticación moderna.