Qué Hacer si te Roban tu Cuenta de Email: Guía de Emergencia 2026

Descubrir que alguien ha accedido a tu cuenta de correo electrónico es una de las peores sensaciones digitales que puedes experimentar. El email es la llave maestra de tu identidad online: desde él se pueden recuperar contraseñas de bancos, redes sociales, tiendas online e incluso servicios administrativos. Actuar con rapidez marca la diferencia entre un susto y un desastre.

En esta guía te explicamos, paso a paso, qué hacer si te roban la cuenta de email, cómo recuperarla, qué medidas legales tienes disponibles en España y cómo evitar que vuelva a ocurrir.

Cómo saber si te han robado la cuenta de email

Un robo de cuenta de correo consiste en que un tercero no autorizado obtiene acceso a tu buzón, ya sea mediante contraseñas filtradas, ataques de phishing, malware o técnicas de ingeniería social. Detectarlo pronto es clave.

Señales de alerta habituales

Correos enviados que no reconoces en la carpeta de "Enviados".
Contactos que te preguntan por mensajes extraños que supuestamente les enviaste.
Notificaciones de inicio de sesión desde ubicaciones o dispositivos desconocidos.
Reglas de reenvío automático configuradas sin tu permiso.
Cambios en la firma, foto de perfil o respuestas automáticas.
Correos de recuperación de contraseña de otros servicios que tú no has solicitado.
Imposibilidad de iniciar sesión porque la contraseña ha sido cambiada.

Si detectas cualquiera de estas señales, considera la cuenta comprometida y aplica el protocolo de emergencia que verás a continuación.

Protocolo de emergencia: primeros 10 minutos

El tiempo es tu mayor aliado. En los primeros minutos tras detectar el robo debes centrarte en cortar el acceso del atacante y proteger las cuentas críticas asociadas.

1. Intenta cambiar la contraseña inmediatamente

Accede desde un dispositivo limpio (idealmente uno diferente al habitual, por si tuviera malware) y cambia la contraseña. Usa una combinación larga, única y compleja: mínimo 16 caracteres con mayúsculas, minúsculas, números y símbolos. Nunca reutilices contraseñas antiguas.

2. Cierra todas las sesiones activas

Los principales proveedores (Gmail, Outlook, Yahoo, ProtonMail) tienen una opción para cerrar sesión en todos los dispositivos. Actívala. Esto expulsará al atacante aunque tenga tu antigua contraseña activa en algún equipo.

3. Activa la verificación en dos pasos (2FA)

Si aún no la tenías, actívala ahora. Preferiblemente con una aplicación autenticadora (Google Authenticator, Authy, Aegis) en lugar de SMS, que es más vulnerable a ataques de SIM swapping.

4. Revisa los ajustes de seguridad y recuperación

Comprueba el email y teléfono de recuperación: los atacantes suelen añadir los suyos.
Elimina cualquier dirección de reenvío automático desconocida.
Revisa filtros y reglas que puedan estar redirigiendo o borrando correos entrantes.
Revoca el acceso a aplicaciones de terceros que no reconozcas.

5. Consulta el historial de accesos

Gmail y Outlook muestran el registro de últimos accesos, con IP y ubicación. Guarda capturas de pantalla: te servirán como prueba si necesitas denunciar.

Qué hacer si no puedes recuperar el acceso

Si el atacante ya ha cambiado la contraseña y el email de recuperación, la situación es más grave, pero no está perdida. Cada proveedor tiene un proceso de recuperación de cuentas comprometidas.

Formularios oficiales de recuperación

Gmail: accede a accounts.google.com/signin/recovery. Te pedirán responder preguntas sobre creación de la cuenta, contactos frecuentes y contraseñas anteriores.
Outlook / Hotmail: usa el formulario de account.live.com/acsr. Deberás aportar información detallada: asuntos de correos recientes, contactos y datos personales.
Yahoo: a través de login.yahoo.com/account/challenge/ puedes iniciar el proceso de recuperación.
ProtonMail: al ser cifrado extremo a extremo, la recuperación es más estricta y puede requerir el recovery phrase si lo configuraste.

Consejo: rellena estos formularios desde un dispositivo y red que hayas usado habitualmente para acceder a la cuenta. Los sistemas de detección de fraude valoran esta coincidencia.

Proteger las cuentas asociadas al email robado

Recuperar el email es solo el principio. Mientras el atacante ha tenido acceso, ha podido leer correos, restablecer contraseñas de otros servicios y obtener información sensible. Debes actuar en cascada.

Prioridades por orden de riesgo

Banca online y apps financieras (Bizum, PayPal, brókers, criptomonedas).
Servicios de administración pública con Cl@ve, certificado digital o DNIe.
Otras cuentas de email vinculadas.
Redes sociales (Instagram, Facebook, X, LinkedIn, TikTok).
Tiendas online con métodos de pago guardados (Amazon, AliExpress, El Corte Inglés).
Servicios de almacenamiento en la nube (Drive, Dropbox, iCloud, OneDrive).
Suscripciones y servicios profesionales.

En cada una: cambia la contraseña, activa 2FA, revisa dispositivos conectados y direcciones de recuperación. Si detectas movimientos no autorizados, contacta con el soporte del servicio inmediatamente.

Denuncia y pasos legales en España

El acceso no autorizado a una cuenta de email es un delito tipificado en el artículo 197 del Código Penal español (descubrimiento y revelación de secretos), con penas de prisión de uno a cuatro años. Denunciar es importante tanto para tu protección como para ayudar a identificar al atacante.

Dónde y cómo denunciar

Grupo de Delitos Telemáticos (Guardia Civil): puedes denunciar online en gdt.guardiacivil.es o presencialmente.
Brigada Central de Investigación Tecnológica (Policía Nacional): a través de la web policia.es o en cualquier comisaría.
Agencia Española de Protección de Datos (AEPD): si el atacante ha accedido o difundido datos personales tuyos o de terceros, puedes presentar una reclamación conforme al RGPD.

Documentación que debes aportar

Capturas de pantalla del historial de accesos sospechosos.
Correos maliciosos enviados desde tu cuenta.
Notificaciones de servicios afectados.
Cualquier comunicación con el atacante (si te ha extorsionado).
Cronología de los hechos lo más detallada posible.

Si el robo afecta a datos personales de terceros (por ejemplo, contactos profesionales), la AEPD puede exigir que informes a los afectados en función del RGPD.

Cómo actúan los atacantes: entiende al enemigo

Comprender las técnicas más comunes te ayuda a prevenir futuros ataques. La mayoría de robos de cuentas de email no son ataques sofisticados: aprovechan errores humanos o contraseñas débiles.

Métodos habituales de compromiso

Método	Cómo funciona	Riesgo
Phishing	Correos o webs falsas que imitan a tu proveedor y te piden credenciales.	Muy alto
Filtraciones de datos	Tu contraseña fue expuesta en una brecha de otro servicio y la reutilizabas.	Alto
Malware / keyloggers	Software malicioso que registra lo que escribes.	Alto
SIM swapping	Duplicado fraudulento de tu tarjeta SIM para interceptar SMS de 2FA.	Medio-alto
Contraseñas débiles	Combinaciones fáciles de adivinar mediante fuerza bruta o diccionario.	Medio
Ingeniería social	Manipulación al soporte técnico haciéndose pasar por ti.	Medio

Si sospechas que el origen fue un enlace malicioso, revisa nuestra guía sobre las mejores herramientas anti-phishing de 2026 para reforzar tu protección.

Prevención: cómo evitar que vuelva a pasar

Recuperar la cuenta es solo la mitad del trabajo. La otra mitad es asegurarte de que no vuelva a ocurrir. La buena noticia: con hábitos básicos de seguridad reduces el riesgo drásticamente.

Contraseñas y gestores

Usa un gestor de contraseñas (Bitwarden, 1Password, KeePassXC) para generar y almacenar credenciales únicas por servicio.
Habilita contraseñas maestras robustas y 2FA también en el gestor.
Nunca reutilices contraseñas entre servicios.

Verificación en dos pasos avanzada

Prefiere llaves físicas (YubiKey, Nitrokey) o apps autenticadoras antes que SMS.
Guarda los códigos de respaldo en un lugar seguro y offline.
Considera crear una cuenta de email específica para recuperación, que no uses para nada más.

Buenas prácticas al navegar

Verifica siempre la URL antes de introducir credenciales. Cuidado con dominios similares al oficial.
No hagas clic en enlaces de correos sospechosos. Si dudas, entra directamente al sitio del proveedor.
Antes de compartir enlaces, especialmente en entornos profesionales, considera usar un acortador con protección como Lunyb, que ofrece protección contra malware y estadísticas para detectar comportamientos anómalos en los clics.
Mantén el sistema operativo, navegador y antivirus actualizados.

Monitorización de filtraciones

Servicios como Have I Been Pwned te avisan si tu email aparece en filtraciones conocidas. También los principales navegadores incluyen alertas automáticas si detectan credenciales comprometidas guardadas.

Qué NO debes hacer nunca

Ante el pánico, es fácil cometer errores que empeoran la situación. Evita estos:

No pagues rescates: si el atacante te extorsiona, no cedas. No hay garantía de recuperación y financias más ataques.
No borres la cuenta: es tu prueba principal para denunciar.
No uses el mismo dispositivo si sospechas de malware hasta hacer un análisis completo.
No respondas al atacante ni interactúes con él.
No contactes con supuestos "hackers éticos" por redes sociales que prometen recuperar cuentas: la mayoría son estafas.

Informar a tus contactos

Si el atacante ha enviado correos en tu nombre, es probable que haya intentado estafar o infectar a tus contactos. Avísales lo antes posible por otro canal (WhatsApp, llamada, redes sociales) para que:

No abran los correos sospechosos que hayan recibido.
No hagan clic en enlaces enviados desde tu dirección.
No respondan a peticiones de dinero, transferencias urgentes o "favores".

En entornos corporativos, informa también al departamento de IT o seguridad, ya que puede requerir medidas adicionales de contención.

Casos especiales: cuentas de empresa y profesionales

Si la cuenta comprometida es corporativa (Microsoft 365, Google Workspace u otras), el impacto puede ser mucho mayor: acceso a documentos internos, información fiscal, datos de clientes, propiedad intelectual...

Pasos adicionales para cuentas profesionales

Notifica al administrador del dominio de inmediato.
Aísla la cuenta del resto del sistema (bloqueo temporal).
Audita accesos a Drive, SharePoint, CRM o herramientas conectadas.
Notifica a la AEPD en un plazo de 72 horas si hay brecha de datos personales, según el artículo 33 del RGPD.
Documenta el incidente para el registro interno obligatorio.
Considera contratar una auditoría forense si el caso es grave.

Para empresas que gestionan campañas y enlaces compartidos por email, contar con herramientas seguras es esencial. Puedes comparar opciones en nuestro análisis de la mejor plataforma de gestión de enlaces 2026.

Preguntas frecuentes (FAQ)

¿Cuánto tiempo tarda un proveedor en devolverme el acceso a mi cuenta?

Depende del proveedor y de la información que puedas aportar. Gmail y Outlook suelen resolver la mayoría de casos en 24-72 horas si el formulario se rellena correctamente. En casos complicados puede tardar hasta 2 semanas o requerir varios intentos.

¿Puedo denunciar aunque no sepa quién es el atacante?

Sí, y de hecho debes hacerlo. Es tarea de las fuerzas de seguridad investigar la autoría. Aportar IPs sospechosas, capturas y cronología ayuda a la investigación. En España, tanto la Guardia Civil como la Policía Nacional tienen unidades especializadas en delitos telemáticos.

¿Es útil el 2FA por SMS o debo usar otra opción?

El 2FA por SMS es mejor que nada, pero vulnerable a SIM swapping. Se recomienda usar aplicaciones autenticadoras (Google Authenticator, Authy, Aegis) o, mejor aún, llaves físicas de seguridad como YubiKey, especialmente para cuentas críticas.

¿Debo cambiar todas mis contraseñas aunque no vea actividad sospechosa en otras cuentas?

Sí. Mientras el atacante tuvo acceso a tu email, pudo ver contraseñas guardadas en correos antiguos, restablecer accesos silenciosamente o programar acciones futuras. Cambiar contraseñas de servicios sensibles es una precaución obligatoria.

¿Debo notificar a la AEPD si me roban una cuenta personal?

En cuentas estrictamente personales, la notificación a la AEPD no es obligatoria para ti como usuario particular. Sin embargo, si eres autónomo o empresa y la cuenta contiene datos personales de clientes, sí estás obligado a notificar la brecha en un plazo de 72 horas conforme al RGPD.

Conclusión

Que te roben la cuenta de email es una situación estresante, pero con un protocolo claro y rápido puedes minimizar el daño y recuperar el control. Recuerda: cambia la contraseña, cierra sesiones, activa 2FA, revisa configuraciones, protege las cuentas asociadas y denuncia siempre que sea posible.

La prevención es tu mejor inversión en seguridad: contraseñas únicas, gestores fiables, doble factor con app o llave física y sentido común frente a correos sospechosos. Y si compartes enlaces en tu día a día, hazlo mediante plataformas seguras que aporten trazabilidad y protección adicional.

Tu identidad digital empieza en tu bandeja de entrada. Protégela como protegerías las llaves de tu casa.