Qué Hacer si te Roban tu Cuenta de Email: Guía de Emergencia 2026

Que te roben la cuenta de email es una de las peores pesadillas digitales. Tu correo es la llave maestra de tu vida online: redes sociales, banca, compras, suscripciones y documentos personales. Cuando un atacante toma el control, puede suplantarte, vaciar cuentas asociadas y exponer información sensible en cuestión de minutos.

En esta guía aprenderás exactamente qué hacer si te roban tu cuenta de email, cómo recuperarla, qué denunciar y cómo blindarte para que no vuelva a suceder. Sigue los pasos en orden: cada minuto cuenta.

Señales de que te han robado la cuenta de email

El robo de una cuenta de correo electrónico ocurre cuando un tercero accede sin autorización a tu buzón, normalmente mediante phishing, contraseñas filtradas o malware. Detectarlo a tiempo reduce drásticamente el daño.

Indicadores claros de compromiso

No puedes iniciar sesión aunque la contraseña es correcta.
Recibes alertas de inicio de sesión desde ubicaciones o dispositivos desconocidos.
Encuentras correos enviados que tú no escribiste, especialmente solicitudes de dinero a contactos.
Tus contactos te avisan de mensajes raros o enlaces sospechosos enviados desde tu dirección.
Aparecen filtros o reglas nuevas en tu bandeja (por ejemplo, redirigir correos del banco a la papelera).
Las contraseñas de otras cuentas (Instagram, PayPal, Amazon) han cambiado sin tu consentimiento.
Notas cambios en la información de recuperación: teléfono, email alternativo o preguntas de seguridad.

Plan de emergencia: los primeros 30 minutos

La velocidad de reacción es crítica. Cuanto antes actúes, menos cuentas asociadas podrá comprometer el atacante. Sigue estos pasos en este orden exacto.

1. Intenta recuperar el acceso inmediatamente

Ve a la página oficial de recuperación de tu proveedor: accounts.google.com/signin/recovery, account.live.com/password/reset o el equivalente de tu servicio.
Usa el teléfono o el email alternativo asociados originalmente.
Si te piden datos antiguos (contraseñas previas, fechas de creación), responde con la mayor precisión posible.
Solicita el código de verificación al número de teléfono vinculado.

2. Si recuperas el acceso, expulsa al intruso

Cambia la contraseña por una nueva, larga (mínimo 16 caracteres) y única.
Cierra todas las sesiones activas desde el panel de seguridad ("Cerrar sesión en todos los dispositivos").
Revisa y elimina dispositivos desconocidos vinculados.
Activa la verificación en dos pasos (2FA) con app autenticadora (Authy, Google Authenticator) o llave física FIDO2.
Revisa filtros, reglas de reenvío automático y firmas: el atacante suele dejar trampas para seguir leyendo tu correo aunque cambies la contraseña.
Comprueba la dirección de recuperación y el teléfono asociado: deben ser los tuyos.

3. Avisa a tus contactos

Envía un mensaje desde otro canal (WhatsApp, SMS, otra cuenta) advirtiendo que tu email fue comprometido y que ignoren cualquier mensaje sospechoso enviado en las últimas horas, especialmente los que pidan dinero o contengan enlaces.

Cómo proteger las cuentas asociadas

Tu email es el centro de tu identidad digital. Si el atacante tuvo acceso aunque sea unos minutos, pudo solicitar restablecimientos de contraseña en decenas de servicios. Debes auditarlos todos.

Prioridad alta: cuentas que debes revisar primero

Banca online y apps de pago (Bizum, PayPal, Revolut, Wise).
Tiendas con tarjeta guardada: Amazon, AliExpress, El Corte Inglés.
Redes sociales: Instagram, Facebook, X, LinkedIn, TikTok.
Servicios en la nube: Google Drive, iCloud, Dropbox, OneDrive.
Plataformas con datos personales: Hacienda, Seguridad Social, mutuas, sanidad privada.
Gestores de contraseñas si la cuenta maestra usaba tu email.

Tabla de acciones por tipo de cuenta

Tipo de cuenta	Acción inmediata	Acción adicional
Banca	Cambiar contraseña y avisar al banco	Solicitar bloqueo preventivo de tarjetas
Redes sociales	Cambiar contraseña y activar 2FA	Revisar publicaciones y mensajes enviados
Tiendas online	Cambiar contraseña y eliminar tarjetas guardadas	Revisar pedidos recientes y direcciones de envío
Servicios en la nube	Cambiar contraseña y revisar archivos compartidos	Auditar accesos de aplicaciones de terceros
Administración pública	Cambiar credenciales y revisar notificaciones	Comprobar si hubo trámites no autorizados

Qué hacer si no consigues recuperar la cuenta

Cuando el atacante cambia el teléfono, el email alternativo y las preguntas de seguridad, la recuperación se complica. No te rindas: existen procesos formales para reclamar la propiedad.

Formularios oficiales de recuperación avanzada

Google: cuestionario de recuperación de cuenta donde te piden datos históricos (fecha aproximada de creación, contactos frecuentes, etiquetas utilizadas).
Outlook/Microsoft: formulario de recuperación con verificación manual.
Apple: contacto con soporte y proceso de recuperación de cuenta que puede tardar varios días.
Yahoo / ProtonMail / Tutanota: cada uno tiene su propio flujo. Acude siempre desde el dominio oficial.

Consejos para que la reclamación tenga éxito

Rellena el formulario desde un dispositivo y red que hayas usado antes para iniciar sesión.
Aporta contraseñas antiguas que recuerdes, aunque no sean la última.
Indica fechas aproximadas de creación y servicios vinculados.
Si tienes facturas de Google Workspace, Microsoft 365 o compras dentro del ecosistema, adjúntalas.
Sé persistente: si te deniegan la solicitud, vuelve a intentarlo aportando más datos.

Denuncia y aspectos legales en España

El robo de una cuenta de email es un delito tipificado en el Código Penal español como acceso ilícito a sistemas informáticos (artículo 197 bis) y, si hay suplantación o estafa derivada, suma otros delitos. Denunciar es importante, especialmente si hay perjuicio económico o reputacional.

Dónde y cómo denunciar

Policía Nacional: Grupo de Delitos Telemáticos. Puedes presentar denuncia presencial o, en algunos casos, online.
Guardia Civil: Equipo @ (arroba) de Delitos Telemáticos.
INCIBE (017): línea gratuita de ayuda en ciberseguridad. No denuncian, pero orientan y documentan el caso.
AEPD: si se han filtrado datos personales tuyos o de terceros, puedes presentar reclamación ante la Agencia Española de Protección de Datos según el RGPD.

Documentación que debes preparar

Capturas de pantalla de correos sospechosos, alertas de inicio de sesión y cambios no autorizados.
Registro de IPs de acceso si tu proveedor lo facilita.
Listado cronológico de lo que ocurrió: cuándo lo detectaste, qué cuentas asociadas se vieron afectadas, qué pérdidas hubo.
Justificantes bancarios de cargos fraudulentos si los hay.

Cómo evitar que vuelva a pasar

La prevención es el mejor antivirus. Adoptar buenos hábitos de seguridad digital reduce más del 95% del riesgo de compromiso de cuentas, según informes del propio INCIBE.

Checklist de seguridad esencial

Contraseñas únicas y largas para cada servicio. Usa un gestor de contraseñas (Bitwarden, 1Password, KeePass).
2FA en todas las cuentas críticas, preferiblemente con app autenticadora o llave física, no SMS.
Llaves de seguridad físicas (YubiKey, Titan Key) para tu email principal: prácticamente imposibles de phishear.
Revisión periódica de dispositivos conectados, sesiones activas y aplicaciones con permisos sobre tu correo.
Alertas de inicio de sesión activadas y dirigidas a un canal que revisas a diario.
Email secundario solo para recuperación, sin uso público y con su propia 2FA.
Filtro antiphishing en el navegador y desconfianza ante cualquier enlace que pida credenciales.
Usa DNS cifrado (DNS over HTTPS) para evitar intercepciones a nivel de red en redes Wi-Fi públicas.

Cuidado con los enlaces sospechosos

El phishing sigue siendo la vía número uno de robo de cuentas. Antes de hacer clic en un enlace recibido por correo o mensaje, verifica el dominio real. Acortadores legítimos como Lunyb permiten previsualizar el destino antes de visitarlo, una capa extra útil cuando recibes enlaces de fuentes que no conoces bien. Si gestionas campañas y compartes URLs, también puedes trackear los clics de tus enlaces para detectar actividad anómala.

Protege también tus archivos sensibles

Aunque recuperes la cuenta, el atacante pudo descargar adjuntos o fotos. Mantén tus archivos más privados fuera del email y dentro de espacios cifrados. Te recomendamos esta guía sobre cómo ocultar fotos con una caja fuerte cifrada para guardar lo más sensible con cifrado de extremo a extremo.

Tabla resumen: acciones según el escenario

Escenario	Primera acción	Plazo crítico
Acceso aún posible	Cambiar contraseña y activar 2FA	Primeros 15 minutos
Acceso bloqueado, datos de recuperación correctos	Formulario de recuperación estándar	Primera hora
Atacante cambió los datos de recuperación	Formulario de recuperación avanzada	Primer día
Pérdidas económicas	Bloquear tarjetas y denunciar	Primeras 24 horas
Filtración de datos de terceros	Notificar afectados y AEPD	72 horas (RGPD)

Errores comunes que debes evitar

Pagar al atacante si te chantajea: no garantiza nada y te marca como objetivo recurrente.
Usar la misma contraseña nueva en varios servicios.
Confiar en SMS como único segundo factor: el SIM swapping es una técnica habitual.
Olvidar las reglas de reenvío: muchas víctimas cambian la contraseña pero dejan activa la regla que reenvía todos los correos al atacante.
No denunciar: aunque parezca un caso menor, la denuncia te protege legalmente si más adelante surgen estafas en tu nombre.

Preguntas frecuentes

¿Cuánto tarda Google o Microsoft en devolverme una cuenta robada?

Depende de la información que aportes. Si el proceso estándar de recuperación funciona, suele resolverse en minutos. Si tienes que recurrir al formulario de recuperación avanzada, puede tardar entre 24 horas y varios días. Aportar pagos previos, contactos frecuentes y contraseñas antiguas acelera el proceso.

¿Tengo que denunciar aunque haya recuperado la cuenta sin pérdidas?

No es obligatorio, pero sí recomendable. Una denuncia documenta el incidente y te cubre si más tarde alguien usa tu identidad o aparecen fraudes vinculados. Si hubo acceso a datos personales de terceros (clientes, contactos profesionales), el RGPD obliga a notificar a la AEPD en menos de 72 horas en determinados casos.

¿La verificación en dos pasos por SMS es suficiente?

Es mejor que nada, pero no es la opción más segura. Los atacantes pueden duplicar tu SIM mediante ingeniería social con tu operadora (SIM swapping). Lo ideal es usar una app autenticadora como Authy o, mejor aún, una llave de seguridad física FIDO2 para tu email principal.

¿Cómo sé si mi contraseña ya está filtrada en alguna brecha?

Servicios como Have I Been Pwned permiten comprobar gratis si tu email aparece en filtraciones conocidas. Muchos gestores de contraseñas modernos incluyen también monitorización de la dark web y te avisan si alguna de tus credenciales aparece comprometida.

¿Qué hago si el atacante envió correos en mi nombre pidiendo dinero?

Avisa de inmediato a tus contactos por otro canal y publica un aviso en tus redes. Si alguien llegó a transferir dinero, indícale que denuncie cuanto antes en su banco y en la policía. Conserva pruebas (capturas, IDs de mensaje) para la denuncia conjunta del fraude.

Conclusión

Que te roben la cuenta de email no es el fin del mundo, pero sí una emergencia que exige reaccionar rápido, con método y sin pánico. Recupera el acceso, expulsa al intruso, asegura las cuentas asociadas, denuncia si procede y, sobre todo, refuerza tu seguridad para que no vuelva a pasar. Una contraseña única y robusta, 2FA con app o llave física y un poco de paranoia sana frente a enlaces sospechosos son la diferencia entre una vida digital tranquila y una pesadilla evitable.