Qué Hacer si te Roban tu Cuenta de Email: Guía de Recuperación 2026

El correo electrónico es la llave maestra de tu vida digital. Si un atacante consigue acceso, puede resetear contraseñas de bancos, redes sociales, plataformas de compra y hasta suplantar tu identidad frente a familiares y compañeros de trabajo. Descubrir que te han robado la cuenta de email es una experiencia angustiante, pero actuar con rapidez y método puede marcar la diferencia entre un susto y un desastre financiero.

En esta guía te explicamos, paso a paso, qué hacer si te roban tu cuenta de email, cómo recuperarla, cómo limitar el daño y cómo blindar tus cuentas para que no vuelva a ocurrir.

Cómo saber si realmente te han robado la cuenta de email

Antes de entrar en pánico, confirma que efectivamente hay un acceso no autorizado. No cualquier fallo de inicio de sesión significa que te hayan hackeado.

Señales claras de que te han robado la cuenta

No puedes iniciar sesión con tu contraseña habitual y no recuerdas haberla cambiado.
Recibes correos de recuperación o de cambio de contraseña que tú no has solicitado.
Aparecen correos enviados desde tu cuenta que no reconoces (spam, phishing a tus contactos).
Tus contactos reciben mensajes extraños pidiendo dinero, enlaces sospechosos o archivos adjuntos.
Notificaciones de inicio de sesión desde ubicaciones, dispositivos o IPs desconocidas.
Filtros o reglas nuevas que redirigen o eliminan correos automáticamente sin tu intervención.
La firma o la foto de perfil ha cambiado.

Cómo verificar la actividad reciente de tu cuenta

Casi todos los proveedores permiten revisar la actividad reciente:

Gmail: baja al final de la bandeja de entrada y pulsa "Última actividad de la cuenta" o accede a myaccount.google.com/security.
Outlook/Hotmail: entra en account.microsoft.com/security y revisa "Actividad de inicio de sesión".
Yahoo: desde "Información de la cuenta" → "Actividad reciente".
ProtonMail: Configuración → Seguridad → Sesiones activas.

Pasos inmediatos: qué hacer en los primeros 30 minutos

Si has confirmado que te roban la cuenta de email, el tiempo es crítico. Sigue este orden de prioridad:

Intenta cambiar la contraseña inmediatamente. Si aún tienes acceso, entra y sustitúyela por una nueva, larga y única (mínimo 16 caracteres, mezclando letras, números y símbolos).
Cierra todas las sesiones activas. En la configuración de seguridad, busca "Cerrar sesión en todos los dispositivos" para expulsar al atacante.
Activa la verificación en dos pasos (2FA) con una app autenticadora (Google Authenticator, Authy, Aegis) en lugar de SMS, que es vulnerable a SIM swapping.
Revisa filtros, reglas de reenvío y firmas. Los atacantes suelen crear reglas para desviar correos sin que te enteres.
Comprueba los datos de recuperación: teléfono, email alternativo y preguntas de seguridad. Elimina cualquier dato que no reconozcas.
Revisa las aplicaciones conectadas con permisos OAuth y revoca las que no reconozcas.

Si has perdido el acceso: cómo recuperar la cuenta

Si el atacante ya cambió tu contraseña y los métodos de recuperación, la situación se complica pero no está perdida.

Proceso de recuperación por proveedor

Gmail / Google

Accede a accounts.google.com/signin/recovery. Google te pedirá:

La última contraseña que recuerdes.
Un dispositivo desde el que iniciaste sesión recientemente.
Fecha aproximada de creación de la cuenta.
Verificación por SMS o email alternativo (si sigue siendo tuyo).

Si fallas, puedes rellenar el formulario de recuperación detallado. Cuanta más información precisa aportes (contactos frecuentes, etiquetas usadas, servicios de Google vinculados), más posibilidades tendrás.

Outlook / Microsoft

Ve a account.live.com/acsr. Rellena el formulario aportando datos verificables: contactos frecuentes, asuntos de correos recientes, tarjetas de pago asociadas. Microsoft revisa manualmente en 24-72 horas.

Yahoo Mail

Usa help.yahoo.com/kb/account. Si no puedes verificar por teléfono o email alternativo, tendrás que abrir un ticket de soporte con documentación de identidad.

Contener el daño: proteger el resto de tus cuentas

Una vez recuperado el acceso (o mientras lo intentas), el atacante puede estar usando tu email para resetear contraseñas de otros servicios. Actúa en paralelo.

Cuentas prioritarias a proteger de inmediato

Banca online y apps de pago (BBVA, Santander, PayPal, Bizum, Revolut). Cambia contraseñas y activa 2FA.
Redes sociales (Instagram, Facebook, X, LinkedIn, TikTok).
Plataformas de compra (Amazon, eBay, AliExpress) donde tengas tarjetas guardadas.
Servicios de almacenamiento en la nube (Drive, iCloud, Dropbox, OneDrive).
Otras cuentas de correo secundarias.
Gestores de contraseñas. Si el atacante accede aquí, el daño es catastrófico.

Revisa movimientos bancarios y suscripciones

Comprueba los movimientos de tus tarjetas durante las últimas semanas. Si detectas cargos sospechosos, contacta con tu banco para bloquear la tarjeta y disputar los cargos. También revisa suscripciones nuevas que no reconozcas.

Comunicación: avisar a contactos y limitar la suplantación

Los ciberdelincuentes suelen usar tu cuenta para estafar a tus contactos con mensajes tipo "estoy en apuros, necesito dinero urgente" o para difundir phishing.

Avisa por otro canal (WhatsApp, SMS, llamada) a familiares, amigos y compañeros de trabajo.
Publica un aviso en tus redes sociales si el ataque es reciente.
Advierte a tu empresa si usabas la cuenta con fines laborales. Podría haber fugas de información confidencial.

Puedes reforzar aún más tus canales personales revisando la configuración óptima de privacidad en WhatsApp, otra vía habitual de suplantación una vez comprometido el email.

Aspectos legales: denuncia y RGPD

El robo de una cuenta de email en España está tipificado en el Código Penal como delito de acceso ilícito a sistemas informáticos (art. 197 bis) y, si hay uso fraudulento, como usurpación de identidad o estafa informática.

Dónde denunciar

Policía Nacional (Grupo de Delitos Telemáticos) o Guardia Civil (GDT). Puedes iniciar el trámite online en sus webs y completarlo en comisaría.
INCIBE (Instituto Nacional de Ciberseguridad) ofrece asesoramiento gratuito en el teléfono 017.
AEPD (Agencia Española de Protección de Datos): si el robo implica que tus datos personales han sido expuestos, o si tu cuenta contenía datos personales de terceros (clientes, empleados), es obligatorio notificarlo en menos de 72 horas según el RGPD.

Documentación útil para la denuncia

Capturas de pantalla de correos sospechosos y notificaciones de acceso.
IPs y ubicaciones registradas en la actividad reciente.
Comunicaciones con el proveedor de email.
Movimientos bancarios fraudulentos, si los hubiera.

Cómo llegan los atacantes a tu cuenta: vectores de ataque más comunes

Vector de ataque	Cómo funciona	Cómo protegerte
Phishing	Correos o webs falsas que imitan a tu proveedor y te piden credenciales.	Verifica siempre la URL, no cliques enlaces sospechosos, usa gestor de contraseñas.
Filtraciones de datos	Tu contraseña se filtra en una brecha de otra web y se reutiliza.	Contraseñas únicas por servicio, revisa haveibeenpwned.com.
Malware / keyloggers	Software malicioso registra tus pulsaciones o roba cookies.	Antivirus actualizado, no descargues cracks ni adjuntos dudosos.
SIM swapping	El atacante duplica tu SIM para recibir SMS de verificación.	Usa 2FA por app, no por SMS. Añade un PIN a tu línea móvil.
Ingeniería social	Manipulan a soporte técnico o a ti para revelar datos.	Nunca compartas códigos ni contraseñas por teléfono o chat.
Reutilización de contraseñas	Usar la misma clave en varios sitios permite ataques en cadena.	Gestor de contraseñas con claves únicas.

Blindaje definitivo: cómo evitar que vuelva a ocurrir

Recuperar la cuenta es solo la mitad del trabajo. La otra mitad es asegurarte de que no vuelva a pasar.

Checklist de seguridad para tu email

Contraseña única y robusta: al menos 16 caracteres, generada por un gestor como Bitwarden, 1Password o KeePassXC.
2FA con app autenticadora o llave física (YubiKey, Titan Key). Nunca solo SMS.
Códigos de respaldo guardados en un lugar seguro offline.
Email alternativo de recuperación igualmente protegido con 2FA.
Revisar cada 3-6 meses dispositivos conectados, apps con permisos OAuth y actividad reciente.
DNS cifrado (DNS over HTTPS) para evitar interceptación en redes públicas.
Navegador actualizado con protección antiphishing activada.
Alias de correo (Apple Hide My Email, SimpleLogin, DuckDuckGo Email Protection) para no exponer tu dirección real en registros.

Uso de alias y enlaces seguros

Muchas veces el correo se expone porque lo usamos como identificador público en foros, formularios y campañas. Usar alias temporales y compartir enlaces mediante acortadores con protección antimalware reduce la superficie de exposición. Plataformas como Lunyb permiten acortar y compartir URLs con análisis de tráfico y bloqueo de destinos maliciosos, algo útil tanto para tu comunicación personal como profesional. Puedes profundizar en la mejor plataforma de gestión de enlaces de 2026 si buscas alternativas.

Higiene digital general

Actualiza sistema operativo, navegador y apps regularmente.
Desconfía de mensajes urgentes que pidan clics o descargas inmediatas.
No uses redes Wi-Fi abiertas sin protección adicional para acceder al correo.
Cierra sesión en dispositivos ajenos o compartidos.
Haz copias de seguridad periódicas de tus correos importantes.

Qué NO hacer cuando te roban el email

No pagar rescates si el atacante pide dinero para "devolverte" la cuenta. No hay garantía, y solo alimentas el negocio criminal.
No responder a mensajes de amenaza ni hacer clic en enlaces enviados por el atacante.
No usar el mismo dispositivo comprometido para intentar recuperar la cuenta si sospechas de malware. Formatea o escanea primero.
No compartir códigos 2FA con nadie, tampoco con supuesto "soporte técnico".
No borrar los correos sospechosos antes de denunciar: son pruebas.

Preguntas frecuentes

¿Cuánto tarda en recuperarse una cuenta de email robada?

Depende del proveedor y de la información que aportes. Si tienes acceso a métodos de recuperación válidos, puede llevar minutos. Si tienes que rellenar formularios de recuperación manual (Google, Microsoft), el proceso tarda entre 24 y 72 horas, y en casos complejos hasta varias semanas.

¿Puedo denunciar el robo aunque no sepa quién es el atacante?

Sí. La denuncia se presenta contra autor desconocido y la Policía o la Guardia Civil se encargan de la investigación técnica. Aportar IPs, correos y capturas de pantalla acelera el trabajo forense.

¿Es obligatorio notificar a la AEPD si me roban la cuenta?

Si eres un particular y solo se han visto afectados tus datos personales, no estás obligado a notificar, aunque puedes reclamar. Si eres autónomo, empresa o profesional y la cuenta contenía datos de terceros (clientes, empleados, proveedores), debes notificar la brecha a la AEPD en menos de 72 horas conforme al artículo 33 del RGPD.

¿Sirven de algo las preguntas de seguridad?

Cada vez menos. Las respuestas suelen ser datos públicos o fáciles de averiguar (nombre de mascota, ciudad de nacimiento). Si tu proveedor te obliga a configurarlas, responde con cadenas aleatorias guardadas en tu gestor de contraseñas, como si fueran contraseñas adicionales.

¿Debería cambiar de proveedor de email tras un robo?

No necesariamente. Si aplicas todas las medidas (2FA con app, contraseña única, revisión periódica), cualquier proveedor mayoritario es razonablemente seguro. Sí puede ser buena idea migrar si tu proveedor no ofrece 2FA robusta, códigos de respaldo o registro de actividad. Alternativas centradas en privacidad como ProtonMail o Tutanota son opciones a considerar.

Conclusión

Que te roben la cuenta de email es una emergencia digital, pero con una respuesta ordenada puedes recuperar el control y minimizar el daño. Actúa rápido, protege el resto de tus cuentas, denuncia y aprovecha el incidente para reforzar tu seguridad con 2FA, contraseñas únicas y revisiones periódicas. La prevención sigue siendo la mejor defensa: dedicar 30 minutos a blindar tu email hoy te ahorrará semanas de problemas mañana.