Qué Hacer si te Roban tu Cuenta de Email: Guía Completa 2026

Que te roben la cuenta de email es una de las peores pesadillas digitales. Tu correo es la llave maestra de tu vida online: contiene recibos, conversaciones privadas, accesos a bancos, redes sociales, servicios de streaming y, sobre todo, el mecanismo de recuperación de casi todas tus demás cuentas. Si un atacante lo controla, puede propagarse en cascada hacia el resto de tu identidad digital en cuestión de minutos.

En esta guía encontrarás un protocolo de emergencia claro, los pasos para recuperar el acceso, cómo evaluar el daño, cuándo denunciar ante la AEPD y las medidas para blindar tu cuenta en el futuro. Está pensada para usuarios en España y actualizada a las prácticas vigentes en 2026.

Cómo saber si te han robado la cuenta de email

El robo de una cuenta de correo electrónico no siempre es evidente. A veces el atacante entra, extrae información y sale sin cambiar la contraseña para no levantar sospechas. Reconocer las señales a tiempo marca la diferencia entre un susto y un desastre.

Señales claras de compromiso

No puedes iniciar sesión con tu contraseña habitual, aunque estés seguro de que es correcta.
Recibes un aviso del proveedor (Gmail, Outlook, ProtonMail…) sobre un inicio de sesión desde una ubicación desconocida.
Tus contactos te avisan de que han recibido mensajes extraños desde tu dirección.
Aparecen correos enviados o en la papelera que tú no has escrito.
Se han creado reglas de reenvío automático hacia direcciones desconocidas.
Faltan correos importantes o toda tu bandeja está vacía.
Recibes códigos de verificación de dos factores que tú no has solicitado.

Señales sutiles que conviene vigilar

La firma de tus correos ha cambiado ligeramente.
Aparecen dispositivos extraños en la sección de "sesiones activas".
Tu proveedor te pide volver a verificar el número de teléfono o email de recuperación.
Recibes notificaciones de cambios de contraseña en servicios asociados (PayPal, Amazon, bancos).

Protocolo de emergencia: las primeras 2 horas son críticas

Cuando confirmas que te han robado el email, el tiempo juega en tu contra. Sigue estos pasos en orden, sin saltarte ninguno.

Desconecta todos los dispositivos de la cuenta. Todos los proveedores grandes ofrecen la opción "cerrar sesión en todos los dispositivos". Búscala en los ajustes de seguridad.
Intenta cambiar la contraseña inmediatamente. Usa una contraseña nueva, larga (mínimo 16 caracteres) y única. Nunca la reutilices de otro servicio.
Si no puedes acceder, inicia el proceso de recuperación oficial. Google, Microsoft y Yahoo tienen formularios específicos para cuentas comprometidas.
Revisa y elimina reglas de reenvío o filtros sospechosos. Es la técnica más usada para mantener acceso silencioso.
Verifica el email y teléfono de recuperación. El atacante suele cambiarlos para bloquear tu recuperación.
Activa la verificación en dos pasos (2FA) con una app como Authy, Google Authenticator o Microsoft Authenticator. Evita el SMS si puedes.
Revisa los correos enviados y la papelera para entender qué ha hecho el atacante.
Avisa a tus contactos por otro canal (WhatsApp, llamada) de que tu cuenta ha sido comprometida y que ignoren cualquier mensaje reciente.

Cómo recuperar la cuenta según tu proveedor

Cada proveedor de correo tiene su propio proceso de recuperación. Esta tabla resume los enlaces oficiales y plazos típicos.

Proveedor	Enlace de recuperación	Métodos de verificación	Plazo medio
Gmail / Google	accounts.google.com/signin/recovery	Teléfono, email secundario, preguntas, dispositivo de confianza	24-72 horas
Outlook / Microsoft	account.live.com/acsr	Formulario con datos de uso previo	24 horas
Yahoo Mail	login.yahoo.com/forgot	Teléfono, email alternativo	Inmediato a 48h
ProtonMail	account.proton.me/reset-password	Frase de recuperación, email secundario	Variable (cifrado E2E)
Apple / iCloud	iforgot.apple.com	Dispositivo de confianza, clave de recuperación	Horas a días

Consejos para el formulario de recuperación

Los formularios de recuperación evalúan tu identidad mediante datos históricos. Para maximizar tus probabilidades de éxito:

Rellénalo desde un dispositivo y red que hayas usado habitualmente con esa cuenta.
Aporta contraseñas antiguas que recuerdes, aunque hayan caducado.
Indica fechas aproximadas de creación de la cuenta y de servicios asociados.
Menciona contactos frecuentes y etiquetas o carpetas personalizadas.
Sé honesto: inventar datos suele bloquear el proceso.

Evaluar el daño: qué comprobar después de recuperar el acceso

Recuperar la contraseña es solo el primer paso. El atacante probablemente ha dejado puertas traseras y ha accedido a información sensible. Haz un inventario exhaustivo.

1. Revisa la actividad reciente

En Gmail, visita myaccount.google.com/security. En Outlook, account.microsoft.com/security. Busca inicios de sesión desde países o dispositivos desconocidos y anótalos: son prueba en caso de denuncia.

2. Audita las configuraciones de la cuenta

Reglas y filtros: elimina cualquier regla que reenvíe, borre o archive correos automáticamente.
Firmas: comprueba que no se han añadido enlaces maliciosos.
Respuestas automáticas: verifica que no hay mensajes de "vacaciones" con contenido fraudulento.
Aplicaciones conectadas: revoca el acceso a apps de terceros que no reconozcas.
Direcciones alternativas: borra cualquier email de recuperación añadido por el atacante.

3. Haz un recuento de servicios vinculados

Busca en tu bandeja términos como "bienvenido", "verifica tu cuenta" o "restablece tu contraseña" para identificar qué servicios están asociados a ese email. Cambia la contraseña en todos los críticos:

Bancos y pasarelas de pago (PayPal, Bizum, Revolut).
Tiendas con tarjeta guardada (Amazon, AliExpress, El Corte Inglés).
Redes sociales (Instagram, Facebook, X, LinkedIn, TikTok).
Servicios en la nube (Dropbox, Google Drive, iCloud).
Suscripciones (Netflix, Spotify, HBO).
Herramientas de trabajo (Slack, Notion, GitHub).

4. Comprueba filtraciones conocidas

Introduce tu dirección en haveibeenpwned.com para ver en qué filtraciones de datos aparece. Esto te ayudará a entender cómo pudieron obtener tu contraseña.

Cuándo y cómo denunciar el robo

En España, el robo de una cuenta de correo electrónico puede constituir varios delitos tipificados en el Código Penal (artículos 197 y siguientes sobre descubrimiento y revelación de secretos, y 248 si hay fraude asociado). Además, si se han expuesto datos personales, interviene el RGPD.

Dónde presentar la denuncia

Policía Nacional: Brigada Central de Investigación Tecnológica. Puedes denunciar en comisaría o a través de policia.es.
Guardia Civil: Grupo de Delitos Telemáticos (GDT), vía gdt.guardiacivil.es.
INCIBE: línea gratuita 017 para asesoramiento ciudadano en ciberseguridad.
AEPD: si se han expuesto datos personales tuyos o de terceros, puedes reclamar en sedeagpd.gob.es.

Qué incluir en la denuncia

Fecha y hora aproximadas del incidente.
Capturas de pantalla de los accesos sospechosos.
Correos recibidos del proveedor sobre actividad inusual.
Listado de servicios potencialmente afectados.
Mensajes fraudulentos enviados desde tu cuenta.
Pérdidas económicas, si las hubiera, con justificantes.

Cómo pudieron robarte la cuenta: las causas más habituales

Entender el origen del ataque es clave para que no se repita. Estas son las cinco vías principales por las que se compromete una cuenta de correo en 2026.

1. Phishing

Correos o SMS que imitan a tu proveedor y te llevan a una página falsa donde introduces tus credenciales. Es la causa número uno. Una buena defensa es usar herramientas que te ayuden a identificar enlaces sospechosos antes de hacer clic; consulta nuestra guía de mejores herramientas anti-phishing 2026 para elegir las más adecuadas.

2. Reutilización de contraseñas

Si usas la misma contraseña en varios servicios y uno sufre una filtración, los atacantes probarán esas credenciales en Gmail, Outlook y otros proveedores (técnica llamada credential stuffing).

3. Malware en el dispositivo

Keyloggers, infostealers o troyanos capturan tus credenciales mientras las escribes. Suelen entrar por descargas piratas, extensiones de navegador maliciosas o adjuntos infectados.

4. SIM swapping

El atacante duplica tu tarjeta SIM y recibe los SMS de verificación. Por eso el 2FA por SMS es el menos seguro: siempre que puedas, usa aplicaciones de códigos o llaves físicas FIDO2.

5. Redes Wi-Fi públicas inseguras

Aunque HTTPS protege la mayoría de tráfico, aún existen vectores de interceptación en redes abiertas, especialmente con configuraciones DNS sin cifrar. Usa DNS cifrado (DoH o DoT) y evita iniciar sesión en servicios sensibles desde redes públicas.

Cómo blindar tu cuenta para que no vuelva a pasar

Una vez recuperada la cuenta, aplica estas medidas para subir drásticamente tu nivel de seguridad.

Contraseñas y gestores

Usa un gestor de contraseñas (Bitwarden, 1Password, KeePassXC) para generar y almacenar claves únicas de 20+ caracteres.
Cambia la contraseña del email al menos una vez al año o tras cualquier filtración conocida.
Nunca uses nombres, fechas o palabras de diccionario.

Autenticación en dos pasos

Activa 2FA con aplicación TOTP (Authy, Aegis, Microsoft Authenticator).
Para máxima seguridad, usa una llave física FIDO2 (YubiKey, Google Titan). Son prácticamente inmunes al phishing.
Guarda los códigos de recuperación en un lugar offline y seguro.

Higiene digital diaria

Verifica siempre la URL antes de introducir credenciales. Si recibes un enlace acortado dudoso, usa un previsualizador. Plataformas como Lunyb ofrecen enlaces con control de seguridad y análisis de destino, lo que ayuda a detectar redirecciones sospechosas antes de hacer clic.
Mantén el sistema operativo y el navegador actualizados.
Revisa periódicamente las sesiones activas y las apps conectadas.
Desconfía de mensajes urgentes que te piden actuar en minutos: es la táctica clásica de ingeniería social.

Separación de cuentas

Considera tener varias direcciones de email con funciones distintas:

Una cuenta principal solo para bancos, administraciones y servicios críticos.
Una cuenta social para redes y comunicaciones personales.
Una cuenta desechable para registros en tiendas, newsletters y pruebas.

Así, si una cae, el impacto queda contenido.

Qué hacer si el atacante ya hizo daño económico

Si el ladrón ha accedido a tu banca online, hecho compras fraudulentas o estafado a tus contactos haciéndose pasar por ti:

Contacta inmediatamente a tu banco para bloquear tarjetas y reclamar cargos no autorizados. La normativa PSD2 te protege en la mayoría de casos de fraude si denuncias con rapidez.
Denuncia los hechos en Policía o Guardia Civil y guarda el atestado.
Avisa a los servicios afectados (Amazon, PayPal, etc.) aportando el número de denuncia.
Revisa tu historial crediticio en ASNEF por si han intentado contratar productos financieros en tu nombre.
Si han expuesto datos personales de terceros, informa a la AEPD y considera asesoramiento legal.

FAQ: Preguntas frecuentes sobre el robo de cuentas de email

¿Cuánto tarda Google o Microsoft en devolverme el acceso?

Depende de los datos que aportes. Si tienes el teléfono de recuperación activo, puede ser cuestión de minutos. Si debes rellenar el formulario largo, suele resolverse entre 24 y 72 horas. Revisa el email de recuperación con frecuencia, incluida la carpeta de spam.

¿Debo cambiar la contraseña de todos mis servicios aunque solo me hayan robado el email?

Sí, especialmente la de aquellos donde el email robado figura como método de recuperación. Prioriza bancos, pasarelas de pago, redes sociales y almacenamiento en la nube. Usa un gestor para hacerlo de forma rápida y segura.

¿Es obligatorio denunciar un robo de cuenta de email en España?

No es obligatorio, pero sí muy recomendable, sobre todo si ha habido suplantación de identidad, fraude económico o exposición de datos personales de terceros. La denuncia también sirve como prueba ante bancos y aseguradoras.

¿Puedo saber quién me robó la cuenta?

Como usuario particular, no. Los proveedores solo muestran la IP y ubicación aproximada del acceso. La identificación real del atacante corresponde a las Fuerzas y Cuerpos de Seguridad mediante orden judicial. Por eso es importante denunciar.

¿Las llaves físicas de seguridad son realmente necesarias?

Para la mayoría de usuarios, una app TOTP es suficiente. Pero si gestionas información muy sensible (empresa, criptomonedas, periodismo, activismo) o tu cuenta ya ha sido comprometida una vez, una llave FIDO2 reduce prácticamente a cero el riesgo de phishing. Cuestan entre 25 y 60 euros y duran años.

¿Cómo evito hacer clic en enlaces maliciosos del correo?

Pasa el ratón por encima del enlace (sin hacer clic) para ver la URL real. Desconfía de dominios mal escritos y de acortadores desconocidos. Para gestionar y acortar enlaces de forma segura en tus propias comunicaciones, puedes apoyarte en servicios con control de seguridad integrado; consulta nuestra comparativa de la mejor plataforma de gestión de enlaces 2026 para elegir una opción fiable.

Conclusión

El robo de un email es una emergencia digital que exige actuar con método y rapidez. Recupera el acceso, audita la cuenta, cambia las contraseñas vinculadas, denuncia si procede y, sobre todo, aprovecha la crisis para dar un salto definitivo en tu higiene de seguridad: contraseñas únicas, 2FA con app o llave física, DNS cifrado y desconfianza sana ante cualquier mensaje urgente. La mejor forma de recuperarse de un incidente así es que no vuelva a ocurrir.