Qué Hacer si te Roban tu Cuenta de Email: Guía de Recuperación 2026

Descubrir que te han robado la cuenta de email es una de las experiencias digitales más estresantes. Tu correo electrónico es, en la práctica, la llave maestra de tu identidad online: desde él se recuperan contraseñas de bancos, redes sociales, tiendas y servicios profesionales. Si roban tu cuenta de email, el atacante puede acceder a prácticamente todo lo demás en cuestión de minutos.

En esta guía te explicamos exactamente qué hacer, paso a paso, para recuperar el control, minimizar el daño y blindar tu cuenta para que no vuelva a ocurrir. Actuar rápido marca la diferencia entre un susto y un desastre.

Cómo saber si te han robado la cuenta de email

El robo de una cuenta de correo no siempre es evidente. Un atacante inteligente intentará pasar desapercibido el mayor tiempo posible para explotar tu información. Estas son las señales más habituales:

No puedes iniciar sesión con tu contraseña habitual, aunque estés seguro de que es correcta.
Recibes notificaciones de inicio de sesión desde dispositivos o ubicaciones desconocidas.
Tus contactos reciben correos extraños enviados desde tu dirección (spam, phishing, peticiones de dinero).
Aparecen correos enviados o eliminados que tú no has gestionado.
Se han modificado filtros o reenvíos automáticos para redirigir correos sin que te des cuenta.
Recibes alertas de restablecimiento de contraseña de otros servicios que tú no has solicitado.
Han cambiado tu número de recuperación o correo alternativo.

Si detectas cualquiera de estas señales, considera la cuenta comprometida y pasa de inmediato al siguiente paso.

Qué hacer en los primeros 15 minutos

Los primeros minutos tras descubrir el robo son críticos. Sigue este proceso en orden:

Intenta recuperar el acceso inmediatamente. Ve a la página oficial de recuperación de tu proveedor (Gmail, Outlook, Yahoo, iCloud, ProtonMail) y utiliza la opción "He olvidado mi contraseña" o "No puedo acceder a mi cuenta".
Usa un dispositivo de confianza. Si es posible, hazlo desde un ordenador o móvil que hayas usado antes con esa cuenta; el sistema lo reconocerá como seguro.
Verifica tu identidad mediante los métodos de recuperación configurados: número de teléfono, correo alternativo o códigos de respaldo.
Cambia la contraseña por una nueva, fuerte y única (mínimo 16 caracteres, combinando letras, números y símbolos).
Cierra todas las sesiones activas desde la configuración de seguridad de tu cuenta. Esto expulsará al atacante de cualquier dispositivo.

Si no consigues recuperar la cuenta en el primer intento, no te rindas. Los principales proveedores tienen formularios de recuperación avanzada donde puedes aportar datos adicionales (contactos frecuentes, asunto de correos recientes, fecha aproximada de creación de la cuenta).

Enlaces oficiales de recuperación por proveedor

Gmail: accounts.google.com/signin/recovery
Outlook / Hotmail: account.live.com/acsr
Yahoo: login.yahoo.com/account/challenge
iCloud / Apple: iforgot.apple.com
ProtonMail: account.proton.me/reset-password

Revisar la configuración de seguridad tras recuperar la cuenta

Recuperar el acceso es solo la mitad del trabajo. El atacante pudo haber dejado "puertas traseras" para volver a entrar. Revisa y limpia cada apartado:

1. Reenvíos y filtros automáticos

Es la técnica más común: el atacante configura un reenvío automático de todos tus correos a su dirección. Así, aunque cambies la contraseña, él sigue leyendo todo lo que te llega. Entra en Configuración > Reenvío y elimina cualquier regla que no reconozcas.

2. Correos y teléfonos de recuperación

Comprueba que el correo alternativo y el número de teléfono de recuperación son tuyos. Si han sido modificados, restáuralos de inmediato.

3. Dispositivos conectados

Revisa la lista de dispositivos y sesiones activas. Cierra todas las que no reconozcas.

4. Aplicaciones con acceso a tu cuenta

Muchas apps de terceros se conectan vía OAuth. Un atacante puede autorizar una app maliciosa para mantener acceso. Revoca el acceso de cualquier aplicación que no uses o no reconozcas.

5. Contraseñas de aplicación

Si usas contraseñas específicas para aplicaciones (comunes en Gmail o Yahoo), elimínalas todas y genera nuevas solo cuando las necesites.

Activa la verificación en dos pasos (2FA)

La autenticación en dos pasos es la medida más efectiva para evitar que te vuelvan a robar la cuenta. Aunque alguien consiga tu contraseña, necesitará además un segundo factor que solo tú tienes.

Tipos de 2FA ordenados de más a menos seguros:

Método	Seguridad	Comodidad	Recomendado para
Llave física (FIDO2/YubiKey)	Máxima	Media	Cuentas críticas, profesionales
App autenticadora (Authy, Google Authenticator)	Alta	Alta	Uso general
Notificación push del proveedor	Alta	Muy alta	Usuarios móviles
Códigos por SMS	Media	Alta	Última opción si no hay alternativa
Códigos de respaldo impresos	Alta (si se guardan bien)	Baja	Backup de emergencia

Evita en lo posible el SMS como único método: existen ataques de SIM swapping donde el delincuente duplica tu tarjeta SIM y recibe los códigos en su móvil.

Cambia las contraseñas de servicios críticos

Si han tenido acceso a tu correo, probablemente han visto o solicitado restablecimientos de otras cuentas. Haz una lista y cambia las contraseñas de todo lo importante, empezando por:

Banca online y apps financieras (PayPal, Bizum, Revolut, brokers).
Tiendas con datos de pago guardados (Amazon, El Corte Inglés, PcComponentes).
Redes sociales (Instagram, Facebook, X, LinkedIn, TikTok).
Servicios de almacenamiento en la nube (Google Drive, Dropbox, OneDrive, iCloud).
Plataformas de trabajo (Microsoft 365, Google Workspace, Slack, Notion).
Otras cuentas de email si reutilizabas contraseñas.

Un gestor de contraseñas fiable te ayudará a generar y almacenar claves únicas para cada servicio sin tener que memorizarlas. Es, probablemente, la herramienta más rentable que puedes adoptar tras un incidente.

Avisa a tus contactos y revisa comunicaciones enviadas

Los atacantes suelen aprovechar la cuenta robada para:

Enviar phishing a tus contactos suplantando tu identidad.
Pedir dinero urgente a familiares o compañeros de trabajo.
Propagar malware mediante enlaces o archivos adjuntos.
Enviar enlaces fraudulentos simulando ser servicios legítimos. Por eso es buena práctica usar acortadores de confianza como Lunyb cuando compartes enlaces, para que tus contactos sepan que proceden de una plataforma verificada y no de un tercero sospechoso.

Revisa tu carpeta de "Enviados" para ver qué correos han salido durante el periodo del compromiso. Escribe a tus contactos cercanos avisando de que tu cuenta fue hackeada y que ignoren cualquier mensaje raro de las últimas horas o días.

Denuncia el incidente y protege tus derechos

En España, el robo de una cuenta de correo puede constituir un delito de acceso ilícito a sistemas informáticos (art. 197 bis del Código Penal) y, si hay datos personales implicados, una infracción del RGPD.

Dónde denunciar

Policía Nacional o Guardia Civil: presenta denuncia en persona o a través de sus webs oficiales. Hay unidades especializadas en delitos tecnológicos.
INCIBE (Instituto Nacional de Ciberseguridad): teléfono gratuito 017 para asesoramiento ciudadano.
AEPD (Agencia Española de Protección de Datos): si consideras que se han vulnerado tus datos personales, especialmente si eres empresario o profesional con datos de terceros en el correo.

Si el ataque afectaba a una cuenta profesional con datos de clientes, probablemente tengas obligación de notificar la brecha a la AEPD en un plazo de 72 horas, según el artículo 33 del RGPD.

Cómo roban las cuentas de email: principales técnicas

Entender cómo ocurren estos ataques te ayuda a prevenirlos. Las técnicas más habituales son:

Phishing

Correos o SMS que imitan a tu proveedor y te piden iniciar sesión en una web falsa. Es la causa número uno de cuentas comprometidas.

Reutilización de contraseñas

Si usabas la misma contraseña en otro servicio que sufrió una brecha, los atacantes prueban esa combinación en tu email (ataque de credential stuffing).

Malware y keyloggers

Software malicioso instalado en tu ordenador o móvil que registra lo que escribes, incluidas contraseñas.

Ingeniería social

Técnicas de manipulación psicológica para que reveles información sensible. Aprende a identificarlas en nuestra guía sobre ingeniería social.

SIM swapping

El atacante convence a tu operador telefónico de que emita un duplicado de tu SIM, recibiendo así los códigos de verificación por SMS.

Wi-Fi públicas sin cifrar

Conectarte a redes abiertas sin protecciones adicionales permite que terceros intercepten tu tráfico. Activa siempre DNS cifrado (DoH/DoT) y navega únicamente por HTTPS.

Cómo blindar tu email para que no vuelva a pasar

Tras recuperar la cuenta, adopta estas prácticas de forma permanente:

Contraseña única y robusta, gestionada con un gestor profesional.
2FA con app autenticadora o llave física, nunca solo SMS.
Códigos de respaldo impresos y guardados en lugar seguro.
Revisión mensual de dispositivos conectados, filtros y apps autorizadas.
Correo secundario dedicado exclusivamente a recuperaciones, sin uso público.
Alertas de inicio de sesión activadas para recibir avisos en tiempo real.
Navegador actualizado y con extensiones antiphishing.
Verifica enlaces antes de hacer clic, especialmente los acortados. Plataformas como Lunyb incorporan vistas previas y análisis de seguridad que te permiten saber a dónde va realmente un enlace antes de abrirlo.
Formación continua: suscríbete a avisos de INCIBE y mantente al día de las últimas estafas.

Qué hacer si no consigues recuperar la cuenta

Si tras varios intentos no logras recuperar el acceso, tus opciones son:

Rellenar el formulario de recuperación avanzada aportando el máximo de datos posible (contactos frecuentes, etiquetas que usabas, fecha aproximada de creación, últimas compras realizadas a través del correo, etc.).
Esperar el periodo de inactividad: algunos proveedores permiten reclamar cuentas inactivas pasado un tiempo.
Crear una nueva cuenta y notificar a todos tus contactos y servicios el cambio de dirección. Es la opción menos deseable, pero a veces inevitable.
Vigilar la dark web: servicios como Have I Been Pwned te avisan si tu correo aparece en filtraciones futuras.

FAQ: Preguntas frecuentes sobre robo de cuenta de email

¿Cuánto tiempo tengo para recuperar mi cuenta antes de que sea irrecuperable?

No hay un plazo universal, pero cuanto antes actúes, mejor. La mayoría de proveedores conservan cuentas inactivas durante meses o años, pero si el atacante cambia todos los métodos de recuperación y cuelas suficiente actividad fraudulenta, puede ser suspendida. Actúa en las primeras 24 horas.

¿Debo pagar si el atacante pide un rescate para devolverme la cuenta?

Nunca. Pagar no garantiza que recuperes el acceso y te marca como víctima dispuesta a pagar en el futuro. Denuncia a las autoridades y usa los canales oficiales de recuperación del proveedor.

¿Tengo que notificar a la AEPD si me roban el email personal?

Si es tu correo personal sin datos de terceros, no es obligatorio. Pero si en esa cuenta tenías datos de clientes, pacientes, alumnos u otros terceros (uso profesional), sí estás obligado a notificar la brecha a la AEPD en un plazo de 72 horas según el RGPD.

¿Cómo sé si han accedido a mis otras cuentas tras robar el email?

Revisa los correos de "inicio de sesión desde nuevo dispositivo" y "restablecimiento de contraseña" en todos tus servicios importantes. Comprueba movimientos bancarios, compras recientes y publicaciones en redes sociales. Muchos servicios tienen un historial de actividad consultable desde su configuración de seguridad.

¿Es seguro seguir usando la misma cuenta tras recuperarla?

Sí, siempre que hayas limpiado completamente la configuración: contraseña nueva, 2FA activado, filtros y reenvíos revisados, sesiones cerradas y apps de terceros revocadas. Una cuenta recuperada y blindada es tan segura como una nueva, con la ventaja de conservar tu historial y contactos.

Conclusión

Que te roben la cuenta de email es un incidente serio, pero no irreversible si actúas con rapidez y método. La clave está en recuperar el acceso en los primeros minutos, limpiar a fondo todas las configuraciones que el atacante pudo haber manipulado y, sobre todo, blindar la cuenta con medidas que impidan que vuelva a ocurrir: contraseñas únicas gestionadas con un gestor profesional, autenticación en dos pasos con app o llave física, y vigilancia activa de la configuración de seguridad.

La prevención siempre es más barata que la recuperación. Dedica una tarde a repasar tu higiene digital y evitarás horas de angustia en el futuro.