Robo de Datos: Cómo Reaccionar Rápidamente (Guía 2026)

Descubrir que tus datos personales han sido robados provoca una mezcla de miedo, urgencia y confusión. Ya sea una filtración en un servicio que utilizas, un correo de phishing exitoso o el robo de tu móvil, las primeras horas son críticas para limitar el daño. Esta guía te explica, paso a paso, cómo reaccionar ante un robo de datos y qué medidas tomar para protegerte legal y técnicamente.

¿Qué se considera un robo de datos?

Un robo de datos es el acceso, copia o exfiltración no autorizada de información personal, financiera o corporativa por parte de un tercero. Incluye desde filtraciones masivas en empresas hasta el compromiso individual de una cuenta de correo o el robo físico de un dispositivo con información sensible.

Según el RGPD, se considera una brecha de seguridad cualquier violación que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Cuando eres la víctima —o el responsable— del tratamiento, existen obligaciones legales y ventanas de tiempo muy concretas que debes conocer.

Tipos comunes de robo de datos

• Filtración externa: ciberatacantes acceden a bases de datos de empresas y publican o venden la información.
• Phishing e ingeniería social: el usuario entrega credenciales sin darse cuenta.
• Malware e infostealers: programas maliciosos que roban contraseñas guardadas en el navegador.
• Robo físico: pérdida o sustracción de portátiles, móviles o discos duros.
• Fuga interna: un empleado extrae información de forma indebida.

Primeras 24 horas: los pasos críticos

La velocidad de reacción marca la diferencia entre un susto y un desastre. Estos son los pasos que debes ejecutar en orden durante las primeras horas tras detectar un incidente.

1. Aísla el dispositivo o la cuenta afectada. Desconecta el equipo de la red, cierra sesiones activas y, si es una cuenta online, revoca los accesos desde el panel de seguridad.
2. Cambia las contraseñas comprometidas. Empieza por el correo electrónico principal, ya que es la llave que permite recuperar el resto de servicios.
3. Activa la verificación en dos pasos (2FA). Preferentemente con aplicación de autenticación (Authy, Google Authenticator) o llave física, no por SMS.
4. Revisa los accesos recientes. Servicios como Google, Microsoft, Apple o Meta muestran ubicaciones e IPs desde las que se ha iniciado sesión.
5. Contacta con tu banco. Si crees que hay datos financieros expuestos, bloquea tarjetas y activa alertas de movimientos.
6. Documenta todo. Guarda capturas, correos sospechosos y cualquier prueba: será clave para la denuncia y la reclamación.

Checklist rápido de contención

Acción	Prioridad	Tiempo estimado
Desconectar dispositivo	Alta	1 min
Cambiar contraseña del correo principal	Alta	5 min
Activar 2FA	Alta	10 min
Bloquear tarjetas bancarias	Alta	10 min
Revisar sesiones activas	Media	15 min
Denunciar en Policía/Guardia Civil	Media	1-2 h
Notificar a la AEPD (si eres responsable)	Alta	72 h máx.

Cómo saber si tus datos han sido filtrados

A veces el robo no es evidente: no hay un mensaje de rescate ni una notificación clara. Estas son las herramientas y señales que te permiten confirmar una fuga.

Herramientas de verificación

• Have I Been Pwned: introduce tu correo y comprueba en qué brechas conocidas aparece.
• Firefox Monitor y Google Password Checkup: avisan si tus contraseñas han sido expuestas.
• Alertas de la AEPD: la Agencia Española de Protección de Datos publica notificaciones de brechas relevantes.

Señales de alerta

• Recibes correos de restablecimiento de contraseña que no has solicitado.
• Amigos o contactos te avisan de mensajes extraños enviados desde tus cuentas.
• Aparecen movimientos bancarios pequeños y desconocidos (los atacantes suelen probar con importes bajos).
• Tu móvil pierde cobertura de repente: puede ser un SIM swapping.
• Recibes llamadas o SMS con información personal que solo tú deberías conocer.

Qué hacer si eres una empresa: obligaciones legales

Si gestionas datos personales de clientes o empleados y sufres un incidente, el RGPD y la LOPDGDD te obligan a actuar con transparencia y rapidez. Ignorar estas obligaciones puede acarrear sanciones de hasta 20 millones de euros o el 4% de la facturación anual.

Plazos y notificaciones clave

1. Detección y evaluación (0-24 h): confirma la brecha, determina qué datos y cuántas personas se ven afectadas.
2. Notificación a la AEPD (antes de 72 h): a través de la sede electrónica de la Agencia, detallando naturaleza, categorías de datos, consecuencias y medidas adoptadas.
3. Comunicación a los afectados: obligatoria cuando la brecha entrañe un alto riesgo para sus derechos y libertades. Debe ser clara, en lenguaje sencillo y sin dilación.
4. Registro interno: toda brecha, aunque no requiera notificación, debe quedar documentada en el registro de incidencias de la empresa.

Contenido mínimo de la notificación a la AEPD

• Naturaleza de la brecha y categorías de datos afectados.
• Número aproximado de interesados y registros comprometidos.
• Consecuencias probables (fraude, suplantación, daño reputacional).
• Medidas adoptadas o propuestas para mitigar los efectos.
• Datos de contacto del Delegado de Protección de Datos (DPD) si existe.

Medidas técnicas para minimizar el impacto

Una vez contenido el incidente, es hora de reforzar los sistemas para que no vuelva a ocurrir. Estas son las medidas más efectivas y proporcionadas para particulares y pymes.

Para usuarios particulares

• Gestor de contraseñas: Bitwarden, 1Password o KeePass. Contraseñas únicas y largas para cada servicio.
• 2FA con app o llave física: desactiva el SMS siempre que sea posible.
• Cifrado del dispositivo: BitLocker en Windows, FileVault en macOS, cifrado nativo en Android e iOS.
• Copias de seguridad 3-2-1: tres copias, en dos medios distintos, una fuera de casa (nube cifrada).
• Antivirus actualizado: consulta nuestra comparativa de antivirus para móvil 2026 para elegir bien.
• DNS cifrado: activa DNS over HTTPS en el navegador (Cloudflare 1.1.1.1, NextDNS) para reducir el rastreo.

Para empresas y equipos

• Segmentación de red y principio de mínimo privilegio.
• Registros centralizados (SIEM) con alertas automáticas ante accesos anómalos.
• Formación periódica del personal contra phishing.
• Auditorías de seguridad y pruebas de intrusión anuales.
• Plan de respuesta a incidentes documentado y probado.
• Enlaces controlados para campañas: usar plataformas fiables como Lunyb permite auditar qué URLs se comparten, detectar redirecciones sospechosas y revocar enlaces comprometidos rápidamente.

Cómo denunciar un robo de datos en España

Denunciar es fundamental tanto para tu protección legal como para ayudar a que se investigue el delito. En España tienes varias vías complementarias.

Dónde presentar la denuncia

1. Policía Nacional o Guardia Civil: presencial o mediante la web de denuncias online (para delitos que no requieran ratificación inmediata).
2. Grupo de Delitos Telemáticos (GDT) de la Guardia Civil: especializado en cibercrimen, puedes contactar a través de su web.
3. Brigada Central de Investigación Tecnológica (BIT): unidad de la Policía Nacional para casos complejos.
4. AEPD: si el robo afecta a tus datos personales gestionados por un tercero, puedes reclamar y denunciar la brecha.
5. INCIBE (017): línea gratuita de ayuda en ciberseguridad para ciudadanos y empresas.

Documentación que debes aportar

• Capturas de pantalla del incidente y mensajes recibidos.
• Cabeceras completas de correos sospechosos.
• Extractos bancarios con movimientos fraudulentos.
• URLs completas de webs de phishing.
• Cronología detallada de los hechos.

Recuperación a medio plazo

Superadas las primeras horas, la recuperación real puede durar semanas o meses. Estos son los frentes que no debes descuidar.

Vigilancia continua

• Activa alertas de movimientos en tu banca online.
• Solicita tu informe de crédito a ASNEF y revisa que no haya deudas fraudulentas a tu nombre.
• Configura Google Alerts con tu nombre y DNI (parcial) para detectar apariciones sospechosas en la red.
• Revisa periódicamente Have I Been Pwned.

Reputación digital

Si se han publicado datos tuyos, ejerce el derecho al olvido ante buscadores como Google. La AEPD tiene formularios específicos para reclamar la retirada de contenido cuando la vía directa con el buscador no funciona.

Higiene digital a largo plazo

Un incidente es también una oportunidad para replantear tus hábitos. Reduce la superficie de ataque cerrando cuentas que ya no uses, minimiza los datos que compartes en formularios y prefiere servicios que apliquen cifrado de extremo a extremo. Si gestionas campañas o compartes enlaces profesionalmente, plataformas como las mejores plataformas de gestión de enlaces te permiten controlar accesos, medir tráfico y detectar patrones anómalos antes de que se conviertan en incidentes.

Errores frecuentes al reaccionar ante un robo de datos

• Formatear el dispositivo demasiado pronto: pierdes pruebas forenses útiles para la denuncia.
• Pagar rescates: no garantiza la recuperación y financia a los atacantes.
• Reutilizar contraseñas al restablecer: si el atacante tiene una, probará el resto.
• No comunicar la brecha: tanto la ocultación como el retraso son sancionables por la AEPD.
• Confiar en llamadas de "soporte" tras el incidente: los atacantes suelen reintentar con ingeniería social aprovechando el miedo.

Preguntas frecuentes

¿Cuánto tiempo tengo para notificar una brecha de datos a la AEPD?

El RGPD establece un plazo máximo de 72 horas desde que tienes conocimiento efectivo de la brecha. Si no es posible aportar toda la información en ese plazo, puedes hacer una notificación inicial y completarla después, siempre justificando el retraso.

¿Qué hago si me han robado el móvil con acceso a mis cuentas?

Actúa en este orden: (1) bloquea el dispositivo remotamente con "Encontrar mi iPhone" o "Encontrar mi dispositivo" de Google, (2) llama a tu operadora para bloquear la SIM, (3) cambia las contraseñas del correo y banca desde otro dispositivo, (4) revoca sesiones activas en tus cuentas principales y (5) denuncia el robo con el IMEI del terminal.

¿Puedo reclamar una indemnización si una empresa filtra mis datos?

Sí. El artículo 82 del RGPD reconoce el derecho a indemnización por daños materiales e inmateriales. Puedes reclamar directamente a la empresa, acudir a la AEPD para que investigue y sancione, y en última instancia demandar por la vía civil. Guarda todas las pruebas del perjuicio sufrido.

¿El uso de una red pública Wi-Fi puede provocar un robo de datos?

Puede facilitarlo si el atacante intercepta tráfico sin cifrar. La mejor protección es asegurarte de que todos los sitios que visitas usan HTTPS, activar DNS cifrado en tu navegador y evitar acceder a servicios sensibles (banca, correo profesional) desde redes abiertas cuando no sea imprescindible.

¿Qué diferencia hay entre robo de datos y suplantación de identidad?

El robo de datos es la obtención no autorizada de información. La suplantación de identidad es el paso siguiente: usar esos datos para hacerse pasar por ti (abrir cuentas, contratar servicios, cometer fraudes). Un robo puede no derivar en suplantación si reaccionas rápido y bloqueas los accesos.

Conclusión

Reaccionar ante un robo de datos exige rapidez, método y documentación. Las primeras 24 horas son decisivas para contener el daño, pero la recuperación completa se juega en las semanas siguientes: vigilancia bancaria, cambio de hábitos y refuerzo técnico. Ten preparado tu propio protocolo antes de necesitarlo —tener claras las herramientas, contactos y pasos te ahorrará el pánico cuando el incidente ocurra. Y recuerda: la prevención (contraseñas únicas, 2FA, copias de seguridad y servicios fiables) sigue siendo mucho más barata que la respuesta.