Robo de Datos: Cómo Reaccionar Rápidamente y Minimizar el Daño

Descubrir que tus datos personales han sido robados genera una mezcla inmediata de pánico, incertidumbre y frustración. Ya sea una filtración masiva de una empresa en la que confiabas, un ataque de phishing exitoso o el acceso no autorizado a tus cuentas, las primeras horas tras un incidente son críticas para contener el daño. Reaccionar rápido y con método marca la diferencia entre un susto gestionable y un problema que puede arrastrarse durante años.

En esta guía encontrarás un protocolo claro para actuar ante un robo de datos, qué derechos te amparan según el RGPD, cómo notificar a la AEPD cuando corresponde y qué medidas preventivas conviene adoptar para que no vuelva a suceder.

Qué se considera robo de datos

El robo de datos es cualquier acceso, copia, transferencia o uso no autorizado de información personal, financiera o profesional sin el consentimiento del titular. Incluye desde la sustracción de credenciales de acceso hasta la exfiltración de bases de datos completas por parte de ciberdelincuentes.

Tipos más frecuentes

Filtración empresarial: una compañía sufre una brecha y expone datos de clientes.
Phishing: consigues entregar credenciales creyendo que accedes a un servicio legítimo.
Malware e infostealers: software malicioso que extrae contraseñas, cookies y datos bancarios.
Suplantación de SIM (SIM swapping): el atacante duplica tu tarjeta para interceptar SMS de verificación.
Robo físico: pérdida o sustracción de un dispositivo sin cifrar.

Señales de que tus datos han sido robados

Identificar un robo de datos cuanto antes es esencial. Algunas señales son evidentes, otras pasan desapercibidas durante semanas.

Inicios de sesión desde ubicaciones o dispositivos desconocidos en tus cuentas.
Correos de restablecimiento de contraseña que no solicitaste.
Cargos no reconocidos en tu cuenta bancaria o tarjeta.
Avisos de verificación en dos pasos que no has pedido.
Mensajes de contactos indicando que reciben spam desde tu cuenta.
Pérdida repentina de cobertura móvil (posible SIM swapping).
Notificación oficial de brecha de seguridad por parte de un servicio.

Puedes comprobar si tu correo aparece en filtraciones públicas usando servicios como Have I Been Pwned, que indexan brechas conocidas.

Protocolo de reacción inmediata en las primeras 24 horas

El tiempo es el factor más crítico. Cuanto antes actúes, menor será la superficie de ataque disponible para el delincuente. Sigue este orden:

Cambia la contraseña de la cuenta comprometida desde un dispositivo que consideres limpio. Usa una contraseña única y robusta.
Activa la verificación en dos pasos (preferiblemente con app de autenticación, no SMS).
Cierra sesión en todos los dispositivos desde la configuración de la cuenta.
Revisa accesos recientes y dispositivos vinculados. Elimina los que no reconozcas.
Comprueba reglas de reenvío de correo: los atacantes suelen crear reglas para desviar mensajes a su buzón.
Cambia contraseñas de cuentas vinculadas: si usabas la misma clave en varios sitios, todos están comprometidos.
Notifica a tu banco si hay riesgo financiero y bloquea tarjetas si es necesario.
Avisa a tus contactos si el atacante podría suplantarte para pedir dinero o información.

Qué hacer si han robado datos bancarios

Llama inmediatamente al teléfono de incidencias de tu banco (suele estar en el reverso de la tarjeta) y solicita el bloqueo. Revisa movimientos de los últimos tres meses y disputa cualquier cargo fraudulento. La normativa europea PSD2 obliga a las entidades a devolver los importes de operaciones no autorizadas en la mayoría de los casos, siempre que no haya habido negligencia grave por tu parte.

Cómo denunciar un robo de datos en España

Denunciar formalmente el incidente es importante tanto para proteger tus derechos como para dejar constancia por si surgen consecuencias posteriores (suplantación, deudas fraudulentas, etc.).

Dónde presentar la denuncia

Policía Nacional o Guardia Civil: presenta denuncia en comisaría o a través de la Oficina Virtual de Denuncias si no hay violencia. La Guardia Civil cuenta con el Grupo de Delitos Telemáticos y la Policía Nacional con la Unidad Central de Ciberdelincuencia.
Agencia Española de Protección de Datos (AEPD): puedes presentar una reclamación en sede.aepd.gob.es si una empresa ha gestionado mal tus datos o no te ha notificado una brecha.
INCIBE: el Instituto Nacional de Ciberseguridad ofrece la Línea de Ayuda 017, gratuita y confidencial, con asesoramiento técnico y legal.

Documentación que conviene aportar

Capturas de pantalla de correos sospechosos, cargos no reconocidos o mensajes.
Direcciones URL y dominios implicados.
Fechas y horas aproximadas de los incidentes.
Cualquier comunicación recibida de la empresa afectada.

Obligaciones de las empresas según el RGPD

El Reglamento General de Protección de Datos impone obligaciones estrictas a cualquier organización que sufra una brecha. Conocer tus derechos te ayudará a exigir responsabilidades.

Obligación	Plazo	Destinatario
Notificación de brecha a la autoridad	72 horas desde el conocimiento	AEPD
Notificación a los afectados	Sin dilación indebida (si hay alto riesgo)	Usuarios cuyos datos se vieron comprometidos
Registro interno del incidente	Inmediato	Documentación interna de la empresa
Medidas correctoras	Lo antes posible	Sistemas afectados

Si una empresa no te ha informado de una brecha y descubres por otros medios que tus datos están circulando, puedes presentar una reclamación ante la AEPD. Las sanciones pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global.

Cómo recuperar cuentas secuestradas

Si el atacante ya ha cambiado tu contraseña y el método de recuperación, tendrás que seguir los procesos específicos de cada plataforma.

Google

Accede a g.co/recover. Google pedirá contestar preguntas de seguridad, confirmar dispositivos antiguos y, en casos complejos, revisar la cuenta durante varios días.

Microsoft

Utiliza el formulario de recuperación en account.live.com/acsr. Prepara información sobre contactos recientes, asuntos de correos enviados y servicios asociados a la cuenta.

Redes sociales

Instagram, Facebook y X tienen flujos específicos para cuentas hackeadas. Reporta el acceso no autorizado y aporta documento de identidad si lo solicitan.

Banca online

La única vía válida es llamar directamente al banco. Nunca uses enlaces recibidos por SMS o correo tras el incidente, ya que suelen ser intentos de phishing secundarios aprovechando tu alarma.

Riesgos a medio plazo tras un robo de datos

Un robo de datos no termina cuando recuperas la cuenta. Los delincuentes suelen vender la información en mercados clandestinos y reutilizarla meses después.

Suplantación de identidad

Con DNI, dirección y teléfono, un atacante puede contratar servicios, pedir microcréditos o abrir líneas móviles a tu nombre. Revisa periódicamente ficheros de morosidad como ASNEF y solicita tu informe gratuito al Banco de España (CIR) para detectar operaciones sospechosas.

Phishing dirigido (spear phishing)

Al disponer de datos reales sobre ti, los correos fraudulentos serán mucho más creíbles. Desconfía de mensajes que mencionen información personal auténtica para generar confianza.

Fraudes telefónicos

Llamadas haciéndose pasar por tu banco, compañía eléctrica o Hacienda. Nunca facilites códigos de verificación por teléfono, por mucha urgencia que transmita el interlocutor.

Medidas preventivas para evitar futuros robos

Después de recuperarte de un incidente, es el momento ideal para reforzar tu higiene digital. Estas prácticas reducen drásticamente la probabilidad de volver a sufrir un robo de datos.

Gestor de contraseñas

Usa un gestor como Bitwarden, 1Password o KeePass para generar contraseñas únicas y largas en cada servicio. Reutilizar contraseñas es la causa principal de que una brecha en un sitio acabe comprometiendo decenas de cuentas.

Verificación en dos pasos con app

Prefiere apps como Aegis, Authy o Google Authenticator frente a los SMS, vulnerables a SIM swapping. Para cuentas críticas, considera llaves físicas FIDO2 como YubiKey.

Correos y alias desechables

Usa alias de correo (SimpleLogin, DuckDuckGo Email Protection) para registros no esenciales. Si un alias se filtra, lo desactivas sin afectar al resto.

Revisión periódica de permisos

Cada tres meses, revisa qué aplicaciones de terceros tienen acceso a tus cuentas de Google, Microsoft o redes sociales. Revoca las que ya no uses.

Enlaces seguros al compartir contenido

Al compartir enlaces en redes o campañas, utiliza un acortador que ofrezca protección contra malware, control de clics y, si lo necesitas, protección por contraseña. Herramientas como Lunyb permiten acortar URLs manteniendo visibilidad sobre quién accede y detectando patrones anómalos. Si quieres profundizar en la elección de una plataforma segura, consulta nuestro análisis de la mejor plataforma de gestión de enlaces en 2026.

Protección en el móvil

El teléfono concentra correo, banca y autenticación. Mantén el sistema actualizado, instala apps solo de tiendas oficiales y revisa periódicamente los permisos concedidos. Si sospechas de infección, consulta nuestra guía para detectar malware en el móvil.

Checklist resumen: tu plan de acción

Fase	Acción clave	Prioridad
Minutos 0-30	Cambiar contraseña + activar 2FA + cerrar sesiones	Crítica
Primera hora	Avisar al banco si hay riesgo financiero	Crítica
Primeras 24 h	Revisar cuentas vinculadas y reglas de correo	Alta
Primera semana	Denuncia policial y reclamación AEPD si procede	Alta
Primer mes	Monitorizar movimientos bancarios y ASNEF	Media
Permanente	Gestor de contraseñas y revisiones periódicas	Media

Errores comunes al reaccionar

Pagar un supuesto rescate a quien dice tener tus datos: alimenta la extorsión y rara vez cumple.
Hacer clic en enlaces de correos de alerta tras el incidente: muchos son phishing que explotan tu nerviosismo.
Reutilizar la contraseña antigua con pequeñas modificaciones: los atacantes prueban variantes.
No notificar a familiares o compañeros: pueden ser el siguiente objetivo mediante suplantación.
Confiar únicamente en antivirus gratuitos: complementa con buenas prácticas y actualizaciones.

FAQ: Preguntas frecuentes sobre robo de datos

¿Cuánto tiempo tengo para denunciar un robo de datos?

No existe un plazo máximo estricto para la denuncia penal, pero cuanto antes la presentes, mejor se podrán conservar las pruebas digitales. Para reclamaciones ante la AEPD contra una empresa, el plazo general es de un año desde que tuviste conocimiento de los hechos, aunque conviene actuar cuanto antes.

¿Puedo reclamar indemnización si una empresa filtra mis datos?

Sí. El artículo 82 del RGPD reconoce el derecho a indemnización por daños materiales e inmateriales derivados de una infracción. Puedes reclamarlo por vía civil, aportando pruebas del perjuicio sufrido (daño moral, gastos, suplantación, etc.).

¿Cómo sé si mi contraseña está en una filtración?

Servicios como Have I Been Pwned permiten comprobar si tu correo aparece en brechas conocidas. Muchos gestores de contraseñas (Bitwarden, 1Password) incluyen monitorización automática y te avisan si una credencial guardada aparece filtrada.

¿Es obligatorio avisar a mis contactos si me han hackeado?

Legalmente no, pero éticamente sí es recomendable. Si el atacante tiene acceso a tu correo o mensajería, podría enviar peticiones de dinero o enlaces maliciosos suplantándote. Un aviso rápido evita que caigan en el engaño.

¿Qué hago si han duplicado mi tarjeta SIM?

Contacta inmediatamente con tu operadora para bloquear la línea duplicada y recuperar la titularidad. Después, cambia las contraseñas de servicios que usaran tu número para verificación y migra la autenticación en dos pasos a una app en lugar de SMS. Denuncia los hechos ante la Policía o Guardia Civil aportando el histórico de la operadora.

Reaccionar rápido ante un robo de datos no elimina el problema, pero reduce su alcance de forma drástica. Documenta cada paso que das, apóyate en los recursos oficiales como INCIBE y la AEPD, y aprovecha el incidente para construir una higiene digital más robusta de cara al futuro.