Robo de Datos: Cómo Reaccionar Rápidamente (Guía 2026)

Descubrir que alguien ha accedido a tus datos personales es una de las experiencias digitales más angustiosas. Cada minuto cuenta: entre el momento en que un atacante obtiene tus credenciales y el daño financiero o reputacional pueden pasar apenas unas horas. Esta guía te explica exactamente qué hacer, y en qué orden, cuando sospechas o confirmas un robo de datos.

¿Qué es un robo de datos y cómo detectarlo?

El robo de datos es el acceso, copia o uso no autorizado de información personal, financiera o profesional por parte de un tercero. Puede afectar a contraseñas, documentos de identidad, datos bancarios, correos privados o información de salud.

Señales típicas de que has sido víctima

Inicios de sesión desconocidos en Google, Microsoft, Apple o redes sociales desde ubicaciones extrañas.
Correos de restablecimiento de contraseña que no has solicitado.
Cargos no reconocidos en tu cuenta bancaria o tarjeta.
Mensajes salientes en WhatsApp, Instagram o email que tú no enviaste.
Notificaciones de verificación en dos pasos que no has pedido.
Avisos de servicios como Have I Been Pwned indicando que tu correo aparece en una filtración.
Tu móvil deja de recibir señal de repente (posible SIM swapping).

Las primeras 60 minutos: protocolo de emergencia

La ventana inicial es crítica. Un atacante que acaba de obtener acceso suele actuar en menos de una hora para monetizar la información. Sigue este orden sin saltarte pasos:

Desconecta el dispositivo comprometido de internet. Si crees que tu ordenador o móvil está infectado, corta Wi-Fi y datos para frenar la exfiltración.
Cambia la contraseña del correo principal primero. Es la llave maestra: controla los restablecimientos del resto de servicios.
Activa la verificación en dos pasos (2FA) en el correo si no la tenías, preferiblemente con app autenticadora (Authy, Aegis) y no por SMS.
Cierra todas las sesiones activas desde la configuración de seguridad (Gmail, Outlook y la mayoría de servicios permiten hacerlo).
Llama a tu banco y bloquea tarjetas si hay cualquier sospecha financiera. La mayoría de bancos españoles tienen líneas 24/7.
Anota todo: fechas, horas, correos sospechosos, capturas. Lo necesitarás para la denuncia.

Primeras 24 horas: contención completa

Una vez neutralizada la amenaza inmediata, toca ampliar el perímetro de seguridad y revisar servicios secundarios.

1. Cambia contraseñas en orden de prioridad

No cambies todas a la vez de forma desordenada. Sigue esta jerarquía:

Correos electrónicos (todos los que uses).
Banca online y PayPal, Bizum, Revolut, Wise.
Gestores de contraseñas (1Password, Bitwarden, LastPass).
Servicios con tarjeta guardada: Amazon, Apple ID, Google, Netflix.
Redes sociales e identidad pública.
Resto de servicios menores.

Usa contraseñas largas y únicas (16+ caracteres). Un gestor de contraseñas es imprescindible: nunca reutilices.

2. Revisa dispositivos autorizados

En Google, Apple, Microsoft, Facebook, Instagram y WhatsApp hay una sección que muestra qué dispositivos tienen sesión abierta. Elimina cualquiera que no reconozcas y cambia la contraseña después (no antes, para no alertar al atacante demasiado pronto).

3. Revisa reglas de reenvío de correo

Un truco clásico de los atacantes: configurar un reenvío automático de tu correo a una dirección propia. Entra en Gmail → Configuración → Reenvío y POP/IMAP, y en Outlook → Reglas, y elimina cualquier regla que no hayas creado tú.

4. Verifica tu móvil

Si sospechas que tu teléfono está comprometido, revisa aplicaciones instaladas recientemente, permisos de accesibilidad y uso de batería anómalo. Puedes consultar nuestra guía sobre cómo detectar malware en tu móvil para un diagnóstico completo.

Denuncia y notificación oficial en España

En España tienes derechos específicos bajo el RGPD y la LOPDGDD, y obligaciones si el robo afecta a datos de terceros (por ejemplo, si eres autónomo o empresa).

Dónde denunciar como particular

Organismo	Cuándo acudir	Cómo
Policía Nacional / Guardia Civil	Siempre que haya fraude, suplantación o pérdida económica	Denuncia presencial o por internet (con certificado digital)
Grupo de Delitos Telemáticos (GDT)	Casos complejos: ransomware, extorsión, hacking	gdt.guardiacivil.es
AEPD (Agencia Española de Protección de Datos)	Si una empresa ha perdido tus datos o los usa indebidamente	aepd.es, sede electrónica
INCIBE (017)	Asesoramiento gratuito, no denuncia formal	Teléfono 017 o incibe.es
Banco	Fraude en cuenta o tarjeta	Línea 24/7 + reclamación por escrito

Obligaciones si eres empresa o autónomo

Si gestionas datos de clientes y sufres una brecha, el RGPD te obliga a:

Notificar a la AEPD en un plazo máximo de 72 horas desde que tuviste conocimiento del incidente.
Informar a los afectados si existe un riesgo alto para sus derechos y libertades.
Documentar la brecha en un registro interno, aunque no sea notificable.

Las sanciones por no notificar pueden alcanzar los 10 millones de euros o el 2% de la facturación anual global.

Recuperación financiera: cómo responder al banco

La normativa europea (PSD2) te protege en caso de operaciones no autorizadas, pero debes actuar correctamente para que te devuelvan el dinero.

Notifica al banco sin demora injustificada, en todo caso antes de 13 meses desde el cargo.
Pide por escrito la devolución: el banco debe reembolsar "de inmediato" las operaciones no autorizadas, salvo que demuestre fraude o negligencia grave del cliente.
No admitas negligencia si no la ha habido. Caer en un phishing bien hecho no es negligencia grave.
Si el banco se niega, acude al Servicio de Reclamaciones del Banco de España tras agotar la vía interna (SAC).

Suplantación de identidad: pasos específicos

Si han usado tus datos para abrir cuentas, pedir préstamos o firmar contratos en tu nombre, el procedimiento se amplía:

1. Solicita informes de solvencia

Pide gratuitamente tu informe en ASNEF-Equifax, Experian y BADEXCUG. Comprobarás si hay deudas falsas asociadas a tu DNI.

2. Comunica a las entidades implicadas

Envía burofax a bancos, operadoras o empresas que hayan dado un servicio al estafador. Adjunta copia de la denuncia policial. Por ley, deben cancelar el contrato y eliminarte de ficheros de morosidad si demuestras la suplantación.

3. Reclama ante la AEPD

Si una empresa se niega a eliminar tus datos tras la suplantación, puedes presentar reclamación. La AEPD suele resolver en favor del afectado cuando hay denuncia previa.

Qué NO hacer tras un robo de datos

No pagues rescates en casos de ransomware o sextorsión. Rara vez cumplen y te marcan como objetivo repetible.
No borres pruebas: correos sospechosos, mensajes, logs. Son clave para la investigación.
No formatees el equipo comprometido antes de que un perito lo analice si el caso es grave.
No respondas al atacante ni intentes negociar por tu cuenta.
No reutilices la contraseña filtrada en ningún otro servicio, aunque la modifiques ligeramente.

Prevención: reduce la probabilidad de volver a sufrirlo

Tras un incidente conviene revisar la higiene digital global, no solo parchear el agujero concreto.

Checklist de endurecimiento

Gestor de contraseñas con contraseñas únicas de 16+ caracteres.
2FA con app autenticadora en todos los servicios críticos.
Llaves físicas de seguridad (YubiKey) para correo y banca si gestionas información sensible.
Correo distinto para registros públicos y para servicios críticos (banca).
DNS cifrado (DoH o DoT) en el navegador y router para evitar interceptación.
Actualizaciones automáticas activadas en todos los dispositivos.
Copias de seguridad cifradas y desconectadas (regla 3-2-1).
Revisión mensual en Have I Been Pwned.
Minimizar la exposición pública de tu correo real. Para enlaces compartidos o formularios, servicios como Lunyb permiten acortar y gestionar URLs sin filtrar datos personales ni rastreo invasivo.

Reduce tu huella digital

Cuanta menos información tuya circule, menor es la superficie de ataque. Revisa qué datos tuyos están expuestos y a qué precio se venden en el mercado negro consultando nuestro análisis sobre cuánto vale tu información personal online.

Casos especiales

SIM swapping

Si tu móvil pierde señal de forma súbita y permanente, llama inmediatamente a tu operadora desde otro teléfono. Pide bloquear la línea y pregunta si se ha solicitado un duplicado de SIM. Después, cambia contraseñas y revoca sesiones. Denuncia como fraude.

Robo de datos corporativos siendo empleado

Notifica al CISO o responsable de seguridad de tu empresa antes que a nadie. No intentes contener el incidente por tu cuenta: podrías destruir pruebas o incumplir el protocolo interno.

Menores afectados

Si los datos robados pertenecen a un menor, los padres o tutores pueden ejercer derechos ante la AEPD. INCIBE dispone de la línea de ayuda 017 Menores especializada.

Herramientas útiles para el proceso

Herramienta	Para qué sirve	Coste
Have I Been Pwned	Comprobar si tu email está en filtraciones	Gratis
Bitwarden / 1Password	Gestor de contraseñas	Gratis / 3€ mes
Aegis / Authy	App de 2FA	Gratis
YubiKey	Llave física de seguridad	50-70€
INCIBE 017	Asesoramiento gratuito	Gratis
AEPD Canal Prioritario	Retirada urgente de contenido sensible	Gratis

Preguntas frecuentes

¿Cuánto tiempo tengo para denunciar un robo de datos?

No hay un plazo rígido para denunciar penalmente, pero cuanto antes, mejor para la investigación. Para reclamar operaciones bancarias no autorizadas tienes hasta 13 meses. Si eres empresa y pierdes datos de terceros, la AEPD debe ser notificada en 72 horas.

¿La policía realmente investiga los ciberdelitos pequeños?

Sí, aunque los casos menores suelen agruparse en investigaciones mayores. Aun cuando no haya identificación del autor, la denuncia es imprescindible para reclamar al banco, cancelar deudas de suplantación y ejercer tus derechos ante la AEPD. Nunca des por perdida la denuncia por ser el importe pequeño.

¿Debo contratar un abogado tras un robo de datos?

Para casos sencillos (fraude en tarjeta, filtración de contraseña) no es necesario: INCIBE y la AEPD orientan gratuitamente. Para suplantaciones complejas con deudas, préstamos a tu nombre o impacto reputacional serio, un abogado especializado en derecho digital acelera y refuerza la reclamación.

¿Pueden robarme datos solo por hacer clic en un enlace?

En la mayoría de los casos, un simple clic no roba datos directamente: lleva a una web fraudulenta que intenta engañarte para que introduzcas credenciales o descargues algo. Sin embargo, existen exploits (zero-click, drive-by downloads) que sí pueden comprometer un dispositivo desactualizado. Mantén el sistema al día y usa acortadores con detección de enlaces maliciosos como Lunyb cuando compartas URLs.

¿Qué hago si el robo viene de una empresa a la que di mis datos?

Primero, exige por escrito a esa empresa información sobre la brecha (están obligadas a informarte si hay riesgo alto). Después, presenta una reclamación ante la AEPD aportando la comunicación recibida o las pruebas del uso indebido. Puedes reclamar indemnización por daños y perjuicios conforme al artículo 82 del RGPD si demuestras un perjuicio concreto.

Resumen final: la rapidez marca la diferencia entre un susto y un desastre. Memoriza las tres primeras acciones (desconectar, cambiar contraseña del correo, llamar al banco) y guarda esta guía en un sitio accesible. Un buen plan de reacción, combinado con buenos hábitos preventivos, convierte el robo de datos en un incidente manejable en lugar de un problema que te persiga durante años.