Robo de Datos: Cómo Reaccionar Rápidamente (Guía 2026)

Descubrir que tus datos personales han sido robados es una experiencia angustiante. Ya sea por una filtración masiva en una empresa, un ataque de phishing exitoso o malware en tu dispositivo, los minutos y horas posteriores son críticos. Una reacción rápida y ordenada puede marcar la diferencia entre un susto controlado y un daño financiero o reputacional grave.

En esta guía te explicamos, paso a paso, cómo actuar cuando sospechas o confirmas un robo de datos, qué obligaciones legales existen bajo el RGPD y la AEPD, y cómo blindarte frente a futuros incidentes.

¿Qué se considera robo de datos?

El robo de datos es el acceso no autorizado, copia, exfiltración o uso indebido de información personal, financiera o corporativa por parte de un tercero. Puede afectar a particulares (cuentas bancarias, redes sociales, correo) o a empresas (bases de datos de clientes, propiedad intelectual).

Según el Reglamento General de Protección de Datos (RGPD), cualquier incidente que comprometa la confidencialidad, integridad o disponibilidad de datos personales se considera una brecha de seguridad, con obligaciones de notificación específicas.

Tipos más frecuentes de robo de datos

Filtraciones de bases de datos: una empresa sufre un ataque y se exponen millones de registros.
Phishing: entregas tus credenciales a una web falsa que suplanta a tu banco o proveedor.
Malware e infostealers: programas maliciosos que roban contraseñas guardadas, cookies y datos del navegador.
Robo físico: pérdida o sustracción de un portátil, móvil o pendrive sin cifrar.
Ingeniería social: alguien se hace pasar por soporte técnico y obtiene acceso remoto o códigos de verificación.
Acceso interno malintencionado: empleados o excolaboradores con credenciales activas.

Señales de alerta: ¿cómo saber si han robado tus datos?

No siempre recibirás un aviso oficial. Estas son las señales más habituales de que algo va mal:

Correos de "inicio de sesión desde dispositivo desconocido" en servicios que no has usado.
Códigos de verificación por SMS que no has solicitado.
Cargos pequeños y extraños en tu tarjeta (los ciberdelincuentes prueban con importes bajos antes de los grandes).
Amigos o contactos que reciben mensajes raros desde tus cuentas.
Tu correo aparece en servicios como Have I Been Pwned asociado a una filtración.
Caídas de rendimiento, procesos extraños o antivirus deshabilitado en tu equipo.
Cambios de contraseña o de datos de recuperación que no has hecho tú.

Los 10 pasos inmediatos tras un robo de datos

Si confirmas o sospechas firmemente que tus datos han sido comprometidos, sigue esta secuencia. El orden importa: primero contener, luego evaluar, después notificar.

Mantén la calma y documenta. Haz capturas de pantalla de correos sospechosos, cargos, mensajes y cualquier evidencia. Las necesitarás para denuncias y reclamaciones.
Desconecta el dispositivo afectado. Si crees que hay malware, desconéctalo de la red (Wi-Fi, cable, datos móviles) para frenar la exfiltración.
Cambia las contraseñas críticas desde un dispositivo limpio. Empieza por correo electrónico principal, banca, trabajo y gestor de contraseñas. Nunca lo hagas desde el equipo comprometido.
Activa la verificación en dos pasos (2FA). Preferiblemente con app autenticadora (Authy, Aegis, 1Password) o llave física, no por SMS.
Cierra sesiones activas. La mayoría de servicios (Google, Microsoft, Meta) permiten expulsar todos los dispositivos conectados desde los ajustes de seguridad.
Contacta con tu banco. Si hay datos financieros implicados, bloquea tarjetas, revisa movimientos y solicita emisión de nuevas. Activa alertas de operaciones.
Revisa accesos autorizados. En tus cuentas, revoca aplicaciones de terceros, tokens API y permisos OAuth que no reconozcas.
Escanea el dispositivo. Usa un antivirus actualizado (Microsoft Defender, Malwarebytes, ESET). Si el ataque fue grave, considera formatear y reinstalar el sistema.
Denuncia ante las autoridades. Policía Nacional, Guardia Civil (GDT) o INCIBE (017). La denuncia es clave para posibles reclamaciones al seguro o al banco.
Notifica a quien corresponda. Si eres empresa o responsable del tratamiento, debes avisar a la AEPD en 72 horas (ver siguiente sección).

Obligaciones legales: RGPD y AEPD

Si gestionas datos personales de terceros (clientes, empleados, usuarios) y sufres una brecha, el RGPD te impone obligaciones concretas. Ignorarlas puede acarrear sanciones de hasta el 4% de la facturación anual global.

Plazos y destinatarios

Acción	Plazo	Destinatario
Notificación de brecha	72 horas desde la detección	Agencia Española de Protección de Datos (AEPD)
Comunicación a afectados	Sin dilación indebida (si hay alto riesgo)	Interesados cuyos datos se vieron comprometidos
Registro interno de incidente	Inmediato	Registro interno de brechas (obligatorio)
Denuncia penal	Lo antes posible	Policía, Guardia Civil o Juzgado

Qué debe incluir la notificación a la AEPD

Descripción de la naturaleza de la brecha y categorías de datos afectados.
Número aproximado de interesados y registros comprometidos.
Datos de contacto del Delegado de Protección de Datos (DPD/DPO).
Consecuencias probables de la brecha.
Medidas adoptadas o propuestas para mitigar los efectos.

La AEPD dispone de un formulario electrónico específico para notificar brechas en su sede electrónica. No esperar a tener toda la información: puedes notificar por fases.

Si eres particular: medidas específicas de recuperación

Más allá de los pasos técnicos, hay acciones de recuperación personal que conviene no olvidar:

Protege tu identidad digital

Alerta a tu círculo: avisa a familiares y contactos de que podrías estar siendo suplantado para que ignoren mensajes sospechosos.
Monitoriza tu nombre: configura alertas de Google con tu nombre y correo para detectar menciones indebidas.
Revisa tu historial crediticio: solicita a ASNEF o al Banco de España información sobre posibles préstamos o impagos a tu nombre.
Consulta Have I Been Pwned: introduce tu correo en haveibeenpwned.com para ver en qué filtraciones apareces.

Si han suplantado tu identidad

En caso de suplantación (apertura de líneas móviles, contratos, cuentas bancarias a tu nombre):

Denuncia inmediatamente en comisaría con todas las evidencias.
Comunícalo por burofax al operador o entidad implicada para dejar constancia fehaciente.
Presenta reclamación ante la AEPD si la empresa no retira tus datos.
Consulta con un abogado especializado si hay daño económico o reputacional.

Prevención: cómo evitar un próximo robo de datos

La mejor reacción es la que no tienes que ejecutar. Estas son las medidas preventivas más eficaces, ordenadas por impacto:

1. Usa un gestor de contraseñas

Reutilizar contraseñas es la causa número uno de robos en cadena: una filtración en un foro de hace diez años puede abrirte el correo hoy. Un gestor de contraseñas genera credenciales únicas y robustas para cada servicio y las guarda cifradas.

Si no sabes por dónde empezar, consulta nuestras comparativas: Mejores Gestores de Contraseñas 2026 y Mejor Gestor de Contraseñas en Español 2026.

2. Activa 2FA en todo lo importante

La verificación en dos pasos detiene el 99% de los intentos de acceso con credenciales robadas, según datos de Microsoft. Prioriza:

Correo electrónico principal (es la llave maestra para recuperar todo lo demás).
Banca y pasarelas de pago (PayPal, Bizum vinculado).
Redes sociales con audiencia o reputación.
Servicios en la nube con documentos sensibles.
Panel de tu dominio y proveedor de hosting.

3. Mantén el software actualizado

Sistemas operativos, navegadores, antivirus y plugins deben estar al día. Muchas brechas aprovechan vulnerabilidades conocidas y ya parcheadas que nadie se molestó en instalar.

4. Cifra tus dispositivos

Activa BitLocker (Windows), FileVault (macOS) o cifrado nativo en Android/iOS. Si pierdes el dispositivo, los datos no serán legibles sin la clave.

5. Desconfía de los enlaces

El phishing sigue siendo el vector principal de robo. Antes de hacer clic en un enlace acortado, pasa el ratón por encima para ver el destino real o utiliza herramientas de previsualización. Plataformas como Lunyb incorporan protección anti-malware y análisis de enlaces maliciosos en sus funciones de seguridad, lo que ayuda tanto a quien comparte URLs como a quien las recibe.

Si gestionas campañas o enlaces compartidos a gran escala, revisa también la mejor plataforma de gestión de enlaces de 2026 para elegir una con controles de seguridad adecuados.

6. Haz copias de seguridad

La regla 3-2-1: tres copias de tus datos, en dos soportes distintos, con una fuera de tu ubicación habitual (por ejemplo, en la nube cifrada). Si sufres un ransomware, podrás restaurar sin pagar rescates.

7. Minimiza los datos que compartes

Cada formulario que rellenas, cada registro en una web nueva, es una puerta más que puede filtrarse. Pregúntate si realmente necesitas crear esa cuenta o si basta con un acceso de invitado.

Checklist rápido: qué hacer en los primeros 60 minutos

Guarda esta lista a mano. Si detectas un incidente, estos son los primeros 60 minutos ideales:

Minuto	Acción
0-5	Capturar evidencias (pantallazos, correos, cargos).
5-10	Desconectar dispositivo sospechoso de la red.
10-20	Cambiar contraseña del correo principal desde otro equipo.
20-30	Activar 2FA y cerrar sesiones remotas.
30-40	Bloquear tarjetas y avisar al banco si procede.
40-50	Revisar aplicaciones conectadas y revocar las sospechosas.
50-60	Iniciar denuncia (017 INCIBE / comisaría) y, si eres empresa, preparar notificación a la AEPD.

Errores comunes que empeoran el problema

Cambiar contraseñas desde el dispositivo infectado: el malware captura las nuevas al instante.
Pagar rescates sin asesoramiento: no garantiza recuperar los datos y financia nuevos ataques.
Borrar evidencias por nerviosismo: dificulta la investigación policial y las reclamaciones.
No avisar a los afectados: incumple el RGPD y multiplica el daño.
Confiar únicamente en el antivirus gratuito preinstalado frente a amenazas avanzadas.
Posponer la notificación a la AEPD esperando a tener "todos los detalles": superar las 72 horas agrava sanciones.

Preguntas frecuentes

¿Qué hago si solo sospecho que me han robado datos pero no estoy seguro?

Actúa como si fuera real. Cambia las contraseñas más críticas (correo, banca), activa 2FA y revisa inicios de sesión recientes. El coste de una falsa alarma es mínimo; el de ignorar un robo real puede ser enorme.

¿Cuánto tarda la AEPD en responder a una denuncia por robo de datos?

La AEPD acusa recibo de forma inmediata, pero una investigación formal puede durar entre 6 y 12 meses según la complejidad. Mientras tanto, debes seguir mitigando el incidente por tu cuenta y conservar todas las evidencias.

¿Puedo reclamar una indemnización si han filtrado mis datos?

Sí. El RGPD reconoce el derecho a indemnización por daños materiales e inmateriales (incluido el daño moral). Puedes reclamar directamente al responsable del tratamiento o acudir a la vía judicial, especialmente si hay asociaciones de consumidores involucradas en demandas colectivas.

¿Es obligatorio denunciar un robo de datos ante la policía?

Para particulares no es obligatorio, pero sí altamente recomendable: la denuncia es requisito para muchas reclamaciones bancarias y de seguros. Para empresas, la notificación a la AEPD sí es obligatoria en las primeras 72 horas si hay riesgo para los afectados.

¿Cómo sé si una web o enlace es seguro antes de hacer clic?

Verifica el dominio real (no te fíes solo del texto visible), comprueba que use HTTPS con certificado válido y, si es un enlace acortado, utiliza servicios con análisis de seguridad integrado o herramientas de previsualización. Desconfía de urgencias, premios inesperados y faltas de ortografía en los mensajes.

Conclusión

Reaccionar bien ante un robo de datos no es cuestión de suerte, sino de preparación. Tener claro el orden de acciones —contener, documentar, notificar, recuperar— y haber adoptado medidas preventivas básicas (gestor de contraseñas, 2FA, copias de seguridad) convierte una potencial catástrofe en un incidente manejable.

Dedica hoy mismo quince minutos a revisar las contraseñas de tus cuentas más importantes y a activar la verificación en dos pasos. Tu yo del futuro te lo agradecerá.