Robo de Datos: Cómo Reaccionar Rápidamente (Guía 2026)

Descubrir que tus datos personales o los de tu empresa han sido comprometidos genera pánico, pero las primeras 24 horas son decisivas. Actuar con método —no con prisa— puede marcar la diferencia entre un incidente controlado y una crisis con consecuencias legales, financieras y de reputación. Esta guía te explica, paso a paso, cómo reaccionar ante un robo de datos, cumplir con el RGPD y minimizar el daño.

¿Qué se considera un robo de datos?

Un robo de datos es cualquier acceso, obtención o extracción no autorizada de información personal, financiera o confidencial. Puede afectar a un individuo (por ejemplo, credenciales bancarias sustraídas mediante phishing) o a una organización (una filtración masiva de una base de datos de clientes).

Bajo el Reglamento General de Protección de Datos (RGPD) y la LOPDGDD española, este tipo de incidente se cataloga como una "violación de la seguridad de los datos personales" y activa obligaciones legales concretas, especialmente para responsables y encargados del tratamiento.

Tipos habituales de robo de datos

Phishing y smishing: engaños por correo o SMS que roban credenciales.
Malware e infostealers: programas que extraen contraseñas y cookies guardadas.
Ataques a bases de datos: inyecciones SQL o accesos por credenciales filtradas.
Ingeniería social: suplantación de identidad para obtener información.
Pérdida o robo de dispositivos: portátiles o móviles sin cifrado.
Filtraciones internas: empleados que exfiltran información.

Señales de que has sufrido un robo de datos

Detectar el incidente pronto es clave. Estas son las señales de alerta más habituales:

Recibes notificaciones de inicio de sesión desde ubicaciones desconocidas.
Aparecen cargos no reconocidos en tu cuenta bancaria o tarjetas.
Tus contactos reciben mensajes que no has enviado.
No puedes acceder a tus cuentas habituales (contraseña cambiada).
Servicios como Have I Been Pwned te avisan de que tu email aparece en una filtración.
Tu equipo se comporta de forma extraña: lentitud, ventanas emergentes, procesos desconocidos.
Recibes correos de restablecimiento de contraseña que no has solicitado.

Primeras 24 horas: cómo reaccionar ante un robo de datos

Las primeras horas tras detectar el incidente son las más críticas. Sigue este protocolo ordenado en lugar de actuar de forma impulsiva.

Paso 1: Contener el incidente

Desconecta el dispositivo afectado de la red (Wi-Fi y cable) pero no lo apagues aún: perderías evidencias volátiles.
Si es un ataque en curso a una empresa, aísla los sistemas comprometidos del resto de la infraestructura.
Revoca sesiones activas en las cuentas afectadas desde otro dispositivo limpio.

Paso 2: Cambiar contraseñas con criterio

No cambies las contraseñas desde el mismo dispositivo comprometido. Usa otro equipo limpio y prioriza en este orden:

Correo electrónico principal (es la llave maestra para recuperar el resto).
Banca online y pasarelas de pago.
Redes sociales y cuentas profesionales.
Cualquier servicio que compartiera contraseña con la cuenta comprometida.

Activa la autenticación en dos factores (2FA) en cada una, preferiblemente con una app tipo Authy o Google Authenticator en lugar de SMS.

Paso 3: Notificar a las entidades implicadas

Banco: bloquea tarjetas, revisa movimientos y solicita nuevas tarjetas si es necesario.
Proveedores de servicio: avisa a las plataformas afectadas para que investiguen accesos anómalos.
Empresa u organización: si el incidente afecta a un entorno laboral, informa a tu responsable de seguridad de inmediato.

Paso 4: Documentar todo

Guarda capturas de pantalla, correos sospechosos, marcas de tiempo, direcciones IP y cualquier evidencia. Esta documentación será imprescindible para denunciar y, en caso de empresa, para cumplir con la notificación al regulador.

Obligaciones legales bajo el RGPD

Si eres responsable de tratamiento (empresa, autónomo o entidad) y se ha producido una brecha de seguridad, el RGPD te impone plazos y procedimientos estrictos.

Notificación a la AEPD en 72 horas

El artículo 33 del RGPD obliga a notificar la brecha a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde que se tiene conocimiento, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas.

La notificación se realiza a través del formulario de comunicación de brechas de la AEPD e incluye:

Naturaleza de la violación y categorías de datos afectados.
Número aproximado de interesados y registros afectados.
Consecuencias probables y medidas adoptadas.
Datos de contacto del Delegado de Protección de Datos (DPD).

Comunicación a las personas afectadas

Cuando la brecha suponga un alto riesgo para los derechos y libertades de los afectados (art. 34 RGPD), debes comunicárselo directamente sin dilación indebida, en un lenguaje claro y sencillo, indicando qué ha pasado y qué medidas pueden tomar.

Registro interno de la brecha

Aunque no notifiques a la AEPD (porque el riesgo es bajo), estás obligado a documentar internamente todos los incidentes en el registro de brechas.

Tabla resumen: qué hacer según el tipo de incidente

Tipo de incidente	Acción inmediata	Plazo crítico	¿Notificar a la AEPD?
Contraseña personal filtrada	Cambiar contraseña + activar 2FA	Menos de 1 hora	No aplica (particular)
Tarjeta bancaria robada	Bloquear tarjeta + denunciar	Inmediato	Solo si es empresa
Base de datos de clientes filtrada	Contener, investigar, documentar	72 horas	Sí, obligatorio
Ransomware con exfiltración	Aislar sistemas + activar plan de crisis	72 horas	Sí, siempre
Portátil de empresa robado (sin cifrar)	Bloquear cuentas + revocar accesos	72 horas	Sí, muy probable

Cómo denunciar el robo de datos en España

Además de las obligaciones administrativas, en muchos casos el robo de datos constituye un delito penal tipificado en los artículos 197 y siguientes del Código Penal.

Dónde presentar la denuncia

Grupo de Delitos Telemáticos de la Guardia Civil: para incidentes técnicos como intrusiones, malware o fraude online.
Brigada Central de Investigación Tecnológica (Policía Nacional): alternativa igualmente competente.
Comisaría o cuartel más cercano: puedes presentar denuncia presencial en cualquier momento.
INCIBE (Instituto Nacional de Ciberseguridad): aunque no denuncia, ofrece asesoramiento gratuito a través del 017.

Qué aportar en la denuncia

Capturas de los mensajes, correos o webs fraudulentas.
Extractos bancarios con los cargos irregulares.
Registros de acceso, direcciones IP o URLs implicadas.
Cualquier comunicación con el atacante (por ejemplo, notas de rescate).

Recuperación y limpieza tras el incidente

Superada la fase de urgencia, hay que reconstruir la seguridad para evitar recaídas.

Limpieza técnica

Analiza los dispositivos con antivirus actualizado y una herramienta antimalware secundaria.
Si sospechas de infección profunda, considera formatear y reinstalar el sistema desde cero.
Restaura únicamente desde copias de seguridad anteriores al incidente.
Revisa reglas de reenvío de correo, aplicaciones autorizadas y sesiones activas en cada cuenta.

Vigilancia posterior

Revisa movimientos bancarios durante al menos 6 meses.
Suscríbete a alertas de Have I Been Pwned para tu correo.
Solicita tu informe de solvencia (ASNEF, EXPERIAN) para detectar suplantaciones que hayan generado contratos a tu nombre.

Cómo prevenir un futuro robo de datos

La mejor gestión de un incidente es no llegar a sufrirlo. Estas son las prácticas más eficaces:

Higiene digital básica

Gestor de contraseñas: usa Bitwarden, 1Password o KeePass para tener contraseñas únicas y largas en cada servicio.
2FA en todas partes: prioriza apps autenticadoras o llaves físicas como YubiKey.
Actualiza sistemas y aplicaciones: el 60% de las brechas explotan vulnerabilidades ya parcheadas.
Cifra dispositivos móviles y portátiles: BitLocker, FileVault o LUKS son gratuitos y estándar.
DNS cifrado: activa DNS-over-HTTPS (por ejemplo, con Cloudflare 1.1.1.1 o NextDNS) para dificultar la interceptación de tu tráfico.

Cuidado con los enlaces

Un porcentaje elevadísimo de robos de datos empieza con un clic en un enlace malicioso. Antes de pulsar en cualquier URL sospechosa —especialmente si viene por correo, SMS o mensajería—, aprende a verificar si un enlace es seguro antes de hacer clic.

Si además gestionas enlaces para tu marca o proyecto, utilizar un acortador de enlaces con controles de seguridad como Lunyb te permite ofrecer URLs limpias, con protección antimalware y estadísticas de uso, evitando que tus enlaces legítimos se confundan con los de un atacante. Puedes profundizar en cómo elegir la mejor plataforma de gestión de enlaces o comparar la diferencia entre acortadores gratuitos y de pago.

Formación y cultura de seguridad

En entornos profesionales, la mayoría de brechas se originan en errores humanos. Invertir en formación periódica sobre phishing, gestión de credenciales y manejo de datos personales es más rentable que cualquier tecnología aislada.

Errores frecuentes al reaccionar ante un robo de datos

Pagar el rescate en un ransomware: no garantiza recuperar los datos y financia futuros ataques.
Apagar o formatear el equipo antes de investigar: elimina evidencias esenciales.
Cambiar contraseñas desde el dispositivo comprometido: el atacante también las verá.
Ocultar la brecha: las sanciones por no notificar a la AEPD pueden llegar a 10 millones de euros o el 2% de la facturación global.
Comunicar en caliente sin datos verificados: genera confusión y desconfianza.
No revisar cuentas secundarias: el atacante suele pivotar a servicios menos vigilados.

Plan de respuesta a incidentes: plantilla básica

Toda organización, por pequeña que sea, debería tener un plan escrito. Estos son los bloques mínimos:

Detección y clasificación: quién identifica el incidente y cómo se categoriza.
Equipo de respuesta: roles (líder técnico, DPD, comunicación, legal).
Contención: procedimientos técnicos de aislamiento.
Erradicación y recuperación: eliminar la causa y restaurar servicios.
Notificación: plazos, formularios y contactos internos/externos.
Lecciones aprendidas: informe post-incidente y mejoras.

Preguntas frecuentes

¿En cuánto tiempo debo notificar un robo de datos a la AEPD?

Tienes un plazo máximo de 72 horas desde que tienes conocimiento de la brecha, según el artículo 33 del RGPD. Si te retrasas, deberás justificar el motivo. La notificación tardía o su omisión es una de las infracciones más sancionadas por la Agencia Española de Protección de Datos.

¿Qué hago si mis datos aparecen en una filtración pública?

Cambia inmediatamente la contraseña del servicio afectado y de cualquier otro donde uses una similar. Activa la autenticación en dos factores, revisa movimientos bancarios y, si el correo aparece filtrado, considera crear alias con servicios como SimpleLogin o Apple Hide My Email para servicios futuros.

¿Puedo reclamar una indemnización si una empresa expone mis datos?

Sí. El RGPD reconoce el derecho a indemnización por daños materiales e inmateriales derivados de una brecha imputable al responsable del tratamiento. Puedes reclamar directamente a la empresa y, en su defecto, acudir a la vía civil aportando pruebas del perjuicio sufrido (fraudes, estrés, pérdida de tiempo).

¿Es obligatorio denunciar un robo de datos a la Policía?

Como particular no estás obligado, pero es muy recomendable si hay perjuicio económico, suplantación de identidad o extorsión, ya que la denuncia es imprescindible para reclamar al banco o al seguro. Como empresa, la denuncia penal es independiente y complementaria a la notificación administrativa a la AEPD.

¿Sirven los seguros de ciberriesgo para cubrir un robo de datos?

Sí, y cada vez son más habituales. Suelen cubrir gastos forenses, notificación a afectados, defensa jurídica, sanciones asegurables e incluso pérdida de beneficios. Antes de contratarlos, revisa cuidadosamente las exclusiones (por ejemplo, negligencia grave o falta de medidas mínimas de seguridad).

Conclusión

Reaccionar ante un robo de datos requiere calma, método y rapidez a partes iguales. Los tres pilares son: contener el incidente antes de que se extienda, notificar según las obligaciones legales y a las entidades implicadas, y aprender para reforzar la seguridad hacia el futuro. La prevención —contraseñas robustas, 2FA, actualizaciones, cifrado y prudencia con los enlaces— sigue siendo, con diferencia, la inversión más rentable.

Ten a mano este protocolo y, si gestionas datos de terceros, formaliza un plan de respuesta a incidentes por escrito. El día que ocurra lo inevitable, esa preparación marcará la diferencia entre un susto y una catástrofe.