Se filtró mi correo: qué hacer, paso a paso

Aparecer en una filtración es más común de lo que parece y casi nunca es una emergencia. Lo que decide el resultado no es la rapidez, es el orden.

Primero, lo que probablemente pasó. Una empresa donde te registraste alguna vez sufrió un robo de datos, y tu dirección estaba en el lote. No quiere decir que alguien haya entrado a tu correo, ni que tu contraseña de hoy esté en manos de nadie. Quiere decir que tu dirección circula, y que si junto a ella se filtró una contraseña que repetiste en otro sitio, ahí sí hay algo que cerrar.

El error habitual es reaccionar cambiando todo a la vez. Quien cambia veinte contraseñas en una tarde termina eligiendo veinte variantes de la misma, y queda peor que antes. Esto es lo que conviene hacer, en este orden.

1. Mira qué se filtró, no cuántas veces

   Dos filtraciones no son iguales. Que se haya escapado tu dirección junto a un nombre es ruido. Que se haya escapado junto a una contraseña, a respuestas de preguntas de seguridad o a datos de tarjeta es otra conversación. Antes de tocar nada, identifica en qué casos apareció una contraseña.

2. Empieza por el correo, siempre

   Tu correo es la llave maestra: es donde llegan los enlaces para recuperar todo lo demás. Si alguien entra ahí, el resto cae solo. Ponle una contraseña larga, nueva y que no se parezca a ninguna anterior, y hazlo antes que en cualquier otro sitio.

3. Activa la verificación en dos pasos en esa cuenta

   Es el único cambio de esta lista que sigue protegiéndote aunque tu contraseña se filtre mañana. Si puedes elegir, usa una aplicación de códigos en vez de SMS: el número de teléfono se puede secuestrar con una llamada a la operadora, y la aplicación no.

4. Persigue las contraseñas repetidas, no todas

   Haz memoria de dónde usaste la contraseña que se filtró, o uno de sus primos cercanos con un número al final. Esos sitios son el riesgo real, porque el ataque más común no es adivinar tu contraseña, sino probar la que ya tienen en otros cien servicios a ver cuál abre.

5. Cierra las sesiones abiertas

   Casi todos los servicios grandes tienen una pantalla de dispositivos o sesiones activas. Cambiar la contraseña no siempre expulsa a quien ya estaba dentro: hay que cerrarle la sesión explícitamente. Revisa también las reglas de reenvío automático de tu correo, que es donde se esconde un intruso que quiere seguir leyendo sin volver a entrar.

6. Vigila lo que tenga dinero de por medio

   Banca, billeteras, comercio. No hace falta cambiar nada si esas contraseñas eran únicas: basta con activar las alertas de movimientos y mirarlas durante unas semanas. La señal temprana de un problema suele ser un cobro pequeño y raro, no uno grande.

7. Espera correos más convincentes de lo normal

   Después de una filtración grande aparecen mensajes que citan datos reales tuyos, porque quien escribe los compró. Un correo que sabe tu nombre, tu banco o una contraseña vieja no es prueba de nada: es exactamente lo que se filtró. La regla que aguanta todo es no actuar desde el enlace del mensaje, sino entrar al sitio por donde entras siempre.

Lo que no sirve

Cambiar el correo. La dirección filtrada ya circula y no se puede retirar. Mudarte de dirección es mucho trabajo para un beneficio que no llega.

Pagar por "borrar tus datos de internet". Una filtración no se devuelve. Existen servicios que retiran tu información de agregadores comerciales, que es otra cosa distinta y no tiene efecto sobre lo que ya se robó.

Cambiar la contraseña cada tres meses. Esa costumbre se abandonó hace años, también en las guías oficiales, porque empuja a la gente a rotar variantes predecibles. Una contraseña larga y única que solo cambias cuando hay motivo protege más que doce contraseñas mediocres al año.

Cómo saber si estás en la parte grave

La pregunta que de verdad importa no es si tu correo se filtró, sino si alguna de tus contraseñas anda dando vueltas. Eso se puede comprobar sin escribirle la contraseña a nadie, y está explicado en cómo saber si tu contraseña se filtró.