Qué significa que tu contraseña se ha filtrado
Que un servicio donde la usabas sufrió un robo de datos y esa contraseña ha acabado en una lista pública o vendida. A partir de ahí, la prueban de forma automática con tu correo en cientos de webs. Si la repetías, cualquier cuenta que la comparta está en peligro, no solo la del servicio atacado.
Puede que te hayas enterado por un correo del servicio, por un aviso de tu navegador o tu móvil, o porque nuestro comprobador la ha encontrado. En cualquier caso, el plan es el mismo.
Los pasos, en orden
- Empieza por tu correo principal. Si usabas esa contraseña (o una parecida) en el correo, cámbiala ahí primero. Quien controla tu correo puede restablecer la contraseña de todo lo demás. Usa una generada al azar de 20 caracteres.
- Cámbiala en el servicio filtrado. Si no puedes entrar porque ya la han cambiado, usa «He olvidado mi contraseña» y, si tampoco funciona, el soporte del servicio.
- Cámbiala en todos los sitios donde la repetías, y también donde usabas variantes (Gato1987, Gato1987!, Gato1988). Los programas de ataque prueban esas variaciones. Una contraseña nueva y distinta para cada uno.
- Activa el doble factor en el correo, el banco y las redes sociales: una aplicación de códigos, una llave física o una llave de acceso. Aunque vuelvan a robarte la contraseña, no podrán entrar con ella sola.
- Cierra las sesiones abiertas. En la configuración de seguridad de cada cuenta suele haber una opción para cerrar sesión en todos los dispositivos. Hazlo después de cambiar la contraseña.
Revisa tu correo a fondo
Si alguien entró en tu correo, puede haber dejado cambios para seguir dentro aunque cambies la contraseña. Revisa en la configuración:
- Reenvío automático y filtros. Una regla que reenvía tus correos a otra dirección, o que borra los avisos de seguridad, es la puerta trasera más habitual.
- Correo y teléfono de recuperación. Comprueba que siguen siendo tuyos.
- Aplicaciones con acceso a la cuenta y contraseñas de aplicación que no reconozcas.
- Actividad reciente: inicios de sesión desde países o dispositivos que no son tuyos.
Los días siguientes
Desconfía de los correos y SMS «de seguridad». Tras una filtración llegan mensajes que fingen ser del servicio afectado y te piden «verificar tu cuenta». Entra siempre escribiendo la dirección tú mismo, nunca desde el enlace.
Vigila tus cuentas bancarias y tus compras. Si la filtración incluía datos de pago, avisa a tu banco y pide una tarjeta nueva.
Mira en qué filtraciones aparece tu correo en haveibeenpwned.com. Te dice qué servicios se vieron afectados y qué datos se filtraron.
Cómo enterarte la próxima vez
- Los gestores de contraseñas y los navegadores (Chrome, Edge, Safari, Firefox) avisan cuando una contraseña guardada aparece en una filtración. Activa esa opción.
- Have I Been Pwned permite suscribirte gratis para que te avise por correo si tu dirección aparece en una filtración nueva.
- Con una contraseña distinta y aleatoria en cada sitio, la próxima filtración solo te obligará a cambiar una.