Cada pocas semanas de este año ha aparecido otro titular sobre una filtración de datos. El instinto es sentirse vagamente expuesto y luego no hacer nada, porque no queda claro qué significa exactamente estar «expuesto» en tu caso personal. Hay una forma rápida de convertir esa preocupación vaga en una respuesta concreta: comprobar si tu propia dirección de correo electrónico o contraseña aparece en una filtración conocida, usando una herramienta gratuita creada exactamente para esto. Así es como se hace correctamente y —la parte que la mayoría se salta— qué hacer realmente una vez que tienes los resultados.

Qué es realmente Have I Been Pwned

Have I Been Pwned (HIBP) es un servicio gratuito para consultar filtraciones, creado y mantenido por el investigador de seguridad Troy Hunt. Funciona recopilando datos de filtraciones que ya ocurrieron —divulgaciones de empresas, investigadores de seguridad y, a veces, conjuntos de datos robados que circulan públicamente— e indexando qué direcciones de correo electrónico y contraseñas aparecen en ellos, para que puedas buscar sin descargar nada. No es una herramienta gubernamental, pero los gobiernos confían en ella: hasta este año, 47 gobiernos nacionales la utilizan para monitorear la exposición de sus propios dominios oficiales, y Nepal es el más reciente en incorporarse. Es una señal razonable de que se trata de un servicio legítimo y ampliamente utilizado, no de un sitio engañoso; esto importa porque sí existen clones y sitios parecidos para consultar filtraciones (hablaremos más de eso abajo).

Paso 1: Comprueba todas las direcciones de correo electrónico que realmente usas

Ve directamente a haveibeenpwned.com — escribe tú mismo la URL en lugar de hacer clic en un enlace de un correo electrónico o anuncio. Ingresa tu dirección de correo electrónico y realiza la búsqueda. Hazlo con todas las direcciones que uses, no solo con la principal: tu antigua cuenta de Hotmail o Yahoo de hace una década, tu correo del trabajo y la dirección desechable con la que te registraste en foros. Las cuentas antiguas y medio olvidadas suelen ser las que aparecen en las filtraciones más antiguas y menos protegidas y, si alguna vez reutilizaste una contraseña de una de ellas en otro lugar, esa reutilización es el riesgo real.

Paso 2: Lee qué expuso realmente la filtración; no te limites a revisar por encima la cantidad

Ver «este correo electrónico apareció en 6 filtraciones» no es útil por sí solo. Entra en cada una. HIBP indica qué categorías de datos expuso esa filtración específica; por ejemplo, direcciones de correo electrónico, contraseñas (por lo general almacenadas como hashes, aunque a veces en texto plano, dependiendo de qué tan mal manejó la seguridad la empresa), nombres, números de teléfono, domicilios o direcciones IP. Una filtración que solo divulgó tu correo electrónico en una lista de marketing es un problema distinto de una que divulgó tu correo, una contraseña en texto plano y tu domicilio. Prioriza según lo que realmente fue robado, no según lo conocida que sea la filtración.

Ten en cuenta también que HIBP mantiene una categoría separada para las filtraciones «sensibles»: sitios donde el hecho de aparecer como miembro es sensible en sí mismo (por ejemplo, servicios de contenido para adultos o relacionados con la salud). No aparecen en los resultados predeterminados; tienes que aceptar explícitamente verlas. Es una decisión de privacidad deliberada por parte de HIBP, no un error.

Paso 3: Comprueba tus contraseñas por separado de tu correo electrónico

HIBP tiene una segunda herramienta independiente llamada Pwned Passwords, y responde a una pregunta distinta: ¿esta contraseña específica ha aparecido alguna vez en un conjunto de datos de filtraciones, sin importar con qué sitio estaba asociada? Esto importa porque una contraseña puede estar comprometida aunque tu cuenta específica no haya sido la vulnerada, si usaste la misma contraseña en otro sitio que sí fue atacado. La herramienta está diseñada para que nunca transmitas tu contraseña completa al comprobarla: utiliza una técnica (k-anonimato) en la que solo se envía un pequeño fragmento parcial del hash de la contraseña y la coincidencia se produce sin que HIBP llegue a ver la contraseña completa. En la práctica, la conclusión es más sencilla que el mecanismo: es seguro comprobar una contraseña allí, pero nunca escribas una contraseña real en ningún otro sitio de «consulta de filtraciones» que no sea el propio HIBP.

Qué hacer realmente con los resultados

Este es el paso que la gente se salta: comprueba los resultados, se alarma brevemente y cierra la pestaña. Revisa esta lista para cualquier elemento que haya aparecido:

  • Contraseña expuesta: Cámbiala ahora en ese sitio específico y en cualquier otro sitio donde hayas usado la misma contraseña o una parecida. Sé sincero contigo mismo: la reutilización de contraseñas es la principal razón por la que una filtración antigua se convierte hoy en varias cuentas comprometidas.
  • Cualquier cuenta con una contraseña expuesta: Activa la autenticación de dos factores (2FA) o, si está disponible, cambia a una clave de acceso. Este es el paso que realmente limita el daño si una contraseña vuelve a filtrarse en el futuro; es más duradero que cambiar cualquier contraseña individual.
  • Las preguntas o respuestas de seguridad formaron parte de la filtración: A partir de ahora, considera esas respuestas específicas como información pública permanente. No reutilices la respuesta real en otro lugar; si el sitio te lo permite, reemplázala con una cadena aleatoria almacenada en un administrador de contraseñas, en lugar de usar un dato verdadero sobre ti.
  • Datos financieros, números de identificación gubernamental o SSN formaron parte de la filtración: Esto va más allá de cambiar una contraseña. Consulta con las principales agencias de crédito sobre la posibilidad de congelar tu crédito o activar una alerta de fraude, y revisa durante los meses siguientes los estados de cuenta de esa cuenta para detectar actividad desconocida.
  • La filtración es antigua y ya cambiaste la contraseña después: Probablemente no necesites hacer nada más, pero vale la pena comprobar dos veces que nunca hayas llevado esa contraseña antigua a una cuenta más reciente.
  • Encontraste varias contraseñas antiguas y reutilizadas: Este es el momento de empezar a usar un administrador de contraseñas para generar y guardar contraseñas únicas de ahora en adelante, de modo que este ejercicio no vuelva a convertirse en una emergencia el próximo año.

Configura alertas para no hacer esto manualmente para siempre

HIBP tiene una suscripción gratuita de «notificarme»: registra tu dirección o direcciones de correo electrónico y te enviará automáticamente un correo si aparecen en una filtración futura, en lugar de depender de que recuerdes comprobarlas. Vale la pena hacerlo con cada dirección que buscaste en el Paso 1: convierte una comprobación única en una cobertura continua sin ningún esfuerzo recurrente de tu parte.

Lo que esta herramienta no puede decirte

Conviene ser honestos sobre las limitaciones. HIBP solo puede informar sobre filtraciones que han sido descubiertas, divulgadas y cargadas en su base de datos; no tiene visibilidad sobre datos que fueron robados pero aún no se han encontrado, que se vendieron de forma privada o que están en registros robados que nunca se hicieron públicos. Un resultado limpio («buenas noticias: no se encontró ninguna filtración») significa que ninguna filtración pública *conocida* incluye ese correo electrónico; no garantiza que tus cuentas no hayan sido afectadas ni sustituye prácticas básicas como usar contraseñas únicas y 2FA. Considera una búsqueda limpia como un dato más, no como una garantía de que todo está bien.

Una cosa más: confía únicamente en el sitio real

Como los estafadores también explotan la ansiedad causada por las filtraciones, presta atención a dónde haces la consulta. Usa directamente haveibeenpwned.com, no un enlace reenviado en un correo electrónico o mensaje de texto que diga ser una «alerta de filtración»; es una clásica estrategia de phishing. La herramienta legítima para comprobar contraseñas nunca necesita tu contraseña completa para funcionar; si un sitio te pide escribir una contraseña completa para «comprobar si fue filtrada», es una señal de alerta, no una función.

Lista de comprobación rápida

  • Busca cada dirección de correo electrónico que hayas usado habitualmente en haveibeenpwned.com
  • Abre cada resultado de filtración y lee qué datos se robaron realmente
  • Comprueba tus contraseñas de uso habitual en la herramienta independiente Pwned Passwords
  • Cambia cualquier contraseña expuesta en todos los sitios donde la hayas reutilizado
  • Activa la autenticación de dos factores (2FA) o las passkeys en tus cuentas importantes, especialmente el correo electrónico
  • Congela tu crédito si se expusieron datos financieros o de identificación
  • Regístrate para recibir notificaciones gratuitas sobre futuras filtraciones en cada dirección de correo electrónico
  • Empieza a usar un administrador de contraseñas si aún no lo haces