Cada pocas semanas de este año ha aparecido otro titular sobre una filtración de datos. El instinto es sentirse vagamente expuesto y luego no hacer nada, porque no está claro qué significa exactamente estar «expuesto» en tu caso personal. Hay una forma rápida de convertir esa preocupación vaga en una respuesta concreta: comprobar si tu propia dirección de correo electrónico o contraseña aparece en una filtración conocida, usando una herramienta gratuita creada exactamente para esto. Así es como se hace correctamente y —la parte que la mayoría se salta— qué hacer realmente una vez que tienes los resultados.

Qué es realmente Have I Been Pwned

Have I Been Pwned (HIBP) es un servicio gratuito de consulta de filtraciones creado y mantenido por el investigador de seguridad Troy Hunt. Funciona recopilando datos de filtraciones que ya han ocurrido —comunicados de empresas, investigadores de seguridad y, a veces, conjuntos de datos robados que circulan públicamente— e indexando qué direcciones de correo electrónico y contraseñas aparecen en ellos, para que puedas buscar sin descargar nada por tu cuenta. No es una herramienta gubernamental, pero los gobiernos confían en ella: a fecha de este año, 47 gobiernos nacionales la utilizan para supervisar la exposición de sus propios dominios oficiales, y Nepal es el último en incorporarse. Es una señal razonable de que se trata de un servicio legítimo y ampliamente utilizado, no de un sitio fraudulento —lo cual importa, porque sí existen clones y sitios parecidos que comprueban filtraciones (hablaremos de ello más abajo).

Paso 1: Comprueba todas las direcciones de correo electrónico que realmente utilizas

Ve directamente a haveibeenpwned.com —escribe tú mismo la URL en lugar de hacer clic en un enlace de un correo electrónico o anuncio. Introduce tu dirección de correo electrónico y realiza la búsqueda. Hazlo con todas las direcciones que utilizas, no solo con la principal: tu antigua cuenta de Hotmail o Yahoo de hace una década, tu correo del trabajo y la dirección desechable con la que te registraste en foros. Las cuentas antiguas y medio olvidadas son con frecuencia las que aparecen en las filtraciones más antiguas y menos protegidas y, si alguna vez reutilizaste una contraseña de una de ellas en otro sitio, esa reutilización es el riesgo real.

Paso 2: Lee qué expuso realmente la filtración —no te limites a mirar por encima la cifra

Ver que «este correo electrónico apareció en 6 filtraciones» no resulta útil por sí solo. Entra en cada una. HIBP indica qué categorías de datos expuso esa filtración concreta —por ejemplo, direcciones de correo electrónico, contraseñas (normalmente almacenadas como hashes, a veces en texto plano, dependiendo de lo mal que la empresa gestionara la seguridad), nombres, números de teléfono, direcciones físicas o direcciones IP. Una filtración que solo divulgó tu dirección de correo electrónico en una lista de marketing es un problema distinto de otra que divulgó tu correo, una contraseña en texto plano y tu domicilio. Prioriza según lo que realmente se haya robado, no según lo reconocible que sea el nombre de la filtración.

Ten en cuenta también que HIBP mantiene una categoría separada para las filtraciones «sensibles»: sitios en los que aparecer como miembro es, de por sí, información sensible (por ejemplo, servicios de contenido para adultos o relacionados con la salud). No se muestran en los resultados predeterminados; tienes que activar explícitamente la opción para verlas, lo cual es una decisión deliberada de privacidad por parte de HIBP, no un error.

Paso 3: Comprueba tus contraseñas por separado de tu correo electrónico

HIBP tiene una segunda herramienta distinta llamada Pwned Passwords, que responde a una pregunta diferente: ¿ha aparecido alguna vez esta contraseña concreta en un conjunto de datos de una filtración, independientemente del sitio al que estuviera vinculada? Esto importa porque una contraseña puede verse comprometida aunque no se haya filtrado tu cuenta concreta, si utilizaste la misma contraseña en otro sitio que sufrió un ataque. La herramienta está diseñada para que nunca transmitas tu contraseña completa al comprobarla: utiliza una técnica (k-anonimato) en la que solo se envía un pequeño fragmento parcial del hash de la contraseña, y la coincidencia se produce sin que HIBP llegue a ver la contraseña completa. En la práctica, la conclusión es más sencilla que el mecanismo: es seguro comprobar una contraseña allí, pero nunca escribas una contraseña real en ningún otro sitio de «comprobación de filtraciones» que no sea el propio HIBP.

Qué hacer realmente con los resultados

Este es el paso que la gente se salta: comprueban, se alarman brevemente y cierran la pestaña. Repasa esta lista para cualquier elemento que aparezca en los resultados:

  • Contraseña indicada como expuesta: Cámbiala ahora en ese sitio concreto y en cualquier otro sitio en el que hayas utilizado la misma contraseña o una parecida. Sé sincero contigo mismo: la reutilización de contraseñas es la principal razón por la que una filtración antigua acaba convirtiéndose hoy en varias cuentas comprometidas.
  • Cualquier cuenta con una contraseña expuesta: Activa la autenticación de dos factores (2FA) o, si se ofrece, cambia a una clave de acceso. Este es el paso que realmente limita los daños si una contraseña vuelve a filtrarse en el futuro; es más duradero que cualquier cambio de contraseña individual.
  • Las preguntas o respuestas de seguridad formaban parte de la filtración: A partir de ahora, considera que esas respuestas concretas son públicas para siempre. No reutilices la respuesta real en otro sitio; si el sitio lo permite, sustitúyela por una cadena aleatoria almacenada en un gestor de contraseñas, en lugar de utilizar un dato verdadero sobre ti.
  • Los datos financieros, números de identificación gubernamental o SSN formaban parte de la filtración: Esto va más allá de cambiar una contraseña. Consulta con las principales agencias de información crediticia la posibilidad de bloquear el crédito o activar una alerta de fraude, y vigila durante los meses siguientes los extractos de esa cuenta por si aparece alguna actividad desconocida.
  • La filtración es antigua y ya has cambiado la contraseña desde entonces: Probablemente no necesites volver a actuar, pero conviene comprobar una vez más que nunca trasladaras esa contraseña antigua a una cuenta más reciente.
  • Has encontrado varias contraseñas antiguas y reutilizadas: Este es el momento de empezar a utilizar un gestor de contraseñas para generar y almacenar contraseñas únicas de ahora en adelante, para que este ejercicio no vuelva a convertirse en una emergencia el año que viene.

Configura alertas para no tener que hacerlo manualmente para siempre

HIBP ofrece una suscripción gratuita de «avísame»: registra tu dirección o direcciones de correo electrónico y te enviará automáticamente un correo si aparecen en una filtración futura, en lugar de depender de que te acuerdes de comprobarlo. Vale la pena hacerlo con todas las direcciones que buscaste en el paso 1: convierte una comprobación puntual en una cobertura continua sin ningún esfuerzo recurrente por tu parte.

Lo que esta herramienta no puede decirte

Conviene ser honesto sobre los límites. HIBP solo puede informar sobre las filtraciones que se han descubierto, divulgado y cargado en su base de datos; no tiene visibilidad sobre los datos que han sido robados pero aún no se han encontrado, que se han vendido de forma privada o que están en volcados de registros de ladrones que nunca se hicieron públicos. Un resultado limpio («buenas noticias: no se ha encontrado ninguna filtración») significa que ninguna filtración pública *conocida* incluye ese correo electrónico; no garantiza que tus cuentas estén intactas y tampoco sustituye medidas básicas como utilizar contraseñas únicas y 2FA. Considera una búsqueda limpia como un dato más, no como un certificado de buena salud.

Una cosa más: confía únicamente en el sitio real

Como la ansiedad por las filtraciones es algo que los estafadores también aprovechan, presta atención a dónde realizas la comprobación. Utiliza directamente haveibeenpwned.com, no un enlace reenviado por correo electrónico o mensaje de texto que afirme ser una «alerta de filtración»: es una táctica clásica de phishing. La herramienta legítima de comprobación de contraseñas nunca necesita tu contraseña completa para funcionar; si un sitio te pide que escribas una contraseña completa para «comprobar si se ha filtrado», es una señal de alarma, no una función.

Lista de comprobación rápida

  • Busca cada dirección de correo electrónico que hayas usado habitualmente en haveibeenpwned.com
  • Abre cada resultado de filtración y lee qué datos se robaron realmente
  • Comprueba tus contraseñas de uso habitual en la herramienta independiente Pwned Passwords
  • Cambia cualquier contraseña expuesta en todos los sitios donde la hayas reutilizado
  • Activa la autenticación en dos pasos o las claves de acceso en tus cuentas importantes, especialmente el correo electrónico
  • Congela tu crédito si se expusieron datos financieros o de identidad
  • Regístrate para recibir notificaciones gratuitas sobre futuras filtraciones en cada dirección de correo electrónico
  • Empieza a usar un gestor de contraseñas si aún no lo haces