Para saber si tu contraseña se ha filtrado no hace falta rastrear nada raro: basta con usar un servicio serio de comprobación de filtraciones y revisar las alertas que ya trae tu navegador o tu gestor de contraseñas. Si aparece en alguna lista conocida, esa contraseña está quemada en todos los sitios donde la hayas usado. Lo importante no es el susto, sino el orden en que reaccionas.
Qué es realmente una filtración de credenciales
Una filtración ocurre cuando alguien accede a la base de datos de un servicio y se lleva los datos de acceso de sus usuarios. A veces son contraseñas protegidas con métodos modernos, a veces resúmenes antiguos y débiles, y en los casos peores texto plano. Con el tiempo esos volcados se agrupan y circulan como enormes listas de pares correo/contraseña que se reciclan una y otra vez.
La consecuencia es incómoda: puedes haberlo hecho todo bien y aun así salir en una lista porque una tienda a la que compraste hace años guardaba mal sus datos. Que tu contraseña figure ahí no significa que hayan entrado en tu cuenta, pero sí que cualquiera puede probarla.
Cómo funcionan los verificadores de filtraciones
Un buscador de filtraciones no adivina nada: compara lo que le das contra volcados ya conocidos. La duda razonable es evidente: ¿no estoy entregando mi contraseña al escribirla en una web? Los servicios bien diseñados lo resuelven con k-anonimato. Tu dispositivo calcula un resumen criptográfico de la contraseña, envía solo un fragmento inicial y recibe de vuelta todos los resultados que empiezan igual; la comparación final se hace en tu equipo, así que ni la contraseña ni su resumen completo salen de allí.
Dos precauciones: usa únicamente herramientas con reputación establecida que expliquen su método, y desconfía de cualquier página que te pida la contraseña junto con el correo y el nombre del servicio. Un verificador legítimo no necesita saber en qué cuenta la usas.
Las alertas que ya tienes activadas
Antes de buscar herramientas nuevas, mira lo que ya llevas puesto. Los navegadores actuales avisan cuando una contraseña guardada aparece en una filtración conocida, y los gestores de contraseñas hacen lo mismo y además marcan las repetidas y las demasiado cortas. Ese informe de seguridad es la mejor lista de tareas que vas a encontrar: ordena las cuentas por gravedad y te dice cuáles comparten clave.
Por qué una contraseña filtrada compromete muchas cuentas
El ataque que hace peligroso todo esto se llama relleno de credenciales: consiste en tomar millones de pares filtrados y probarlos automáticamente en decenas de servicios, apostando a que la gente repite. Como la mayoría repite, funciona lo suficiente.
Por eso la pregunta correcta no es «¿han entrado en la cuenta de esa tienda?», sino «¿dónde más usé esa clave?». Y ojo con el otro extremo: si la cuenta afectada es tu correo principal, quien entre puede restablecer casi todo lo demás. El correo es la llave maestra y merece la protección más estricta.
Qué hacer, en este orden
- Cambia la contraseña de la cuenta afectada entrando por una dirección escrita a mano, nunca desde el enlace de un correo de aviso.
- Cambia después la de todas las cuentas donde repetiste esa clave, empezando por el correo, el banco y las tiendas con tarjeta guardada.
- Usa una clave distinta y larga en cada sitio: si te cuesta inventarlas, apóyate en un generador de frases de contraseña seguras y guarda el resultado en tu gestor.
- Activa la verificación en dos pasos donde exista, mejor con aplicación de códigos o llave física que con SMS.
- Cierra todas las sesiones abiertas y revisa los dispositivos con acceso.
Para el segundo factor, una aplicación de autenticación 2FA gratuita te da códigos temporales sin depender de la red móvil; guarda los códigos de recuperación fuera del propio teléfono. Y donde el servicio lo permita, da un paso más y usa una passkey en lugar de contraseña: al basarse en criptografía ligada a tu dispositivo, no queda nada reutilizable que robar en un futuro volcado.
Revisa lo que pudo quedar detrás
Cambiar la contraseña no expulsa a quien ya estuvo dentro si dejó puertas abiertas. En las cuentas importantes, sobre todo el correo, comprueba una por una estas cosas:
- Direcciones de recuperación y teléfonos que no reconozcas.
- Reglas de reenvío automático o filtros que archivan avisos del banco y de seguridad.
- Contraseñas de aplicación y accesos de terceros concedidos hace tiempo.
- Sesiones activas en dispositivos o ubicaciones que no son tuyos.
- Firmas y respuestas automáticas modificadas.
Y cuando tengas que registrarte solo para descargar algo o probar un servicio del que no sabes nada, una bandeja de correo temporal evita sumar tu dirección real a otra base de datos que quizá se filtre mañana.
Cambiar un carácter no arregla nada
Convertir verano2023 en verano2024! parece un cambio, pero no lo es. Las herramientas que prueban contraseñas aplican precisamente esas reglas: añadir un número al final, cambiar la a por una arroba, poner la inicial en mayúscula. Si la base era conocida, la variante también lo es.
Lo que sí funciona es longitud con imprevisibilidad. Una frase de cuatro o cinco palabras sin relación entre sí es fácil de teclear, difícil de adivinar y muy superior a ocho caracteres llenos de símbolos. Si quieres el razonamiento completo, aquí tienes una guía sobre cómo crear una frase de contraseña segura; para el día a día basta con un generador de contraseñas largas y aleatorias conectado a tu gestor.
Que la próxima filtración te dé igual
El objetivo final es que un aviso de filtración sea una molestia de tres minutos y no una tarde de pánico. Se consigue con cuatro hábitos: una contraseña única por servicio, un gestor que las recuerde por ti, segundo factor o passkey en todo lo que importe y una revisión del informe de seguridad cada pocos meses.
Preguntas frecuentes
¿Es seguro escribir mi contraseña en un verificador de filtraciones?
En los servicios que aplican k-anonimato, sí: la contraseña completa no sale de tu dispositivo, solo un fragmento del resumen criptográfico. Aun así, si dudas de la página, cámbiala directamente y sáltate la comprobación.
Aparece en una filtración, pero nadie ha entrado. ¿La cambio igualmente?
Sí, y cuanto antes. Que todavía no la hayan usado solo significa que aún no le ha tocado el turno a tu par de datos.
¿Cada cuánto conviene cambiar las contraseñas?
Si cada cuenta tiene una clave larga y única, no hace falta rotarlas por calendario. Cámbialas cuando haya una filtración, cuando sospeches de un acceso raro o cuando descubras que estaba repetida.
¿Qué hago si me llega un correo diciendo que tienen mi contraseña?
No respondas, no pagues y no pulses enlaces. Muchos de esos mensajes solo repiten una clave antigua sacada de una filtración pública para asustarte. Entra escribiendo tú la dirección, cambia la contraseña y activa el segundo factor.
