Filtración de datos personales: qué hacer, guía completa paso a paso

Cuando una empresa donde tienes una cuenta sufre un ciberataque, conviene saber qué hacer. Esta guía reúne lo que dicen el Instituto Nacional de Ciberseguridad (INCIBE) y la Agencia Española de Protección de Datos (AEPD) sobre qué hacer en ese momento: cómo entender qué ha pasado, qué pasos dar primero, cómo proteger tus contraseñas, qué cuidado tener con los mensajes que pueden llegar después y a quién acudir si alguien suplanta tu identidad.

Nos basamos solo en las siete páginas citadas al final. Nada de lo que sigue es un diagnóstico de tu caso: una guía no puede decirte si tus datos están o no en una filtración concreta. Cuando las fuentes no precisan algo, lo decimos.

Qué hacer primero

Estos son los pasos que se desprenden de las páginas de INCIBE, en orden:

1. Mantén la calma. INCIBE señala que puede tratarse de datos antiguos, como un domicilio donde ya no vives o un correo y una contraseña distintos de los que usas ahora.
2. Averigua qué datos se han visto comprometidos. Suele constar en el comunicado de la empresa o en lo que difundan los atacantes.
3. Ante la duda, considera comprometido cualquier dato que hayas compartido con la empresa.
4. Cambia la contraseña del servicio afectado y la de cualquier otro donde la hayas repetido.
5. Activa la verificación en dos pasos en los servicios que la permitan.
6. Desconfía de mensajes, llamadas o SMS que usen tus datos para parecer creíbles.
7. Si hay datos bancarios implicados, avisa a tu banco.
8. Si alguien se hace pasar por ti, presenta una denuncia ante las fuerzas de seguridad.

Los apartados siguientes explican cada paso y su origen.

Qué es una filtración de datos

INCIBE parte de una realidad cotidiana: cada vez usamos más servicios en línea, como cuentas bancarias, correo electrónico, tiendas donde nos registramos, redes sociales y muchos más. Esas organizaciones custodian una cantidad enorme de datos personales, y los ciberdelincuentes no cesan en sus intentos de hacerse con ellos.

A veces las defensas de la empresa caen. Los atacantes obtienen acceso a toda o parte de la información y la filtran para publicarla en la Red u obtener un beneficio económico poniéndola a la venta en el mercado negro.

Qué significa, en la práctica, haber sido víctima de una fuga de datos, según INCIBE: que tus datos son expuestos y filtrados a Internet, donde cualquiera puede tener acceso a ellos y llevar a cabo todo tipo de actividades ilegítimas y fraudulentas. Las consecuencias pueden ser muy graves, aunque dependen del tipo de información filtrada y de la protección adicional que tuvieran esos datos.

No todas las filtraciones pesan igual

El propio INCIBE da dos ejemplos: no es lo mismo que se filtre tu número de teléfono que un correo electrónico secundario, ni que se filtren archivos de la nube si estaban cifrados.

Paso 1: mantener la calma y averiguar qué datos están implicados

INCIBE plantea el supuesto de que seas consciente, por ejemplo mediante los avisos del propio Instituto, de que una empresa o servicio en línea donde estás registrado ha sufrido un ataque en el que se han filtrado datos de sus usuarios. Lo primero, dice, es mantener la calma.

Averiguar qué se ha filtrado

Cuando una filtración se hace pública, es común que también se conozca el tipo de datos filtrados, bien porque los atacantes lo han dado a conocer, bien porque la empresa atacada ha hecho un comunicado oficial. En ese momento hay que intentar averiguar cuáles de tus datos han podido quedar comprometidos.

Sin embargo, por seguridad, INCIBE recomienda considerar comprometido por defecto cualquier dato que hayas podido compartir con la empresa: desde el usuario, la contraseña y el correo electrónico hasta cualquier otra información, como datos de la tarjeta bancaria, número de teléfono o incluso dirección personal.

Pedir información a la empresa

El Instituto recuerda que cualquier usuario tiene derecho a obtener toda la información que una empresa de servicios en línea tenga sobre él. Lo presenta como una práctica útil para tener control y visibilidad de cuánta información se comparte, y como un derecho de los usuarios. La página no detalla el procedimiento.

Paso 2: proteger tu privacidad según el tipo de dato

INCIBE explica que, dependiendo de la información comprometida, hay que actuar de un modo u otro. Estas son las cuatro categorías que distingue.

Contraseñas

Con una contraseña, los atacantes pueden acceder a la cuenta afectada y a todas aquellas donde uses la misma contraseña. El Instituto pone ejemplos: podrían hacerse pasar por ti en redes sociales o realizar compras en línea a tu cargo.

Qué hacer: si tu contraseña ha sido filtrada, es fundamental que la cambies y la actualices. Debes hacerlo en el servicio que ha sufrido el ataque y también en otros donde hayas utilizado la misma clave o una parecida.

Correo electrónico o número de teléfono

Los atacantes suelen usar esta información para ataques personalizados basados en ingeniería social. INCIBE ilustra el caso con una supuesta llamada telefónica de tu banco, que te pide información sobre tu tarjeta y aporta los datos filtrados para dar mayor credibilidad.

Qué hacer: el Instituto recomienda, siempre que sea posible, utilizar correos electrónicos alternativos y números de teléfono temporales para registrarte. Así te ahorras publicidad no deseada y los riesgos de este tipo de filtraciones.

Nombre, apellidos, dirección o documentos de identificación

Esta información puede servir a los atacantes para suplantar tu identidad y llevar a cabo todo tipo de actividades ilícitas. INCIBE cita como ejemplo que podrían dar de alta servicios a tu nombre, como alquileres, seguros o servicios como el agua o la luz, especialmente si se han filtrado números de cuenta o imágenes del DNI.

Qué hacer: puedes practicar el egosurfing cada cierto tiempo, es decir, buscar tu nombre y apellidos en Internet para encontrar perfiles falsos o actividad sospechosa. De igual modo, es recomendable no utilizar esta información a no ser que sea imprescindible.

Datos bancarios

Con ellos, cualquier ciberdelincuente podría realizar compras y transferencias a otras cuentas.

Qué hacer: notificárselo a tu banco para que evalúe el riesgo y pueda tomar las medidas oportunas, como anular la tarjeta bancaria e identificar posibles actividades sospechosas.

Contraseñas: cómo reducir el daño

La contraseña es el primer tipo de dato que cita INCIBE, de modo que conviene detenerse en cómo gestionarlas. INCIBE dedica una página a este tema.

Una contraseña robusta, pero no suficiente

Según el Instituto, una contraseña robusta debe tener una longitud de entre 8-10 caracteres, combinar caracteres, no incluir información personal ni palabras comunes. Pero, debido a la multitud de servicios que usamos, muchas veces por comodidad caemos en el error de utilizar la misma para todo, y no es suficiente que sea robusta para mantenerla a salvo de los ciberdelincuentes.

Esto enlaza con lo que decía la página sobre filtraciones: una misma clave repetida convierte la filtración de un servicio en un problema para varios.

El gestor de contraseñas

INCIBE enumera las ventajas de un gestor de contraseñas:

• Mayor comodidad, porque solo necesitas recordar la contraseña maestra, que debe ser robusta.
• Puedes cifrar las contraseñas almacenadas.
• Permite activar mecanismos de doble verificación.
• Genera contraseñas robustas de forma aleatoria.
• Permite autocompletar los campos de inicio de sesión en el navegador.
• Puedes acceder a las contraseñas desde cualquier dispositivo con conexión y organizarlas en carpetas o categorías.

En la página sobre filtraciones, el Instituto añade que estas herramientas ayudan a crear contraseñas únicas y que incluso pueden avisarte cuando es hora de actualizarlas o si alguna de tus cuentas ha podido ser víctima de una filtración.

Verificación en dos pasos

La verificación en dos pasos, también llamada doble factor de autenticación o 2FA, es una medida de seguridad con la que se hace más difícil que alguien sin autorización acceda a tu cuenta personal, en los servicios que cuenten con esta funcionalidad. Cuando la activas, además de la contraseña es necesario facilitar otro código único para concluir el acceso.

Cómo llega el segundo código

Según INCIBE, el código se envía generalmente al teléfono móvil por SMS, aunque pueden usarse alternativas como aplicaciones para smartphones, llamadas telefónicas o una llave de seguridad. En la página de orígenes de los datos, el Instituto menciona también un código enviado por correo electrónico o a una app de autenticación como Google o Microsoft Authenticator.

Por qué importa tras una filtración

Puede ocurrir que alguien se haga con tu contraseña, por ejemplo mediante un ataque de phishing. Sin verificación en dos pasos, un ciberdelincuente podría acceder a tu cuenta y hacer cosas que, a los ojos del resto del mundo, habrías hecho tú. Con la verificación activada, aunque tenga la contraseña, no tendría el código necesario para terminar el acceso. Sobre las filtraciones, el Instituto lo dice así: tendrían tu contraseña, pero no podrían acceder al servicio sin ese segundo factor.

Sus límites

INCIBE no la presenta como una solución total: advierte de que no debemos dejar que toda la seguridad recaiga sobre ella, porque puede haber malware que la evite o la verificación puede tener algún fallo. Por eso la contraseña robusta sigue siendo necesaria.

El mayor inconveniente es perder el dispositivo con el que recibes el código. En ese caso cada servicio cuenta con sus propios mecanismos de recuperación; el Instituto cita los de Google y Apple como ejemplos.

Cómo activarla

El procedimiento varía según el servicio. La página de INCIBE enlaza con la información de los principales servicios web y remite a un sitio en inglés, twofactorauth.org, para comprobar qué servicios ofrecen esta posibilidad. Según el Instituto, cada persona decidirá si es necesaria en función del servicio y de las repercusiones que pueda tener un acceso no autorizado.

Phishing y mensajes que pueden llegar después

Los datos filtrados pueden servir para engañarte mejor. Por eso conviene saber reconocer el phishing, que INCIBE define como una técnica usada por ciberdelincuentes para obtener información confidencial como contraseñas, números de tarjetas de crédito y otra información de carácter personal. También se usa para instalar programas maliciosos en los dispositivos.

Cómo funciona

Los atacantes envían mensajes que suplantan a una entidad legítima, como un banco, una red social, un servicio o una entidad pública, para engañarte y manipularte de modo que acabes realizando una acción que ponga en peligro tus datos o instalando programas maliciosos.

INCIBE distingue varios tipos de correo de phishing:

• Phishing bancario: suplantan a una entidad financiera con excusas como bloqueo de cuenta, actividad sospechosa o cargos en cuenta.
• Phishing a entidades públicas: se hacen pasar por organismos públicos bajo pretextos como devolución de impuestos, pago de una multa de tráfico u obtención de ayudas.
• Phishing a entidades privadas: captan la atención con asuntos que apelan en muchas ocasiones a los sentimientos. Entre las empresas que pueden ser suplantadas figuran compañías eléctricas, tiendas, mensajería, operadoras de telefonía, redes sociales y plataformas de entretenimiento, entre otras.

Señales de un correo de phishing

Según el Instituto, estas son las características habituales:

• Remitente desconocido.
• Errores gramaticales y ortográficos.
• Solicitud de información que una empresa legítima no pediría por ese medio, como contraseñas, PIN, clave de firma o DNI.
• Enlaces o archivos adjuntos sospechosos.
• Amenazas o urgencia, para que actúes rápido y sin pensar.

La urgencia aparece también en la página sobre el origen de los datos, con frases como «tu cuenta será bloqueada» o «tienes un cargo pendiente»: bajo presión, es más fácil actuar sin pararse a pensar.

Smishing y vishing

El smishing es una técnica similar al phishing, pero con mensajes de texto (SMS). El vishing usa llamadas telefónicas para hacerse pasar por una entidad de confianza y obtener información personal y financiera. INCIBE añade que, con el vishing, los atacantes pueden también guiarte para que descargues programas maliciosos o intentar que realices un pago bajo algún pretexto.

Cómo evitar caer

Entre las recomendaciones del Instituto: no abrir ni contestar correos no solicitados o de desconocidos (eliminarlos y bloquear al remitente); no enviar contraseñas, datos personales o bancarios; verificar quién envía un mensaje antes de dar información confidencial; no pulsar enlaces sin comprobar adónde llevan; no descargar adjuntos dudosos; mantener actualizados dispositivos y programas; usar un antivirus actualizado y activar la autenticación de dos factores siempre que un servicio lo permita.

Si ya has caído

INCIBE indica estas medidas para quien ha sido víctima de phishing:

• Cambia tus contraseñas inmediatamente si proporcionaste datos de inicio de sesión, y también las de cualquier otra cuenta que use la misma información.
• Contacta con tu banco si facilitaste datos bancarios, como números de tarjeta o clave de firma.
• Escanea tu dispositivo con un antivirus si pulsaste en algún enlace o descargaste algún archivo.
• Vigila qué información tuya circula por Internet. El egosurfing te permite controlar qué hay sobre ti en la Red.
• Ejerce tus derechos si encuentras algún dato que se esté ofreciendo sin tu consentimiento. El Instituto remite a la AEPD para conocer las pautas.

Si te han robado una cuenta

A veces la filtración desemboca en el robo de una cuenta. INCIBE explica que las consecuencias dependen de la información que contenga: no es lo mismo una cuenta que usas solo para registrarte en una web sin datos personales que tu cuenta bancaria o tu perfil en una red social.

Cómo sospechar que te la han robado

El Instituto da varias pistas: no poder entrar porque el servicio dice que las credenciales no son correctas (lo más probable es que quien accede cambie la contraseña); avisos por correo de inicios de sesión desde un dispositivo desconocido que no son tuyos, aunque también podría tratarse de un ciberdelincuente que suplanta al servicio para que hagas clic en un enlace; y mensajes leídos que no has leído tú, conversaciones extrañas con tus contactos, publicaciones que no recuerdas o compras en línea que no hiciste.

Qué hacer si se confirma

INCIBE recomienda, en este orden:

1. Seguir las indicaciones de la plataforma o servicio para recuperar la cuenta y denunciar la suplantación, si se da. El Instituto enlaza con los procedimientos de redes sociales, tiendas en línea, servicios de correo electrónico, plataformas de contenido multimedia, Google y Apple.
2. Actualizar las credenciales con una contraseña robusta y, si es posible, añadir un segundo factor de autenticación.
3. Comprobar si otras cuentas han podido ser vulneradas. El robo de una cuenta puede producirse por una filtración que afecte a más de una cuenta si usaste el mismo correo y contraseña. Herramientas como Have I Been Pwned permiten saber si tus credenciales han sido afectadas.
4. Si se confirma que hay más cuentas vulneradas, cambiar las contraseñas de cada una con combinaciones diferentes.
5. Denunciar el robo y la suplantación a las Fuerzas y Cuerpos de Seguridad del Estado, aportando todas las evidencias posibles, como capturas de pantalla, actividad sospechosa, recibos y compras ilícitas.

El Instituto ofrece además su Línea de Ayuda en Ciberseguridad, 017, gratuita y confidencial.

Suplantación de identidad: qué dice la AEPD

La AEPD tiene una pregunta frecuente sobre qué hacer cuando te han suplantado la identidad. Explica que la suplantación de identidad (phishing), además de atentar contra la propia privacidad, también puede dar lugar a varios tipos de delitos.

Denunciar

En estos casos, la Agencia aconseja presentar la denuncia ante los Cuerpos y Fuerzas de Seguridad: Policía Nacional, Guardia Civil o a través de la herramienta Alertcops.

Las redes sociales

Las redes sociales más populares disponen de mecanismos para comunicar este tipo de vulneraciones mediante sus propios formularios.

De dónde obtienen los ciberdelincuentes tus datos

Entender cómo consiguen la información ayuda a anticiparse. INCIBE enumera varias vías.

Brechas de seguridad en empresas y servicios

Una de las principales fuentes de datos robados son las filtraciones. Cuando una empresa sufre un ciberataque o tiene una mala configuración de seguridad, sus bases de datos pueden quedar expuestas. Suelen contener correos electrónicos, contraseñas, direcciones postales, números de teléfono, datos de facturación y otros.

El Instituto subraya que, aunque hayas actuado correctamente, si una plataforma donde tienes cuenta es vulnerada, tus datos pueden acabar en manos de ciberdelincuentes. Estos incidentes permiten ataques posteriores, como intentos automatizados de acceso a otras cuentas donde hayas reutilizado la contraseña. Una única contraseña comprometida puede abrir múltiples puertas.

Have I Been Pwned permite comprobar si tu correo ha sido expuesto en alguna filtración, y puedes crear una alerta que te avise automáticamente si tu dirección aparece en filtraciones futuras.

Ingeniería social

La ingeniería social consiste en manipular psicológicamente a la víctima para que facilite sus datos voluntariamente, por ejemplo mediante phishing, smishing y vishing. Según INCIBE, el atacante no «roba» la información, técnicamente, sino que consigue que se la demos.

Malware

Otra vía habitual es instalar software malicioso, por ejemplo al descargar programas desde páginas no oficiales, abrir adjuntos sospechosos o instalar extensiones dudosas en el navegador. Algunos tipos están diseñados para extraer credenciales almacenadas en el navegador, cookies de sesión o datos financieros sin que notes nada. El riesgo aumenta si no mantienes el sistema y las aplicaciones actualizados.

Tu propia huella digital

Gran parte de la información que utilizan los ciberdelincuentes está disponible públicamente: tu fecha de nacimiento en redes sociales, fotografías donde se ve tu dirección o la matrícula del coche, o comentarios que revelan rutinas y viajes. Con ello pueden lanzar ataques personalizados más creíbles. INCIBE recomienda practicar egosurfing y solicitar el borrado de datos cuando no estés conforme con lo que hay publicado sobre ti.

El mercado negro

La información obtenida no siempre se usa directamente: con frecuencia se vende en el mercado negro, en forma de bases de datos filtradas, accesos a cuentas verificadas o documentos de identidad escaneados. El Instituto aconseja cambiar tus contraseñas periódicamente y no facilitar los códigos de verificación que llegan a tus dispositivos ni compartir documentación sensible.

Acciones legales tras una filtración

INCIBE menciona dos vías relacionadas entre sí.

Reclamación ante la AEPD

Puedes interponer una reclamación ante la AEPD si consideras que la empresa no ha actuado con la debida diligencia. El Instituto indica que ello podría desencadenar una sanción administrativa de gran envergadura para la entidad.

Indemnización por la vía civil

Si la AEPD llega a sancionar, estarás legitimado para reclamar por la vía civil, mediante demanda, la correspondiente indemnización por daños y perjuicios, siempre que se pruebe que el daño producido es consecuencia de una mala praxis de la organización que custodiaba tus datos. Las fuentes no entran en plazos, importes ni procedimiento.

Prevención: cómo reducir el impacto de futuras filtraciones

INCIBE recuerda que no podemos dejar la protección de nuestra privacidad únicamente en manos de las empresas. Propone usar un gestor de contraseñas; comprobar periódicamente tus cuentas en servicios como Have I Been Pwned, porque no siempre nos enteramos de cuándo ha habido una filtración; y usar correos alternativos, números de teléfono e incluso nombres ficticios para registros de uso puntual, con al menos un correo alternativo para no utilizar el personal.

Para resolver dudas, el Instituto ofrece la Línea de Ayuda en Ciberseguridad: el teléfono gratuito y confidencial 017, el WhatsApp 900 116 117 y el Telegram @INCIBE017.

Dónde encaja el análisis gratuito de Remove Me

Remove Me ofrece un análisis gratuito, sin cuenta. Introduces tus datos y el servicio busca resultados visibles en la web pública, filtraciones de datos públicas conocidas (a través de Have I Been Pwned) y un registro de intermediarios de datos (data brokers), y después muestra un informe. El informe se desbloquea con un código de 6 dígitos enviado por correo electrónico.

El análisis solo puede buscar en filtraciones públicas conocidas. Que no aparezca nada no significa que tus datos no hayan sido expuestos en otra parte. Remove Me no envía todavía solicitudes de supresión en tu nombre.

Lo que las fuentes no precisan

Para no darte una idea más completa de la que ofrecen las páginas:

• INCIBE no indica en estas páginas cuánto tiempo tiene una empresa para avisarte de una filtración.
• No se concretan plazos ni importes en las acciones legales.
• Las fuentes no desarrollan los ataques de fuerza bruta, los keyloggers ni los ataques de intermediario, solo los nombran.

Si necesitas detalles sobre alguno de estos puntos, consulta directamente la AEPD o la Línea de Ayuda en Ciberseguridad de INCIBE.